Raport Cloudflare o zagrożeniach DDoS za 3. kwartał 2026 r. — więcej rojów, mniej gigantów

Witamy w 26. edycji raportu Cloudflare DDoS Threat Report. Niniejsza edycja obejmuje trzeci kwartał 2026 roku, tj. lipiec, sierpień i wrzesień, i oznacza powrót serii do kwartalnego cyklu publikacji po wydaniu łączonym za pierwszą połowę 2026 roku. Opracowanie przygotowała Cloudforce One, organizacja Cloudflare zajmująca się analizą zagrożeń. Na podstawie danych z sieci Cloudflare przedstawia ono kompleksowy obraz zmieniającego się krajobrazu zagrożeń związanych z atakami DDoS (Distributed Denial of Service).

Kluczowe spostrzeżenia

1. Liczba krótkotrwałych ataków o przepustowości poniżej 1 Gb/s, trwających mniej niż 10 minut, wzrosła o 208%. Z kolei liczba hiperwolumetrycznych ataków przekraczających 1 Tb/s spadła w porównaniu z 2. kwartałem o niemal 69%, co może być efektem działań organów ścigania wymierzonych wcześniej w tym roku w cztery duże sieci botów Internetu rzeczy (IoT). Jednak nadal pojawiają się nowe odmiany, co potwierdza, że sieci botów IoT pozostają trwałym źródłem zagrożeń o dużej skali dla infrastruktury sieciowej.
2. Cyberprzestępcy radykalnie zmienili taktykę odbicia i wzmocnienia ruchu, gwałtownie odchodząc od ataków zalewowych CLDAP, których liczba spadła o 99,5% w ujęciu kwartalnym. Zamiast tego atakujący w dużym stopniu przerzucili się na inne protokoły bezpołączeniowe, co doprowadziło do wzrostu liczby ataków ze wzmocnieniem DNS o 215% oraz ogólnych ataków zalewowych UDP o 122%.
3. Zakres celów ataków znacznie się poszerzył zarówno pod względem branż, jak i geograficznym, a Stany Zjednoczone ponownie zajęły miejsce najczęściej atakowanego kraju, wyprzedzając Chiny. Kanada i Izrael odnotowały gwałtowny wzrost liczby ukierunkowanych ataków, awansując odpowiednio o 10 i 7 miejsc w rankingu, a jednocześnie mierząc się z napięciami geopolitycznymi, sporami handlowymi i kontrowersyjnymi wydarzeniami krajowymi. Jednocześnie aktywność atakujących przesunęła się z organizacji medialnych na znacznie szerszą grupę branż, w tym usługi konsumenckie, infrastrukturę internetową oraz branżę treści dla dorosłych.

Trzeci kwartał w liczbach: 8200 ataków DDoS na godzinę

W trzecim kwartale 2026 roku Cloudflare automatycznie ograniczyła skutki 18,2 mln ataków DDoS na warstwie sieciowej oraz 14,4 bln żądań HTTP związanych z atakami DDoS. Oznacza to około 8226 ataków DDoS na warstwie sieciowej na godzinę, czyli około 197 400 dziennie — jeden atak co 0,44 sekundy. Łączny wolumen ruchu objętego działaniami ograniczającymi skutki ataków w tym kwartale wyniósł 272,6 PB na warstwie sieciowej oraz 95,1 PB na warstwie HTTP.

Więcej rojów, mniej gigantów

W tym kwartale nasiliły się krótkotrwałe, liczne ataki średniej skali, charakterystyczne dla sposobu działania usług DDoS-for-hire typu „booter”. Ataki te były wymierzone przede wszystkim w branżę oprogramowania komputerowego, sektor hazardowy i kasynowy oraz sektor technologii informacyjnych. W 3. kwartale 2026 r. Cloudflare automatycznie ograniczyła skutki 18,2 mln ataków DDoS na warstwie sieciowej, co oznacza wzrost o 208% w porównaniu z tym samym kwartałem 2025 r.:

• 96% zakończyło się w czasie krótszym niż 10 minut,
• 98% nie przekroczyło 1 Gb/s, co i tak wystarcza, aby przeciążyć serwer lub witrynę internetową.

Z kolei liczba hiperwolumetrycznych ataków na warstwie sieciowej (przekraczających 1 Tb/s) zaczęła spadać — z 805 w 2. kwartale do 251 w 3. kwartale. Zbiegło się to w czasie z działaniami organów ścigania podjętymi na początku 2026 roku, w wyniku których zlikwidowano cztery z największych sieci botów IoT wykorzystywanych do ataków DDoS: Aisuru, KimWolf, JackSkid i Mossad.

Sieci botów oparte na urządzeniach IoT nadal jednak stanowią trwałe zagrożenie o dużej skali, ponieważ w tym ekosystemie stale pojawiają się nowe odmiany, takie jak Dysphoria i Evooo1Bot. Wolumen ruchu sklasyfikowanego jako związany z Mirai, którego skutki ograniczyła firma Cloudflare, osiągnął w sierpniu najwyższy poziom 57,23 PB, co stanowiło 46,5% wszystkich bajtów ruchu na warstwie sieciowej objętych działaniami ograniczającymi skutki ataków w 3. kwartale. W czterech dniach, tj. 16, 19, 23 i 25 sierpnia, wolumen ten każdorazowo przekroczył 3 PB. Najdłuższy utrzymujący się atak Mirai w tym kwartale trwał 49,7 godziny, od 19 do 21 sierpnia.

Zmiany wektorów ataku: załamanie CLDAP i wzrost liczby ataków UDP

Najbardziej gwałtowna zmiana dotycząca wektorów ataku w tym kwartale oznaczała spadek. Ataki CLDAP (Connectionless Lightweight Directory Access Protocol), w których niewielkie zapytania ze sfałszowanym adresem IP ofiary powodują, że publicznie dostępne kontrolery domeny (UDP 389) odsyłają do celu ogromne, wzmocnione odpowiedzi, wzrosły w pierwszej połowie roku aż o 580% w ujęciu kwartalnym, po czym w 3. kwartale ich udział gwałtownie spadł do zaledwie 0,05% wszystkich ataków.

Tymczasem liczba ataków wykorzystujących wzmocnienie DNS wzrosła o 215%, osiągając 3,43% wszystkich ataków na warstwie sieciowej. Wykorzystują one otwarte resolwery DNS w podobnym do CLDAP schemacie odbicia i wzmocnienia ruchu: niewielkie sfałszowane zapytania powodują wysyłanie do ofiary dużych odpowiedzi. Udział innych ataków zalewowych UDP wśród ataków na warstwie sieciowej wzrósł z 14,06% do 31,31%. UDP jest bezpołączeniowym protokołem transportowym, co czyni go dogodnym mechanizmem do przeprowadzania ataków wolumetrycznych. Atakujący wysyłają dużą liczbę pakietów UDP na losowe lub określone porty celu, zmuszając system docelowy do sprawdzania, czy na danym porcie działa aplikacja nasłuchująca, oraz do generowania odpowiedzi, co zużywa zasoby sieciowe i obliczeniowe.

Najczęściej atakowane branże

Choć branża mediów, produkcji i działalności wydawniczej pozostała najczęściej atakowaną branżą w 3. kwartale 2026 r., jej udział w atakach spadł do około jednej czwartej poziomu z 2. kwartału, a aktywność atakujących objęła szerszą grupę branż. Sektor internetowy awansował spoza pierwszej dziesiątki na 6. miejsce, a usługi konsumenckie i branża treści dla dorosłych również znalazły się w pierwszej dziesiątce, zajmując odpowiednio 8. i 9. miejsce.

Najczęściej atakowane lokalizacje

Gwałtowne wzrosty według lokalizacji: Kanada i Izrael awansują w rankingu

W okresie już naznaczonym silnymi napięciami związanymi z dwustronnymi sporami handlowymi Kanada awansowała z 16. na 6. miejsce, głównie za sprawą ataków na sektory handlu detalicznego, telekomunikacji, dostawców usług i operatorów oraz marketingu i reklamy.

Izrael awansował o 7 pozycji na 10. miejsce w wyniku utrzymującej się aktywności DDoS w połowie września. Choć okres ten był naznaczony kontrowersyjnymi decyzjami podejmowanymi przed wyborami parlamentarnymi oraz świętem Rosz ha-Szana, w tym roku odnotowano również gwałtowną eskalację wrogich operacji cybernetycznych wymierzonych w Izrael.

Pierwsza dziesiątka

W trzecim kwartale 2026 r. Stany Zjednoczone były najczęściej atakowanym krajem, Chiny zajęły 2. miejsce, a Indonezja awansowała do pierwszej trójki, odpowiadając za 2,93% wszystkich ataków. Obecność Stanów Zjednoczonych i Chin na czele rankingu jest zgodna z sytuacją z pierwszej połowy 2026 r., kiedy Chiny zajęły pierwszą, a Stany Zjednoczone drugą pozycję. Kraje te zamieniają się miejscami wraz ze zmianami zainteresowania i preferencji atakujących.

Wzmacnianie globalnych zabezpieczeń i pomoc w ochronie Internetu

Sieć Cloudflare została zaprojektowana tak, aby radzić sobie z tak szybkim wzrostem zagrożeń DDoS. Każda usługa w naszej sieci jest chroniona przez bezpłatną, nielimitowaną ochronę przed atakami DDoS, która działa w każdej z ponad 330 lokalizacji Cloudflare na całym świecie i jest wspierana przez 500 Tb/s przepustowości sieci. Istotą jest autonomiczne działanie: nasze systemy wykrywają i ograniczają skutki ataków bez interwencji człowieka. I muszą działać autonomicznie, ponieważ — co wyraźnie pokazują dane z tego kwartału — większość ataków kończy się, zanim analityk zdąży zauważyć alert, a największe z nich nadal regularnie przekraczają 1 Tb/s i występują w liczbie setek na kwartał.

Aby pomóc dostawcom hostingu, platformom przetwarzania w chmurze i dostawcom usług internetowych identyfikować oraz wyłączać adresy IP i konta wykorzystywane do przeprowadzania tych ataków, wykorzystujemy wyjątkową perspektywę Cloudflare na ataki DDoS, udostępniając bezpłatny kanał danych o zagrożeniach ze strony sieci botów DDoS dla dostawców usług.

Ponad 800 sieci na całym świecie zarejestrowało się już w tym kanale danych, a współpraca w ramach społeczności przyniosła już bardzo dobre efekty w zakresie likwidowania węzłów sieci botów. Aby uzyskać stale aktualizowany obraz trendów dotyczących ataków w całym Internecie, odwiedź witrynę Cloudflare Radar.

Cloudforce One

Kierując się misją wspierania obrony Internetu, Cloudforce One wykorzystuje dane telemetryczne z globalnej sieci Cloudflare, która chroni ponad 20% Internetu, do prowadzenia badań nad zagrożeniami i działań operacyjnych w reakcji na nie, chroniąc systemy krytyczne milionów organizacji na całym świecie.