Cloudflare 2026년 3분기 DDoS 보고서: 네트워크 계층 공격 시간당 약 8,226건, 짧은 공격 증가와 1Tbps 초과 공격 감소

Cloudflare는 2026년 10월 29일 2026년 3분기(7~9월)를 다루는 제26회 DDoS 위협 보고서를 냈다. 데이터는 자사 네트워크에서 나왔다. 회사에 따르면 이 분기에 네트워크 계층 DDoS 공격 1,820만 건과 HTTP DDoS 요청 14.4조 건을 자동으로 완화했으며, 네트워크 계층 공격은 시간당 약 8,226건이었다. 핵심 흐름은 공격이 더 짧고 더 잦아졌다는 것이다. 10분 미만의 소규모 저대역 공격은 급증했고 1Tbps를 넘는 초대형 공격은 크게 줄었다.

먼저 총량이다. 네트워크 계층은 하루 약 19만 7,400건, 0.44초에 한 건꼴이며 완화한 트래픽은 네트워크 계층 272.6PB, HTTP 계층 95.1PB였다. 보고서는 이 1,820만 건이 2025년 같은 분기보다 208% 늘었고 96%가 10분 안에 끝났으며 98%는 1Gbps 미만이었다고 말한다. 주의할 점은 208%가 두 번 나오는데 대상이 다르다는 것이다. 본문은 2025년 3분기 대비 네트워크 계층 공격 총수에 붙였고, 핵심 요약 목록은 짧고 대역이 낮은 공격에 붙였으며 비교 기준을 밝히지 않았다. 인용할 때는 어느 쪽 해석인지 밝혀야 한다.

초대형 공격은 반대로 움직였다. 1Tbps를 넘는 네트워크 계층 공격은 2분기 805건에서 3분기 251건으로 69% 가까이 줄었다. 보고서는 이를 2026년 초 법 집행 당국이 가장 큰 사물인터넷 DDoS 봇넷 네 개(Aisuru, KimWolf, JackSkid, Mossad)를 해체한 일과 연결하지만, 핵심 요약은 ‘반영일 수 있다’는 표현에 그치고 인과를 단정하지 않는다. 그래도 IoT 봇넷은 끈질긴 위협이며 Dysphoria, Evooo1Bot 같은 새 변종이 나오고 있다. Mirai로 분류된 완화량은 8월에 57.23PB로 정점을 찍었고 8월 16, 19, 23, 25일은 하루 3PB를 처리했다. 가장 길게 이어진 Mirai 공격은 8월 19일부터 21일까지 49.7시간이었다. 보고서는 46.5%를 3분기 완화된 네트워크 계층 바이트의 비중이라고 명시한다. 그러나 8월의 57.23PB는 제시된 분기 전체 272.6PB의 약 21%다. 두 수치는 그대로는 맞지 않으며 원문은 차이를 설명하지 않는다.

공격 방식도 바뀌었다. CLDAP 반사 공격은 상반기에 직전 분기 대비 580% 급증했다가 3분기에는 전체 공격의 0.05%로 떨어졌고 보고서는 이를 99.5% 감소로 표현한다. DNS 증폭은 215% 늘어 네트워크 계층 공격의 3.43%가 됐고, 그 밖의 UDP 플러드는 14.06%에서 31.31%로 약 122% 늘었다. UDP는 연결이 없는 프로토콜이어서 날것의 대량 트래픽을 보내기 편하다.

표적은 더 넓게 퍼졌다. 미디어·제작·출판은 여전히 가장 많이 공격받는 업종이지만 비중은 2분기의 약 4분의 1이다. 인터넷 업종은 10위 밖에서 6위로, 소비자 서비스와 성인 엔터테인먼트는 8위와 9위로 올랐다. 보고서는 짧고 중간 규모에 건수가 많은 이 유형이 대여형 ‘booter’ 서비스의 특징이며 주로 소프트웨어, 도박·카지노, 정보기술을 겨냥했다고 본다. 지역별로는 미국이 가장 많이 공격받았고 중국이 2위, 인도네시아가 2.93%로 상위 3위에 들었다. 캐나다는 16위에서 6위로, 이스라엘은 7계단 올라 10위가 됐다.

보고서는 지역과 업종 설명에도 한계가 있다. 캐나다가 16위에서 6위로 오른 것은 소매, 통신, 서비스 제공자와 사업자, 마케팅과 광고 업종이 공격받은 탓으로 설명되며 양국 간 무역 분쟁이라는 배경 속에서 서술된다. 이스라엘은 9월 중순 지속적인 DDoS 활동으로 10위가 됐는데, 보고서는 이를 의회 선거를 앞둔 논란 많은 결정, 새해 명절, 이스라엘을 겨냥한 적대적 사이버 활동의 급증과 함께 이야기한다. 이는 배경 소개이며 정치적 사건과 공격량 사이의 인과를 입증하지는 않는다. 보고서는 이번 호가 상반기 합본 이후 분기 발간으로 돌아온 제26호라고 밝히고, Cloudflare의 위협 인텔리전스 조직 Cloudforce One이 썼으며, 회사는 자사 네트워크가 전 세계 웹의 20% 넘게를 보호한다고 말한다. CLDAP 반사 공격은 공개된 도메인 컨트롤러(UDP 389)에 피해자 IP를 위조한 작은 질의를 보내 증폭된 응답을 되돌리게 하고, DNS 증폭도 열린 DNS 리졸버로 같은 방식을 쓴다. UDP 플러드는 대상의 임의 또는 특정 포트에 UDP 패킷을 대량으로 보내 대상이 수신 프로그램을 확인하고 응답하느라 네트워크와 계산 자원을 쓰게 만든다. 보고서는 무료 봇넷 위협 피드가 호스팅 업체, 클라우드 플랫폼, 인터넷 서비스 제공자가 공격에 쓰인 악성 IP와 계정을 찾아 내리도록 돕는 것이며 이미 800개가 넘는 네트워크가 가입했다고 설명한다. 가장 큰 공격은 여전히 분기당 수백 건 단위로 1Tbps를 넘는다고도 적는다.

이것이 방어 업체가 자기 네트워크에서 낸 통계라는 점을 기억해야 한다. 순위는 Cloudflare 고객이 받은 공격을 보여 줄 뿐 인터넷 전체가 아니다. Cloudflare는 자사 방어가 330개 넘는 도시에서 500Tbps 용량으로 돌아가며, 서비스 제공자용 무료 봇넷 위협 피드에 800개가 넘는 네트워크가 가입했다고 덧붙인다. 운영 팀에게 주는 교훈은 대부분의 공격이 사람이 경보를 읽기 전에 끝나므로 방어는 자동이어야 하고, 한 번의 공격 크기만큼 건수도 중요하다는 것이다.