Báo cáo về mối đe dọa tấn công DDoS của Cloudflare quý 3 năm 2026: Nhiều nhóm tấn công nhỏ hơn, ít tổ chức lớn hơn

Chào mừng đến với ấn bản thứ 26 của Báo cáo về mối đe dọa tấn công DDoS của Cloudflare. Ấn bản này bao gồm quý 3 năm 2026 — tháng 7, tháng 8 và tháng 9 — và đánh dấu sự trở lại tần suất phát hành định kỳ theo quý của chuỗi báo cáo này, sau khi gộp chung trong ấn bản nửa đầu năm 2026. Bản phân tích này được thực hiện bởi Cloudforce One, tổ chức Nghiên cứu thông tin về mối đe dọa của Cloudflare, mang đến một cái nhìn toàn diện về bối cảnh diễn biến phức tạp của các cuộc tấn công từ chối dịch vụ phân tán (DDoS) dựa trên dữ liệu từ mạng Cloudflare.

Thông tin chi tiết quan trọng

1. Các cuộc tấn công bộc phát ngắn, băng thông thấp với thời gian kéo dài dưới 10 phút và quy mô dưới 1 Gbps đã tăng mạnh 208%. Ngược lại, các cuộc tấn công băng thông siêu lớn, vượt quá 1 Tbps đã giảm mạnh gần 69% so với quý 2. Đây có thể là hệ quả từ các hành động thực thi pháp luật nhằm triệt phá bốn mạng botnet Internet vạn vật (IoT) lớn vào đầu năm nay. Tuy nhiên, các biến thể mới vẫn tiếp tục xuất hiện, chứng minh rằng mạng botnet IoT vẫn là một mối đe dọa dai dẳng, có lưu lượng lớn đối với hạ tầng mạng.
2. Các tác nhân đe dọa đã thay đổi đáng kể chiến thuật tấn công phản xạ và khuếch đại. Chúng đột ngột từ bỏ các cuộc tấn công CLDAP flood, khiến hình thức tấn công này sụt giảm 99,5% so với quý trước. Thay vào đó, những kẻ tấn công chuyển hướng mạnh sang khai thác các giao thức không kết nối khác, khiến các cuộc tấn công khuếch đại DNS tăng vọt 215% và các cuộc tấn công UDP flood thông thường tăng 122%.
3. Các mục tiêu tấn công đã mở rộng đáng kể trên cả các ngành công nghiệp và khu vực địa lý, với việc Hoa Kỳ giành lại vị trí là quốc gia bị tấn công nhiều nhất từ Trung Quốc. Canada và Israel đã chứng kiến sự gia tăng mạnh các cuộc tấn công có chủ đích — tăng lần lượt 10 và 7 bậc — trong khi phải đối phó với căng thẳng địa chính trị, tranh chấp thương mại và các sự kiện nội bộ gây nhiều tranh cãi. Đồng thời, trọng tâm hoạt động chuyển dịch từ các tổ chức truyền thông sang nhiều mục tiêu ngành nghề rộng hơn, bao gồm dịch vụ tiêu dùng, cơ sở hạ tầng Internet và giải trí dành cho người lớn.

Số liệu quý 3: 8.200 cuộc tấn công DDoS mỗi giờ

Trong quý 3 năm 2026, trên toàn mạng lưới, Cloudflare đã tự động ngăn chặn 18,2 triệu cuộc tấn công DDoS ở tầng mạng và 14,4 nghìn tỷ yêu cầu DDoS HTTP. Như vậy, ước tính có khoảng 8.226 cuộc tấn công DDoS ở tầng mạng mỗi giờ, hoặc khoảng 197.400 cuộc tấn công mỗi ngày — tức là trung bình cứ 0,44 giây lại có một cuộc tấn công. Tổng lưu lượng tấn công được giảm thiểu trong quý đạt 272,6 PB ở tầng mạng và 95,1 PB ở tầng HTTP.

Nhiều nhóm tấn công nhỏ hơn, ít tổ chức lớn hơn

Các cuộc tấn công bộc phát ngắn, quy mô trung bình và số lượng lớn — đặc trưng hoạt động của các dịch vụ thuê tấn công DDoS thuê "booter" — đã gia tăng trong quý này. Những cuộc tấn công này chủ yếu nhắm vào các ngành phần mềm máy tính, cờ bạc và sòng bạc, và công nghệ thông tin. Cloudflare đã tự động ngăn chặn 18,2 triệu cuộc tấn công DDoS ở tầng mạng trong quý 3 năm 2026, tăng 208% so với cùng kỳ năm 2025:

• 96% kết thúc trong vòng chưa đầy 10 phút
• 98% số lượt truy cập duy trì tốc độ dưới 1 Gbps, thừa đủ để làm quá tải một máy chủ hoặc trang web

Mặt khác, các cuộc tấn công băng thông siêu khối lượng ở cấp độ mạng (vượt quá 1 Tbps) đã đảo chiều xu hướng, giảm xuống còn 251 cuộc tấn công trong quý 3 từ mức 805 cuộc tấn công trong quý 2 — kết quả của các hành động thực thi pháp luật nhằm triệt phá bốn trong số các mạng botnet IoT DDoS lớn nhất: Aisuru, KimWolf, JackSkid và Mossad.

Tuy nhiên, các mạng botnet dựa trên nền tảng IoT vẫn là mối đe dọa dai dẳng với lưu lượng lớn khi hệ sinh thái này liên tục xuất hiện các biến thể mới như Dysphoria và Evooo1Bot. Lưu lượng được phân loại thuộc chủng Mirai đạt đỉnh điểm vào tháng 8 ở mức 57,23 PB, chiếm 46,5% tổng số byte tầng mạng được giảm thiểu trong quý 3, bao gồm bốn ngày — 16, 19, 23 và 25 tháng 8 — với mỗi ngày ghi nhận lưu lượng vượt quá ba petabyte. Cuộc tấn công Mirai kéo dài nhất trong quý này diễn ra trong 49,7 giờ, từ ngày 19 đến ngày 21 tháng 8.

Sự thay đổi về vector tấn công: CLDAP sụp đổ và UDP trỗi dậy

Sự thay đổi vector tấn công mạnh mẽ nhất trong quý này là theo chiều hướng giảm. Các cuộc tấn công CLDAP (Giao thức truy cập thư mục nhẹ không kết nối) — hình thức mà trong đó các truy vấn nhỏ mang địa chỉ IP giả mạo của nạn nhân sẽ lừa các bộ điều khiển tên miền công cộng (UDP 389) phản hồi lại các lượng dữ liệu khổng lồ đã được khuếch đại về phía mục tiêu — đã tăng đột biến 580% so với quý trước trong nửa đầu năm, trước khi giảm xuống chỉ còn 0,05% tổng số cuộc tấn công trong quý 3.

Trong khi đó, tấn công khuếch đại DNS tăng vọt 215%, chiếm 3,43% tổng số các cuộc tấn công ở tầng mạng. Hình thức này khai thác các trình phân giải DNS mở theo theo cơ chế phản xạ và khuếch đại tương tự như CLDAP: các truy vấn giả mạo có dung lượng nhỏ, nhưng các phản hồi gửi đến nạn nhân lại có dung lượng lớn. Các cuộc tấn công UDP flood khác đã tăng từ 14,06% lên 31,31% trong tổng số các cuộc tấn công ở tầng mạng. UDP là giao thức truyền tải không kết nối, khiến giao thức này trở thành phương thức thuận tiện để thực hiện các cuộc tấn công băng thông thô: kẻ tấn công gửi một lượng lớn gói tin UDP đến các cổng ngẫu nhiên hoặc cổng cụ thể trên mục tiêu, buộc hệ thống mục tiêu phải kiểm tra xem có ứng dụng nào đang lắng nghe tại các cổng đó hay không và phản hồi lại. Quá trình này tiêu tốn tài nguyên mạng và tài nguyên tính toán của hệ thống.

Ngành bị tấn công nhiều nhất

Mặc dù Truyền thông, Sản xuất & Xuất bản vẫn là ngành bị tấn công nhiều nhất trong quý 3 năm 2026, nhưng tỷ trọng tổng thể của ngành này chỉ bằng khoảng một phần tư so với mức của quý 2, và mục tiêu tấn công đã chuyển dịch sang một nhóm ngành rộng hơn. Lĩnh vực Internet đã vươn lên từ vị trí ngoài top 10 lên vị trí thứ 6; Dịch vụ tiêu dùng và Giải trí dành cho người lớn cũng góp mặt, lần lượt xếp ở vị trí thứ 8 và thứ 9.

Các địa điểm bị tấn công nhiều nhất

Biến động mạnh về địa lý: Canada và Israel tăng thứ hạng

Trong bối cảnh căng thẳng thương mại song phương vốn đã diễn biến phức tạp, Canada đã tăng mạnh từ vị trí thứ 16 lên vị trí thứ 6, chủ yếu do các cuộc tấn công nhằm vào các ngành Bán lẻ, Viễn thông, Nhà cung cấp dịch vụ và nhà mạng, cũng như Tiếp thị và Quảng cáo của nước này.

Israel tăng 7 bậc lên vị trí thứ 10, do hoạt động DDoS diễn ra liên tục vào giữa tháng 9. Mặc dù giai đoạn này chứng kiến một số quyết định gây tranh cãi trước thềm cuộc bầu cử quốc hội và kỳ nghỉ lễ Rosh Hashanah, nhưng cũng có một sự gia tăng trên quy mô lớn của các hoạt động chiến tranh mạng thù địch nhắm vào Israel được ghi nhận trong năm nay.

Top 10

Hoa Kỳ là địa điểm bị tấn công nhiều nhất trong quý 3 năm 2026, tiếp theo là Trung Quốc ở vị trí thứ 2 và Indonesia vươn lên top 3 với 2,93% tổng số vụ tấn công. Việc Mỹ và Trung Quốc đứng đầu bảng xếp hạng không có sự thay đổi so với xu hướng nửa đầu năm 2026, khi Trung Quốc đứng đầu bảng xếp hạng và Mỹ đứng thứ hai. Hai quốc gia này đã hoán đổi vị trí cho nhau khi sự chú ý và lựa chọn mục tiêu của các kẻ tấn công thay đổi.

Tăng cường hệ thống phòng thủ toàn cầu và chung tay bảo vệ Internet

Mạng lưới của Cloudflare được thiết kế để hấp thụ mức gia tăng lưu lượng như vậy từ các mối đe dọa DDoS. Mọi dịch vụ trên mạng lưới của chúng tôi đều được bảo vệ bởi hệ thống chống tấn công DDoS miễn phí, không giới hạn dung lượng, hoạt động tại hơn 330 thành phố trên toàn cầu, với dung lượng mạng lên đến 500 Tbps. Tính tự động là yếu tố cốt lõi: hệ thống của chúng tôi phát hiện và ngăn chặn các cuộc tấn công mà không cần sự can thiệp của con người. Điều này là hết sức cần thiết, bởi như số liệu phân bố các cuộc tấn công trong quý này cho thấy, phần lớn các cuộc tấn công đã kết thúc từ lâu trước khi chuyên viên phân tích có thể nhìn thấy cảnh báo, trong khi những cuộc tấn công có quy mô lớn nhất vẫn thường xuyên vượt ngưỡng 1 Tbps, với tần suất lên đến hàng trăm cuộc mỗi quý.

Để giúp các nhà cung cấp dịch vụ lưu trữ, nền tảng điện toán đám mây và nhà cung cấp dịch vụ Internet xác định và gỡ bỏ các địa chỉ IP và tài khoản độc hại gây ra các cuộc tấn công này, chúng tôi tận dụng lợi thế đặc biệt của Cloudflare trong việc quan sát các cuộc tấn công DDoS để cung cấp miễn phí Nguồn dữ liệu về mối đe dọa từ mạng botnet DDoS cho các nhà cung cấp dịch vụ.

Hơn 800 mạng lưới trên toàn thế giới đã đăng ký nguồn dữ liệu này, và chúng tôi đã chứng kiến sự phối hợp tuyệt vời trong toàn bộ cộng đồng nhằm đánh sập các nút mạng botnet. Để liên tục được cập nhật thông tin về xu hướng tấn công trên Internet, hãy truy cập Cloudflare Radar.

Giới thiệu về Cloudforce One

Với sứ mệnh giúp bảo vệ Internet, Cloudforce One khai thác dữ liệu đo lường từ mạng lưới toàn cầu của Cloudflare — nơi bảo vệ hơn 20% toàn bộ trang web trên thế giới — để thúc đẩy hoạt động nghiên cứu mối đe dọa và ứng phó trong vận hành, từ đó bảo vệ các hệ thống trọng yếu cho hàng triệu tổ chức trên khắp thế giới.