Cloudflare DDoS-dreigingsrapport 2026 Q3: meer zwermen, minder reuzen

Welkom bij de 26e editie van het Cloudflare DDoS Threat Report. Deze editie beslaat het derde kwartaal van 2026 (juli, augustus en september) en keert terug naar de kwartaalfrequentie van de reeks na de gecombineerde uitgave van het eerste halfjaar van 2026. De analyse is opgesteld door Cloudforce One, de dreigingsinformatieorganisatie van Cloudflare, en biedt een uitgebreide analyse van het veranderende dreigingslandschap van Distributed Denial of Service (DDoS)-aanvallen op basis van gegevens uit het Cloudflare-netwerk.

Belangrijkste inzichten

1. Het aantal kortstondige aanvallen met een lage bandbreedte van minder dan 10 minuten en een snelheid van minder dan 1 Gbps is met 208% gestegen. Daarentegen daalden hypervolumetrische aanvallen van meer dan 1 Tbps met bijna 69% ten opzichte van het tweede kwartaal, mogelijk als gevolg van de acties van de wetshandhaving tegen vier grote Internet of Things (IoT)-botnets eerder dit jaar. Er blijven echter varianten opduiken, wat bewijst dat IoT-botnets een aanhoudende en grootschalige bedreiging vormen voor netwerkinfrastructuur.
2. Cybercriminelen hebben hun reflectie- en versterkingstactieken drastisch gewijzigd en CLDAP-floods abrupt opgegeven, die met 99,5% zijn gedaald ten opzichte van het vorige kwartaal. In plaats daarvan richtten aanvallers zich massaal op andere verbindingsloze protocollen, wat leidde tot een stijging van 215% in DNS-versterking en een toename van 122% in algemene UDP-floods.
3. De doelwitten van de aanvallen zijn aanzienlijk uitgebreid, zowel qua sectoren als qua geografisch gebied, waarbij de Verenigde Staten de positie van meest aangevallen land weer van China hebben overgenomen. Canada en Israël zagen een sterke stijging in gerichte aanvallen, respectievelijk 10 en 7 plaatsen hoger, terwijl ze te maken hadden met geopolitieke spanningen, handelsgeschillen en controversiële binnenlandse gebeurtenissen. Tegelijkertijd verschoof de operationele focus van mediaorganisaties naar een breder scala aan industriële doelen, waaronder consumentendiensten, internetinfrastructuur en volwassenenentertainment.

Derde kwartaal in cijfers: 8.200 DDoS-aanvallen per uur

Cloudflare heeft in het derde kwartaal van 2026 via haar netwerk autonoom 18,2 miljoen DDoS-aanvallen op netwerkniveau en 14,4 biljoen HTTP DDoS-verzoeken afgeweerd. Dat komt neer op ongeveer 8.226 DDoS-aanvallen op netwerkniveau per uur, of zo'n 197.400 per dag: één aanval per 0,44 seconden. Het in het kwartaal gereduceerde dataverkeer bedroeg in totaal 272,6 PB op netwerkniveau en 95,1 PB op HTTP-niveau.

Meer zwermen, minder reuzen

Dit kwartaal zag een toename in aanvallen met korte, middellange duur en een hoog aantal slachtoffers; het operationele kenmerk van DDoS-aanvallen die tegen betaling worden uitgevoerd door zogenaamde "booter"-diensten. Deze aanvallen waren voornamelijk gericht op computersoftware, gokken en casino's, en de informatietechnologiesector. Cloudflare heeft in het derde kwartaal van 2026 autonoom 18,2 miljoen DDoS-aanvallen op netwerkniveau afgeweerd, een stijging van +208% ten opzichte van hetzelfde kwartaal in 2025:

• 96% was binnen 10 minuten afgelopen.
• 98% bleef onder de 1 Gbps, meer dan genoeg om een server of website te overbelasten.

Aan de andere kant keerden hypervolumetrische aanvallen op netwerkniveau (aanvallen van meer dan 1 Tbps) zich om, met een daling van 805 aanvallen in het tweede kwartaal naar 251 in het derde kwartaal. Dit viel samen met de acties van de wetshandhaving begin 2026, waarbij vier van de grootste IoT DDoS-botnets werden ontmanteld: Aisuru, KimWolf, JackSkid en Mossad.

Desondanks blijven op IoT gebaseerde botnets een hardnekkige en omvangrijke bedreiging, terwijl het ecosysteem voortdurend nieuwe varianten zoals Dysphoria en Evooo1Bot voortbrengt. De door Mirai geclassificeerde mitigatie bereikte in augustus een piek van 57,23 PB, wat neerkomt op 46,5% van alle mitigeerde bytes op netwerkniveau in het derde kwartaal, inclusief vier dagen (16, 19, 23 en 25 augustus) waarop telkens meer dan drie petabytes werden overschreden. De langst aanhoudende Mirai-aanval van het kwartaal duurde 49,7 uur, van 19 tot en met 21 augustus.

Vectorverschuivingen: de ineenstorting van CLDAP en de opkomst van UDP

De meest dramatische vectorverschuiving van het kwartaal was naar beneden. CLDAP-aanvallen (Connectionless Lightweight Directory Access Protocol), waarbij kleine query's met een vervalst IP-adres van het slachtoffer publieke domeincontrollers (UDP 389) misleiden om massale, versterkte reacties terug te sturen naar het doelwit, kenden een dramatische stijging van +580% ten opzichte van het vorige kwartaal in de eerste helft van het jaar, voordat ze in het derde kwartaal terugvielen tot slechts 0,05% van de aanvallen.

Ondertussen nam DNS-amplificatie met 215% toe, goed voor 3,43% van alle aanvallen op de netwerklaag. Hierbij werden open DNS-resolvers misbruikt volgens een vergelijkbaar reflectie- en versterkingspatroon als bij CLDAP: kleine, vervalste query's, gevolgd door grote antwoorden die direct op het slachtoffer gericht waren. Het aandeel van andere UDP-aanvallen steeg van 14,06% naar 31,31% van de netwerkaanvallen. UDP is een verbindingsloos transportprotocol, waardoor het een handig middel is voor puur volumetrische aanvallen: grote aantallen UDP-pakketten worden door aanvallers naar willekeurige of specifieke poorten op het doelwit gestuurd. Hierdoor moet het doelwit controleren of er een luisterende applicatie is en daarop reageren, wat de netwerk- en rekenkracht van het doelwit uitput.

Meest aangevallen sector

Hoewel de sector Media, productie & uitgeverij in het derde kwartaal van 2026 nog steeds het meest aangevallen werd, bedraagt het totale aandeel ongeveer een kwart van het niveau in het tweede kwartaal, en is de aandacht verschoven naar een breder scala aan sectoren. Het internet steeg van buiten de top 10 naar plaats 6. Consumentendiensten en volwassenenentertainment klommen ook de top 10 in en bereikten respectievelijk plaats 8 en 9.

Meest aangevallen landen

Geografische opmars: Canada en Israël klimmen in de ranglijst

Als gevolg van aanvallen op de detailhandel, telecom, serviceproviders en carriers, en de marketing- en reclame-industrie, is Canada, dat zich in een toch al turbulente periode van bilaterale handelsgeschillen bevindt, van plaats 16 naar plaats 6 gesprongen.

Israël is zeven plaatsen gestegen naar nummer 10 als gevolg van aanhoudende DDoS-aanvallen medio september. Hoewel deze periode gekenmerkt werd door controversiële beslissingen in aanloop naar de parlementsverkiezingen en het Rosj Hasjana-feest, was er dit jaar ook een enorme, gedocumenteerde toename van vijandige cyberaanvallen gericht tegen Israël.

Top 10

De Verenigde Staten waren in het derde kwartaal van 2026 het meest aangevallen land, gevolgd door China op de tweede plaats en Indonesië dat met 2,93% van het totale aantal aanvallen in de top drie terechtkwam. De combinatie VS-China aan de top is consistent met de eerste helft van 2026, toen China op nummer 1 eindigde en de VS op nummer 2; de landen zijn van positie gewisseld naarmate de aandacht en de voorkeuren van aanvallers verschoven.

Versterken van de wereldwijde verdediging en helpen beschermen van het internet

Het netwerk van Cloudflare is ontworpen om dit soort groei van DDoS-aanvallen op te vangen. Elke dienst op ons netwerk wordt beschermd door gratis, onbeperkte DDoS-bescherming die actief is in elk van onze meer dan 330 steden wereldwijd, ondersteund door een netwerkcapaciteit van 500 Tbps. Autonomie is het punt: onze systemen detecteren en neutraliseren aanvallen zonder menselijke tussenkomst. En dat is ook nodig, want zoals de cijfers van dit kwartaal duidelijk maken, eindigen de meeste aanvallen lang voordat een menselijke analist de melding kan zien, en de grootste aanvallen overschrijden nog steeds regelmatig 1 Tbps, met een frequentie van honderden per kwartaal.

Om hostingproviders, cloudcomputing-platforms en internetproviders te helpen bij het identificeren en verwijderen van de IP-adressen en accounts die dergelijke aanvallen uitvoeren, maken we gebruik van Cloudflare's unieke positie wat betreft DDoS-aanvallen om een gratis DDoS-botnetdreigingsfeed voor serviceproviders te leveren.

Wereldwijd hebben meer dan 800 netwerken zich voor deze feed aangemeld. We hebben al een geweldige samenwerking binnen de community gezien om botnet-nodes uit de lucht te halen. Voor een continu bijgewerkt overzicht van aanvalstrends op het internet kunt u terecht op Cloudflare Radar.

Over Cloudforce One

Cloudforce One wordt gedreven door de missie om het internet te verdedigen en put uit telemetriegegevens van het internationale netwerk van Cloudflare, dat meer dan 20% van het web beschermt, om onderzoek naar bedreigingen en operationele respons te stimuleren en zo kritieke systemen van miljoenen organisaties wereldwijd te beschermen.