Cloudflare 2026년 3분기 DDoS 위협 보고서: 대규모 공격은 줄고, 소규모 공격은 늘어나다

Cloudflare의 DDoS 위협 보고서 제26호를 소개합니다. 이번 호는 2026년 3분기, 즉 7월, 8월, 9월을 다룹니다. 2026년 상반기 통합 보고서 발행 이후 다시 분기별 발행 주기로 돌아왔습니다. 이 분석은 Cloudflare의 위협 인텔리전스 조직인 Cloudforce One에서 작성했으며, Cloudflare 네트워크의 데이터를 기반으로 진화하는 분산 서비스 거부(DDoS) 공격 위협 환경을 종합적으로 분석합니다.

핵심 인사이트

1. 지속 시간이 10분 미만이고 대역폭이 1Gbps 미만인 단시간·저대역폭 공격이 208% 급증했습니다. 반면 1Tbps를 초과하는 대규모 볼류메트릭 공격은 2분기 대비 약 69% 급감했습니다. 이는 올해 초 주요 사물 인터넷(IoT) 봇넷 4개를 대상으로 시행된 법 집행 기관의 조치가 반영된 결과일 수 있습니다. 하지만 새로운 변종이 계속 등장하고 있어 IoT 봇넷이 여전히 네트워크 인프라에 지속적인 대규모 위협이 되고 있음을 보여줍니다.
2. 위협 행위자들은 반사 및 증폭 공격 전술을 극적으로 바꾸었습니다. CLDAP 폭주 공격을 갑자기 중단하면서 해당 공격은 전 분기 대비 99.5% 급감했습니다. 대신 공격자들은 다른 비연결형 프로토콜로 대거 전환했고, 그 결과 DNS 증폭 공격은 215%, 일반적인 UDP 폭주 공격은 122% 증가했습니다.
3. 공격 대상이 산업과 지역 전반에 걸쳐 크게 확대되었으며, 미국은 중국을 제치고 가장 많은 공격을 받은 국가 자리를 되찾았습니다. 캐나다와 이스라엘은 지정학적 긴장, 무역 분쟁, 논란이 되는 국내 현안에 직면한 가운데 표적 공격이 급증하면서 순위가 각각 10계단, 7계단 상승했습니다. 동시에 공격자들의 주요 표적도 미디어 조직에서 소비자 서비스, 인터넷 인프라, 성인 엔터테인먼트 등 더욱 다양한 산업으로 옮겨갔습니다.

숫자로 보는 3분기: 시간당 8,200건의 DDoS 공격

2026년 3분기에 Cloudflare는 네트워크 전반에서 네트워크 계층 DDoS 공격 1,820만 건과 HTTP DDoS 요청 14조 4,000억 건을 자율적으로 완화했습니다. 이는 네트워크 계층 DDoS 공격이 시간당 약 8,226건, 하루 약 19만 7,400건 발생한 것으로, 0.44초마다 한 건의 공격이 발생한 셈입니다. 해당 분기에 완화한 트래픽은 네트워크 계층에서 총 272.6PB, HTTP 계층에서 총 95.1PB에 달했습니다.

대규모 공격은 줄고, 소규모 공격은 늘어나다

짧은 시간에 중간 수준의 대역폭으로 대량 발생하는 공격이 이번 분기에 가속화되었습니다. 이는 서비스형 DDoS 공격을 제공하는 ‘부터(booter)’ 서비스의 전형적인 운영 특징입니다. 이러한 공격은 주로 컴퓨터 소프트웨어, 도박 및 카지노, 정보 기술 산업을 표적으로 삼았습니다. Cloudflare는 2026년 3분기에 네트워크 계층 DDoS 공격 1,820만 건을 자율적으로 완화했으며, 이는 2025년 같은 분기보다 208% 증가한 수치입니다.

• 96%는 10분 이내에 종료되었습니다.
• 98%는 1Gbps 미만이었지만, 이 정도로도 서버나 웹사이트를 마비시키기에 충분합니다.

반면 네트워크 계층의 대규모 볼류메트릭 공격(1Tbps 초과)은 증가세가 반전되어 2분기 805건에서 3분기 251건으로 감소했습니다. 이는 2026년 초 법 집행 기관이 최대 규모의 IoT DDoS 봇넷 4개인 Aisuru, KimWolf, JackSkid, Mossad를 해체한 시기와 맞물립니다.

그럼에도 IoT 기반 봇넷은 Dysphoria, Evooo1Bot 같은 새로운 변종이 계속 등장하면서 지속적인 대규모 위협으로 남아 있습니다. Mirai로 분류된 공격에 대한 완화 트래픽은 8월에 57.23PB로 정점을 찍었으며, 이는 3분기에 완화한 전체 네트워크 계층 바이트의 46.5%에 해당합니다. 여기에는 8월 16일, 19일, 23일, 25일처럼 하루 완화량이 각각 3PB를 넘긴 날도 4일 포함됩니다. 이번 분기에 가장 오래 지속된 Mirai 공격은 8월 19일부터 21일까지 49.7시간 동안 이어졌습니다.

공격 벡터의 변화: CLDAP의 급감과 UDP의 증가

이번 분기에 가장 극적으로 변화한 공격 벡터는 급감한 CLDAP였습니다. CLDAP(Connectionless Lightweight Directory Access Protocol) 공격은 피해자의 IP 주소를 위조한 소규모 쿼리를 사용해 공개 도메인 컨트롤러(UDP 389)가 대량으로 증폭된 응답을 피해자에게 반사하도록 유도합니다. 이러한 공격은 올해 상반기에 전 분기 대비 580% 급증한 후 3분기에는 전체 공격의 0.05%로 급감했습니다.

한편 DNS 증폭 공격은 215% 급증해 전체 네트워크 계층 공격의 3.43%를 차지했습니다. 이는 CLDAP와 유사한 반사·증폭 방식으로 개방형 DNS 리졸버를 악용하는 공격입니다. 위조한 소규모 쿼리를 보내면 대규모 응답이 피해자에게 전달됩니다. 기타 UDP 폭주 공격의 비중도 전체 네트워크 계층 공격의 14.06%에서 31.31%로 증가했습니다. UDP는 비연결형 전송 프로토콜이므로 원시 볼류메트릭 공격에 편리하게 이용됩니다. 공격자는 대상의 임의 포트 또는 특정 포트로 대량의 UDP 패킷을 전송해 수신 대기 중인 애플리케이션이 있는지 확인하고 응답하도록 강제함으로써 네트워크와 컴퓨팅 리소스를 소모시킵니다.

가장 많은 공격을 받은 업계

2026년 3분기에도 미디어, 제작 및 출판 업계가 가장 많은 공격을 받은 업계였지만, 전체 공격에서 차지하는 비중은 2분기의 약 4분의 1 수준으로 감소했고 공격 대상도 더 다양한 업계로 확대되었습니다. 인터넷은 상위 10위권 밖에서 6위로 상승했으며, 소비자 서비스와 성인 엔터테인먼트도 새롭게 진입해 각각 8위와 9위를 기록했습니다.

가장 많은 공격을 받은 지역

지역별 공격 급증: 캐나다와 이스라엘의 순위 상승

양국 간 무역 분쟁으로 이미 혼란스러운 시기에 캐나다는 16위에서 6위로 뛰어올랐습니다. 이는 소매업, 통신업, 서비스 공급자 및 통신 사업자, 마케팅 및 광고 산업을 겨냥한 공격에 따른 결과입니다.

이스라엘은 9월 중순 지속적인 DDoS 공격을 받으면서 순위가 7계단 상승해 10위를 차지했습니다. 이 시기에는 의회 선거를 앞둔 논란의 여지가 있는 결정과 로쉬 하샤나(Rosh Hashanah) 명절이 겹쳤으며, 올해 이스라엘을 표적으로 한 적대적인 사이버전 활동이 대규모로 급증했다는 사실도 문서로 확인되었습니다.

상위 10개

2026년 3분기에 미국은 가장 많은 공격을 받은 지역이었고, 중국은 2위를 차지했으며, 인도네시아는 전체 공격의 2.93%를 기록해 상위 3위 안에 진입했습니다. 미국과 중국이 상위 두 자리를 차지한 구도는 중국이 1위, 미국이 2위였던 2026년 상반기와 일치합니다. 다만 관심의 집중도와 공격자들의 선호가 달라지면서 두 국가의 순위가 뒤바뀌었습니다.

전 세계 방어 역량 강화 및 인터넷 보호 지원

Cloudflare의 네트워크는 이처럼 증가하는 DDoS 위협을 흡수할 수 있도록 설계되었습니다. Cloudflare 네트워크의 모든 서비스에는 무료 무제한 DDoS 방어가 적용되며, 이 방어 기능은 500Tbps의 네트워크 용량을 기반으로 전 세계 330개 이상의 모든 Cloudflare 도시에서 실행됩니다. 핵심은 자율성입니다. 우리 시스템은 사람의 개입 없이 공격을 탐지하고 완화합니다. 실제로 이 분기의 공격 분포에서 드러나듯, 대부분의 공격은 사람이 경보를 확인하기도 훨씬 전에 끝나며, 가장 큰 공격은 여전히 분기마다 수백 건씩 발생하고 그 규모도 정기적으로 1Tbps를 초과하므로 이러한 자율성이 필수적입니다.

호스팅 공급자, 클라우드 컴퓨팅 플랫폼 및 인터넷 서비스 공급자가 이러한 공격을 시작하는 악성 IP 주소/계정을 식별하고 차단할 수 있도록 지원하기 위해 Cloudflare는 DDoS 공격에 대한 Cloudflare 고유의 관측 지점을 활용하여 서비스 공급자를 위한 무료 DDoS 봇넷 위협 피드를 제공합니다.

전 세계적으로 800여 개의 네트워크에서 이미 이 피드에 가입했으며, 커뮤니티 전반에서 봇넷 노드를 제거하기 위한 협업이 잘 이루어지고 있습니다. 인터넷 전반의 공격 동향을 지속적으로 업데이트한 정보를 확인하려면 Cloudflare Radar를 방문하세요.

Cloudforce One 소개

인터넷을 방어한다는 사명을 바탕으로, Cloudforce One은 전 세계 웹의 20% 이상을 보호하는 Cloudflare의 글로벌 네트워크에서 수집된 텔레메트리를 활용해 위협 연구와 운영 대응을 수행하며, 전 세계 수백만 조직의 핵심 시스템을 보호합니다.