Rapport DDoS de Cloudflare au T3 2026 : environ 8 226 attaques réseau par heure, plus de rafales courtes, moins d’attaques au-delà de 1 Tbps

Le 29 octobre 2026, Cloudflare a publié la 26e édition de son rapport sur les menaces DDoS, qui couvre le troisième trimestre 2026 (juillet à septembre) et s’appuie sur son propre réseau. L’entreprise dit avoir atténué automatiquement 18,2 millions d’attaques DDoS de couche réseau et 14,4 billions de requêtes DDoS HTTP, soit environ 8 226 attaques réseau par heure. La tendance principale : des attaques plus courtes et plus fréquentes, avec une forte hausse des petites attaques de moins de 10 minutes et une nette baisse des attaques hypervolumétriques de plus de 1 Tbps.

Commençons par les totaux. Le chiffre de la couche réseau équivaut à environ 197 400 attaques par jour, une toutes les 0,44 seconde, et le trafic atténué a atteint 272,6 Po sur la couche réseau et 95,1 Po sur la couche HTTP. Le rapport indique que ces 18,2 millions d’attaques augmentent de 208 % par rapport au même trimestre de 2025, 96 % se terminant en moins de 10 minutes et 98 % restant sous 1 Gbps. Une précaution : le 208 % apparaît deux fois avec des sujets différents. Le corps du texte l’associe au total des attaques de couche réseau par rapport au troisième trimestre 2025, tandis que la liste des points clés l’associe aux attaques brèves à faible débit sans nommer de base de comparaison. En le citant, il faut préciser quelle lecture on retient.

Les attaques hypervolumétriques ont évolué en sens inverse. Les attaques de couche réseau de plus de 1 Tbps sont passées de 805 au deuxième trimestre à 251 au troisième, une baisse de près de 69 %. Le rapport les relie à l’action des forces de l’ordre début 2026 qui a démantelé quatre des plus grands botnets DDoS de l’Internet des objets, Aisuru, KimWolf, JackSkid et Mossad ; les points clés parlent de « reflet possible » et n’affirment pas de cause. Les botnets IoT restent une menace durable, avec de nouvelles variantes comme Dysphoria et Evooo1Bot. L’atténuation classée Mirai a culminé en août à 57,23 Po, dont quatre jours, les 16, 19, 23 et 25 août, à trois pétaoctets chacun, et la plus longue attaque Mirai soutenue a duré 49,7 heures du 19 au 21 août. Le rapport présente explicitement 46,5 % comme une part des octets de couche réseau atténués au T3, alors que les 57,23 Po d’août ne représentent qu’environ 21 % du total trimestriel annoncé de 272,6 Po. Ces chiffres ne concordent pas tels quels ; le texte n’explique pas l’écart.

Les méthodes d’attaque ont aussi changé. Les attaques par réflexion CLDAP avaient bondi de 580 % d’un trimestre à l’autre au premier semestre, puis sont tombées à 0,05 % des attaques au troisième trimestre, ce que le rapport chiffre à une baisse de 99,5 %. L’amplification DNS a augmenté de 215 % pour atteindre 3,43 % des attaques de couche réseau, et les autres inondations UDP sont passées de 14,06 % à 31,31 %, soit environ 122 % de hausse. UDP étant sans connexion, il se prête bien au transport de trafic volumétrique brut.

Les cibles se sont dispersées. Médias, production et édition restent le secteur le plus attaqué, mais sa part vaut environ le quart de celle du deuxième trimestre. Internet est passé de hors du top dix à la sixième place, et les services aux consommateurs et le divertissement pour adultes ont atteint les huitième et neuvième places. Le rapport voit dans ce profil court, de taille moyenne et très nombreux la signature des services de « booters » à louer, qui ont surtout visé les logiciels, les jeux d’argent et les casinos, et les technologies de l’information. Par lieu, les États-Unis sont les plus attaqués, la Chine deuxième, et l’Indonésie entre dans le top trois avec 2,93 %. Le Canada passe de la 16e à la 6e place et Israël gagne sept places pour atteindre la 10e.

Il faut garder à l’esprit qu’il s’agit des statistiques d’un fournisseur de protection sur son propre réseau : les classements reflètent les attaques contre les clients de Cloudflare, pas contre tout Internet. Cloudflare ajoute que sa protection fonctionne dans plus de 330 villes avec 500 Tbps de capacité, et que plus de 800 réseaux se sont inscrits à son flux gratuit de renseignements sur les botnets destiné aux fournisseurs de services. Pour les équipes d’exploitation, la leçon est que la plupart des attaques se terminent avant qu’une personne puisse lire l’alerte, donc la défense doit être automatique, et que le nombre d’attaques compte autant que la taille de chacune.