Rapport Cloudflare sur les menaces DDoS au troisième trimestre 2026 : plus d’essaims, moins de géantes

Bienvenue dans la 26e édition du rapport Cloudflare sur les menaces DDoS. Cette édition est consacrée au troisième trimestre de 2026, à savoir les mois de juillet, août et septembre, et marque le retour de la cadence trimestrielle de cette série, après la publication du volume couvrant le premier semestre de 2026. L’analyse est réalisée par Cloudforce One, l’organisation de publication d’informations sur les menaces de Cloudflare, et propose une étude complète de l’évolution du panorama des menaces liées aux attaques par déni de service distribué (DDoS, Distributed Denial of Service), reposant sur les données issues du réseau Cloudflare.

Informations essentielles

1. Les attaques de courte durée et à faible bande passante, caractérisées par une durée de moins de 10 minutes et un débit inférieur à 1 Gbit/s, ont connu une augmentation considérable de 208 %. À l’inverse, les attaques hyper-volumétriques d’un débit supérieur à 1 Tbit/s ont reculé de près de 69 % par rapport au deuxième trimestre ; cette baisse pourrait s’expliquer par les actions menées par les forces de l’ordre contre quatre grands botnets exploitant l’Internet des objets (IoT, Internet of Things) au début de l’année. Cependant, de nouvelles variantes continuent d’apparaître, démontrant que les botnets exploitant l’IoT demeurent une menace persistante et de grande ampleur pour les infrastructures réseau.
2. Les cybercriminels ont radicalement modifié leurs tactiques de réflexion et d’amplification, délaissant brusquement les attaques par inondation CLDAP (Connectionless Lightweight Directory Access Protocol), dont le volume a chuté de 99,5 % d’un trimestre à l’autre. À la place, les acteurs malveillants ont massivement opté pour d’autres protocoles sans connexion, entraînant une augmentation de 215 % des attaques par amplification DNS ainsi qu’une progression de 122 % des attaques par inondation UDP (UDP flood) dans leur ensemble.
3. Les cibles des attaques se sont considérablement diversifiées, tant sur le plan sectoriel que géographique, les États-Unis ayant repris à la Chine la première place du classement du nombre d’attaques subies. Le Canada et Israël ont connu une forte recrudescence du volume d’attaques ciblées, gagnant respectivement 10 et 7 places au classement, tout en faisant face à des tensions géopolitiques, des différends commerciaux et des événements nationaux controversés. Parallèlement à cela, les opérations se sont détournées des organisations de médias pour cibler un éventail plus large de secteurs, parmi lesquels les services aux particuliers, les infrastructures Internet et le divertissement pour adultes.

Le troisième trimestre en chiffres : 5 300 attaques DDoS par heure

Au troisième trimestre 2026, Cloudflare a atténué de manière autonome, sur l’ensemble de son réseau, 18,2 millions d’attaques DDoS au niveau de la couche réseau et 14,4 billions de requêtes DDoS HTTP. Ces chiffres représentent environ 8 226 attaques DDoS contre la couche réseau par heure, soit environ 197 400 attaques par jour – une attaque toutes les 0,44 seconde. Le trafic traité au cours du trimestre s’est élevé à 272,6 Po au niveau de la couche réseau et à 95,1 Po au niveau de la couche HTTP.

Plus d’essaims, moins de géantes

Les attaques de courte durée, d’intensité moyenne et de grand volume, qui constituent la signature opérationnelle des services d’attaques DDoS à la demande (appelés « boosters ») se sont accélérées ce trimestre. Ces attaques ciblaient principalement les secteurs des logiciels informatiques, des jeux d’argent et des casinos, ainsi que des technologies de l’information. Au troisième trimestre de 2026, Cloudflare a atténué de manière autonome 18,2 millions d’attaques DDoS au niveau de la couche réseau, soit une augmentation de 208 % par rapport au même trimestre en 2025 :

• 96 % des attaques ont duré moins de 10 minutes
• 98 % des attaques n’ont pas dépassé 1 Gb/s, une intensité amplement suffisante pour submerger un serveur ou un site web

En revanche, les attaques hyper-volumétriques (supérieures à 1 Tb/s) au niveau de la couche réseau ont inversé leur tendance, chutant de 805 attaques au deuxième trimestre à 251 attaques. Cette baisse coïncide avec une opération des forces de l’ordre menée début 2026, qui a permis de démanteler quatre des plus grands botnets DDoS exploitant l’IoT : Aisuru, KimWolf, JackSkid et Mossad.

Les botnets reposant sur l’IoT demeurent une menace persistante et de grande ampleur, puisque cet écosystème engendre continuellement de nouvelles variantes, telles que Dysphoria et Evooo1Bot. Les mesures d’atténuation classées Mirai ont atteint un pic au mois d’août, à 57,23 Po, représentant 46,5 % de l’ensemble des octets traités au niveau de la couche réseau au troisième trimestre ; pendant quatre jours (les 16, 19, 23 et 25 août), le volume quotidien a dépassé trois pétaoctets. L’attaque Mirai la plus longue observée ce trimestre a duré 49,7 heures, entre le 19 et le 21 août.

Évolutions vectorielles : l’effondrement de CLDAP et l’essor d’UDP

Le renversement de tendance le plus spectaculaire de ce trimestre a été un recul. Les attaques CLDAP (Connectionless Lightweight Directory Access Protocol), lors desquelles des requêtes de petite taille comportant une adresse IP de victime falsifiée trompent des contrôleurs de domaine publics (UDP 389), qui renvoient vers la cible des réponses massives et amplifiées, ont connu une hausse spectaculaire de 580 % d’un trimestre à l’autre au cours du premier semestre, avant de s’effondrer pour ne représenter que 0,05 % des attaques au troisième trimestre.

Par ailleurs, les attaques par amplification DNS ont bondi de 215 %, représentant désormais 3,43 % de l’ensemble des attaques au niveau de la couche réseau. Elles exploitent des résolveurs DNS ouverts selon un schéma de réflexion et d’amplification similaire à celui des attaques CLDAP, c’est-à-dire des requêtes usurpées de petite taille et d’importants volumes de réponses dirigés vers la victime. Les autres attaques par inondation UDP (UDP flood) ont progressé de 14,06 % à 31,31 % du volume d’attaques contre la couche réseau. Le protocole UDP est un protocole de transport sans connexion, ce qui en fait un vecteur idéal pour les attaques volumétriques brutes : les acteurs malveillants envoient un grand nombre de paquets UDP vers des ports aléatoires ou spécifiques de la cible, contraignant celle-ci à vérifier la présence d’une application à l’écoute et à répondre, ce qui épuise ses ressources réseau et de calcul.

Les secteurs les plus fréquemment ciblés

Si le secteur des médias, de la production et de l’édition est resté le plus fréquemment ciblé au troisième trimestre de 2026, sa part globale ne représente qu’environ un quart de celle enregistrée au deuxième trimestre, et les attaques se sont réparties sur un éventail plus large de secteurs. Le secteur de l’Internet a progressé a rejoint le palmarès des 10 secteurs les plus fréquemment ciblés, à la 6e place ; les services aux consommateurs et les divertissements pour adultes ont également se sont également hissés dans ce classement, atteignant respectivement la 8e et la 9e place.

Les pays les plus fréquemment ciblés

Progressions géographiques : le Canada et Israël grimpent parmi le classement

Dans une période déjà mouvementée, marquée par des différends commerciaux bilatéraux, le Canada est passé de la 16e à la 6e place, sous l’effet des attaques ciblant les secteurs du commerce de détail, des télécommunications, des prestataires de services et opérateurs, ainsi que ceux du marketing et de la publicité.

Israël a gagné 7 places pour se hisser à la 10e place, conséquence d’une activité d’attaques DDoS soutenue observée à la mi-septembre. Si cette période a été marquée par des décisions controversées à l’approche des élections législatives et de la fête de Rosh Hashanah, une montée en puissance massive et documentée de la cyber-guerre hostile visant Israël a également été observée cette année.

Top 10

Les États-Unis ont été la cible la plus fréquente au troisième trimestre 2026, tandis que la Chine occupait la deuxième place et que l’Indonésie s’est hissée dans le trio de tête, avec 2,93 % du total des attaques. Le duo formé par les États-Unis et la Chine en tête du classement correspond à la situation observée au premier semestre 2026, durant lequel la Chine occupait la première place et les États-Unis la deuxième ; les deux pays ont échangé leurs places au gré des fluctuations de l’intérêt du public et des préférences des acteurs malveillants.

Renforcer les défenses mondiales et aider à protéger Internet

Le réseau de Cloudflare est conçu pour absorber ce type de croissance du volume de menaces DDoS. Chaque service de notre réseau est protégé par une protection gratuite et illimitée contre les attaques DDoS, exécutée dans chacune des plus de 330 villes dans lesquelles est implanté notre réseau mondial, soutenue par une capacité réseau de 500 Tbit/s. L’autonomie est notre priorité : nos systèmes détectent et atténuent les attaques sans intervention humaine. Cette approche est indispensable, car comme le démontrent clairement les chiffres de ce trimestre, la plupart des attaques se terminent bien avant qu’un analyste humain ne puisse prendre connaissance de l’alerte ; les attaques les plus importantes, quant à elles, dépassent encore régulièrement 1 Tbit/s, et surviennent à une fréquence mesurée en centaines d’attaques par trimestre.

Nous tirons parti de la perspective unique de Cloudflare pour aider les fournisseurs d’hébergement, les plateformes d’informatique cloud et les fournisseurs d’accès Internet à identifier et à éliminer les adresses IP et les comptes malveillants à l’origine des attaques DDoS en leur proposant notre flux d’informations gratuit sur les menaces liées aux botnets (DDoS Botnet Threat Feed for Service Providers).

Plus de 800 réseaux dans le monde entier se sont abonnés à ce flux, et nous avons déjà observé une excellente collaboration au sein de la communauté afin de neutraliser les nœuds de botnets. Pour bénéficier d’une vue continuellement actualisée des tendances des attaques sur Internet, consultez Cloudflare Radar.

À propos de Cloudforce One

Portée par la mission de contribuer à la défense d’Internet, Cloudforce One exploite les données de télémétrie du réseau mondial de Cloudflare, qui protège plus de 20 % du web, afin de soutenir la recherche sur les menaces et d’assurer une réponse opérationnelle, protégeant ainsi les systèmes essentiels de millions d’entreprises à travers le monde.