Отчет Cloudflare об угрозах DDoS за 3-й квартал 2026 года: больше «роевых» атак, меньше гигантов

Предлагаем вашему вниманию 26-й выпуск отчета Cloudflare об угрозах DDoS-атак. Это издание охватывает третий квартал 2026 года — июль, август и сентябрь — и возвращает серию к квартальной периодичности после выхода объединенного выпуска за первое полугодие 2026 года. Анализ подготовлен Cloudforce One, организацией Cloudflare по сбору и анализу информации об угрозах, предоставляющей исчерпывающий анализ меняющегося ландшафта угроз распределенных атак типа «отказ в обслуживании» (DDoS), на основе данных сети Cloudflare.

Ключевая аналитика

1. Кратковременные атаки низкой пропускной способности, длящиеся менее 10 минут и не превышающие 1 Гбит/с, участились на 208 %. Напротив, гиперволюметрические атаки объемом более 1 Тбит/с сократились почти на 69 % по сравнению со 2-м кварталом, что, возможно, является результатом проведенных ранее в этом году действий правоохранительных органов против четырех крупных ботнетов, использующих устройства Интернета вещей (IoT). Однако продолжают появляться новые варианты, доказывающие, что IoT-ботнеты остаются устойчивой и массовой угрозой для сетевой инфраструктуры.
2. Злоумышленники существенно изменили тактику отражения и усиления, резко отказавшись от CLDAP-флуда, объем которого сократился на 99,5 % по сравнению с предыдущим кварталом. Вместо этого злоумышленники активно перешли на другие протоколы без установления соединения, что привело к росту атак с усилением DNS на 215 % и UDP-флудов общего типа на 122 %.
3. Атаки стали значительно разнообразнее как с точки зрения отраслей, так и географии, при этом Соединенные Штаты вернули себе позицию страны, подвергающейся наибольшему количеству атак, сместив Китай. Канада и Израиль столкнулись с резкими всплесками целенаправленных атак, поднявшись соответственно на 10 и 7 позиций, в условиях геополитической напряженности, торговых споров и неоднозначных внутренних событий. В то же время операционный акцент сместился от СМИ в сторону более широкого спектра отраслей, включая потребительские услуги, интернет-инфраструктуру и развлечения для взрослых.

Цифры третьего квартала: 8200 DDoS-атак каждый час

В третьем квартале 2026 года Cloudflare автономно отразила 18,2 млн сетевых DDoS-атак и 14,4 трлн HTTP-DDoS-запросов. Это составляет примерно 8226 сетевых DDoS-атак в час, или около 197 400 в день — одна атака каждые 0,44 секунды.— одна атака каждые 0,44 секунды. Объем отраженного трафика за квартал составил 272,6 ПБ на сетевом уровне и 95,1 ПБ на HTTP-уровне.

Больше роев, меньше гигантов

В этом квартале участились многочисленные кратковременные атаки средней мощности, которые являются отличительной чертой сервисов по организации DDoS-атак по запросу («бутеров»). Эти атаки в первую очередь были направлены на отрасли программного обеспечения, азартных игр и казино, а также информационных технологий. В 3-м квартале 2026 г. Cloudflare автономно отразила 18,2 миллиона сетевых DDoS-атак, что на 208 % больше, чем в аналогичном квартале 2025 г.:

• 96 % завершились менее чем за 10 минут
• 98 % были меньше 1 Гбит/с, что более чем достаточно для вывода из строя сервера или веб-сайта

С другой стороны, гиперволюметрические атаки сетевого уровня (превышающие 1 Тбит/с) сменили курс, сократившись с 805 во втором квартале до 251 в третьем квартале, что совпало с действиями правоохранительных органов в начале 2026 года по демонтажу четырех крупнейших IoT DDoS-ботнетов: Aisuru, KimWolf, JackSkid и Mossad.

И все же ботнеты на основе IoT остаются долговечной угрозой значительного масштаба, поскольку экосистема постоянно меняется из-за появления новых вариантов, таких как Dysphoria и Evooo1Bot. В августе объем заблокированных атак, классифицированных как Mirai, достиг максимума в 57,23 ПБ, что составило 46,5 % от всех заблокированных байтов сетевого уровня в третьем квартале, включая четыре дня — 16, 19, 23 и 25 августа, — в каждый из которых было заблокировано более трех петабайт трафика. Самая продолжительная непрерывная атака Mirai в этом квартале продолжалась 49,7 часа в период с 19 по 21 августа.

Изменение векторов: крах CLDAP и рост UDP

Наиболее существенный сдвиг векторов в этом квартале произошел в сторону уменьшения. Атаки CLDAP (Connectionless Lightweight Directory Access Protocol [облегченный протокол доступа к каталогам без установления соединения]), при которых небольшие запросы с поддельным IP-адресом жертвы заставляют общедоступные контроллеры домена (UDP 389) отражать массивные усиленные ответы обратно на цель, показали резкий всплеск на 580 % квартал к кварталу в первом полугодии, а затем сократились всего до 0,05 % атак в 3-м квартале.

Между тем количество атак с усилением DNS выросло на 215 % и составило 3,43 % от всех атак на сетевом уровне. Использовались открытые DNS-резолверы, а сама атака строилась по схеме отражения и усиления, аналогичной CLDAP: отправка небольших поддельных запросов и получение крупных ответов, направленных на жертву. Доля других UDP-флудов выросла с 14,06 % до 31,31 % от общего числа атак на сетевом уровне. UDP — это транспортный протокол без установления соединения, что делает его удобным средством для проведения волюметрических атак: злоумышленники отправляют большое количество UDP-пакетов на случайные или конкретные порты жертвы, заставляя ее проверять наличие прослушивающего приложения, отвечать на запросы и тем самым расходовать свои сетевые и вычислительные ресурсы.

Наиболее атакуемые отрасли

Хотя сектор СМИ, медиапроизводства и издательского дела оставался наиболее атакуемой отраслью в 3-м квартале 2026 года, его доля составляет примерно четверть от показателя 2-го квартала, а фокус сместился на более широкий набор отраслей. Интернет поднялся с мест вне первой десятки на 6-е; потребительские услуги и развлечения для взрослых также вошли в топ, достигнув соответственно 8-го и 9-го мест.

Топ атакуемых местоположений

Географические всплески: Канада и Израиль поднимаются в рейтинге

На фоне и без того бурного периода двусторонних торговых споров Канада поднялась с 16-го на 6-е место, что обусловлено атаками на предприятия розничной торговли, телекоммуникаций, поставщиков услуг и операторов связи, а также маркетинговые и рекламные компании.

Израиль поднялся на 7 позиций и занял 10-е место в результате непрерывной DDoS-активности в середине сентября. Хотя этот период был отмечен спорными решениями накануне парламентских выборов и праздника Рош ха-Шана, в этом году также был документально зафиксирован массовый всплеск враждебной кибервойны, направленной против Израиля.

Топ-10

В третьем квартале 2026 года Соединенные Штаты подверглись наибольшему количеству атак, Китай занял второе место, а Индонезия поднялась в тройку лидеров с долей 2,93 % от общего числа атак. То, что две верхние строчки рейтинга занимают США и Китай, согласуется с данными первой половины 2026 года, когда Китай занял первое место, а США — второе; эти страны меняются местами в зависимости от внимания и предпочтений злоумышленников.

Укрепление глобальной защиты и помощь в защите Интернета

Сеть Cloudflare спроектирована таким образом, чтобы поглощать такого рода рост угроз DDoS. Каждый сервис в нашей сети защищен бесплатной DDoS-защитой без учета объема трафика, которая работает в каждом из наших более чем 330 городов по всему миру и обеспечивается пропускной способностью сети 500 Тбит/с. Автономность — это главное: наши системы обнаруживают и нейтрализуют атаки без вмешательства человека. А это необходимо, потому что, как ясно показывают распределения этого квартала, большинство атак заканчиваются задолго до того, как аналитик сможет увидеть уведомление, а самые крупные атаки все еще регулярно превышают 1 Тбит/с с частотой, исчисляемой сотнями за квартал.

Чтобы помочь провайдерам хостинга, платформам облачных вычислений и интернет-провайдерам идентифицировать и нейтрализовать вредоносные IP-адреса и учетные записи, инициирующие такие атаки, мы используем уникальную позицию наблюдения Cloudflare за DDoS-атаками для предоставления бесплатного DDoS Botnet Threat Feed для провайдеров услуг.

На этот канал подписалось уже более 800 сетей по всему миру, и мы уже стали свидетелями великолепного сотрудничества в сообществе по борьбе с ботнет-узлами. Постоянно обновляемый обзор тенденций атак в Интернете можно найти на сайте Cloudflare Radar.

О Cloudforce One

Движимый миссией помогать в защите Интернета, Cloudforce One опирается на телеметрию глобальной сети Cloudflare, которая защищает более 20 % веб-ресурсов, для проведения исследований угроз и оперативного реагирования, обеспечивая защиту критически важных систем для миллионов организаций по всему миру.