Relatório sobre ameaças de DDoS da Cloudflare do terceiro trimestre de 2026: Mais ataques pulverizados, menos ataques de grande porte

Boas-vindas à vigésima sexta edição do Relatório sobre ameaças de DDoS da Cloudflare. Esta edição abrange o terceiro trimestre de 2026, julho, agosto e setembro, e retoma a periodicidade trimestral da série, após o volume que reuniu o primeiro semestre de 2026. A análise é produzida pelo Cloudforce One, a organização de inteligência contra ameaças da Cloudflare, oferecendo uma análise abrangente do cenário em evolução de ameaças de ataques de negação de serviço distribuída (DDoS) com base em dados da rede da Cloudflare.

Principais insights

1. Ataques de curta duração e baixa largura de banda com duração inferior a 10 minutos e 1 Gbps tiveram um aumento de 208%. Por outro lado, ataques hipervolumétricos que excederam um Tbps caíram quase 69% em relação ao segundo trimestre, possivelmente um reflexo das ações de aplicação da lei contra quatro grandes botnets da Internet das Coisas (IoT) no início do ano. No entanto, variantes continuam a surgir, provando que as botnets de IoT continuam sendo uma ameaça duradoura e de alto volume para a infraestrutura de rede.
2. Os invasores mudaram drasticamente suas táticas de reflexão e amplificação, abandonando abruptamente as inundações de CLDAP, que diminuíram 99,5% em comparação com o trimestre anterior. Em vez disso, os invasores se voltaram fortemente para outros protocolos sem conexão, provocando um aumento de 215% na amplificação de DNS e um aumento de 122% em inundações gerais de UDP.
3. Os alvos de ataques ampliaram-se significativamente tanto em setores quanto em áreas geográficas, sendo que os Estados Unidos retomaram da China a posição de país mais atacado. Canadá e Israel sofreram picos acentuados em ataques direcionados, saltando 10 e 7 posições, respectivamente, enquanto lidavam com tensões geopolíticas, disputas comerciais e eventos internos controversos. Ao mesmo tempo, o foco operacional mudou das organizações de mídia para uma gama mais ampla de alvos da indústria, incluindo serviços ao consumidor, infraestrutura da internet e entretenimento adulto.

Terceiro trimestre em números: 8.200 ataques de DDoS por hora

Em toda a sua rede, no terceiro trimestre de 2026, a Cloudflare mitigou autonomamente 18,2 milhões de ataques de DDoS na camada de rede e 14,4 trilhões de solicitações de DDoS via HTTP. Isso equivale a aproximadamente 8.226 ataques de DDoS na camada de rede por hora, ou cerca de 197.400 por dia, um ataque a cada 0,44 segundos. O tráfego mitigado do trimestre totalizou 272,6 PB na camada de rede e 95,1 PB na camada HTTP.

Mais ataques pulverizados, menos ataques de grande porte

Ataques de curta duração, intensidade moderada e alta frequência, a assinatura operacional dos serviços de DDoS sob demanda, conhecidos como “booter”, ganharam força neste trimestre. Esses ataques visaram principalmente os setores de software de computador, jogos e cassinos e tecnologia da informação. A Cloudflare mitigou autonomamente 18,2 milhões de ataques de DDoS na camada de rede no terceiro trimestre de 2026, um aumento de 208% em relação ao mesmo trimestre em 2025:

• 96% terminaram em menos de 10 minutos
• 98% ficaram abaixo de 1 Gbps, o que é mais do que suficiente para sobrecarregar um servidor ou site

Por outro lado, ataques hipervolumétricos no nível da rede (aqueles que ultrapassam 1 Tbps) apresentaram uma queda, passando de 805 no 2º trimestre para 251 no 3º trimestre, coincidindo com a ação das autoridades no início de 2026 que desmantelou quatro das maiores botnets de IoT usadas para ataques de DDoS: Aisuru, KimWolf, JackSkid e Mossad.

No entanto, as botnets baseadas em IoT continuam a ser uma ameaça persistente e de grande volume, à medida que o ecossistema cria novas variantes como Dysphoria e Evooo1Bot. A mitigação de ataques classificados como derivados da Mirai atingiu o pico em agosto, com 57,23 PB, representando 46,5% de todos os bytes da camada de rede mitigados no terceiro trimestre, incluindo quatro dias, 16, 19, 23 e 25 de agosto, os quais eliminaram três petabytes cada. O ataque da Mirai de maior duração do trimestre foi de 49,7 horas entre 19 e 21 de agosto.

Mudanças nos vetores: o colapso do CLDAP e a ascensão do UDP

A mudança de vetor mais drástica do trimestre foi uma queda acentuada. Os ataques via CLDAP (Connectionless Lightweight Directory Access Protocol), nos quais pequenas consultas, contendo um endereço de IP da vítima falsificado, levam controladores de domínio públicos (porta UDP 389) a refletir respostas massivas e amplificadas contra o alvo, registraram um aumento expressivo de 580% em relação ao trimestre anterior durante o primeiro semestre do ano, antes de despencar para apenas 0,05% do total de ataques no terceiro trimestre.

Nesse meio tempo, a amplificação de DNS aumentou 215%, representando 3,43% de todos os ataques na camada de rede, explorando resolvedores de DNS abertos em um padrão de reflexão e amplificação semelhante ao CLDAP: consultas falsificadas pequenas e respostas grandes direcionadas à vítima. Outras inundações de UDP subiram de 14,06% para 31,31% dos ataques na camada de rede. O UDP é um protocolo de transporte sem conexão, o que o torna um veículo conveniente para ataques volumétricos brutos: os invasores enviam um grande número de pacotes UDP para portas aleatórias ou específicas no alvo, forçando o alvo a verificar se há um aplicativo ouvindo e responder, consumindo seus recursos de rede e computação.

Setores mais atacados

Embora o segmento de mídia, produção e publicação tenha permanecido como o mais atacado no terceiro trimestre de 2026, sua participação total caiu para cerca de um quarto do nível registrado no segundo trimestre, e o foco dos ataques se dispersou por uma gama mais ampla de setores. O setor de Internet, que antes não figurava entre os 10 principais, subiu para a 6ª posição; os setores de serviços ao consumidor e entretenimento adulto também ascenderam no ranking, alcançando a 8ª e a 9ª posições, respectivamente.

Principais locais atacados

Aumentos geográficos: Canadá e Israel sobem no ranking

Além de um período já turbulento de disputas comerciais bilaterais, o Canadá saltou de 16º para 6º lugar, impulsionado por ataques contra os setores de varejo, telecomunicações, prestadores de serviços e operadoras e marketing e publicidade.

Israel subiu sete posições para o nº 10 devido à atividade sustentada de DDoS em meados de setembro. Embora esse período tenha sido marcado por decisões controversas antes das eleições parlamentares e do feriado de Rosh Hashaná, também houve um enorme aumento documentado na guerra cibernética hostil com foco em Israel este ano.

Os 10 principais

Os Estados Unidos foram o local mais atacado no terceiro trimestre de 2026, enquanto a China ficou em 2º lugar e a Indonésia entrou para o grupo dos três primeiros, com 2,93% de todos os ataques. O primeiro lugar entre os Estados Unidos e a China é consistente com o primeiro semestre de 2026, quando a China terminou em 1º e os EUA em 2º; os dois países trocaram de lugar à medida que o foco e as preferências dos atacantes mudaram.

Fortalecer as defesas globais e ajudar a defender a internet

A rede da Cloudflare foi projetada para absorver esse tipo de crescimento nas ameaças de DDoS. Todos os serviços em nossa rede são protegidos pela proteção contra DDoS gratuita e não medida que é executada em todas as nossas mais de 330 cidades em todo o mundo, com o suporte de 500 Tbps de capacidade de rede. A autonomia é o ponto chave: nossos sistemas detectam e mitigam ataques sem intervenção humana. E precisam, pois, como as distribuições deste trimestre deixam claro, a maioria dos ataques termina muito antes que um analista humano possa visualizar o alerta, e os maiores ataques ainda excedem regularmente 1 Tbps, ocorrendo centenas de vezes a cada trimestre.

Para ajudar provedores de hospedagem, plataformas de computação em nuvem e provedores de internet a identificar e remover endereços de IP e contas abusivas que lançam esses ataques, utilizamos a posição privilegiada da Cloudflare na observação de ataques de DDoS para fornecer um feed gratuito de ameaças de botnets de DDoS para provedores de serviços.

Mais de 800 redes em todo o mundo já aderiram a esse feed, e temos observado uma excelente colaboração em toda a comunidade para desativar nós de botnets. Para uma visão continuamente atualizada das tendências de ataque na internet, visite o Cloudflare Radar.

Sobre o Cloudforce One

Impulsionado pela missão de ajudar a defender a internet, o Cloudforce One utiliza a telemetria da rede global da Cloudflare, que protege mais de 20% da web, para realizar pesquisas sobre ameaças e respostas operacionais, protegendo sistemas críticos para milhões de organizações em todo o mundo.