Cloudflare 2026 年第三季 DDoS 威脅報告：短小密集攻擊增多，超大規模攻擊減少

歡迎閱讀 Cloudflare 第 26 期 DDoS 威脅報告。本期報告涵蓋 2026 年第三季（7 月、8 月和 9 月）；在推出上半年 (H1 2026) 合刊之後，本系列正式回歸每季出刊的節奏。該分析由 Cloudflare 威脅情報團隊 Cloudforce One 撰寫，基於 Cloudflare 網路的資料，全面剖析了分散式阻斷服務 (DDoS) 攻擊不斷演變的威脅態勢。

主要見解

1. 持續不到 10 分鐘、頻寬低於 1 Gbps 的短爆發、低頻寬攻擊激增 208%。而超過 1 Tbps 的「超流量」攻擊則從第二季起暴跌將近 69%，這可能與今年稍早執法部門針對四個主要物聯網 (IoT) 殭屍網路採取的打擊行動有關。不過，新的變種仍不斷冒出來，證明 IoT 殭屍網路對網路基礎架構來說，依然是一種頑強且規模龐大的威脅。
2. 攻擊者大幅調整了其反射與放大攻擊策略，幾乎完全放棄了 CLDAP 洪水攻擊，導致此類攻擊較上季下降了 99.5%。取而代之的是，攻擊者大量轉向其他無連接通訊協定，導致 DNS 放大攻擊激增 215%，通用 UDP 洪水攻擊也增加了 122%。
3. 攻擊目標的範圍在產業和地理區域上均顯著擴大；美國取代中國，再次成為遭受攻擊次數最多的國家。加拿大和以色列遭受的針對性攻擊顯著增加，排名分別上升了 10 位和 7 位，這與兩國所面臨的地緣政治緊張局勢、貿易爭端以及國內引發爭議的事件密切相關。同時，攻擊者的目標重心已從媒體機構轉向更廣泛的產業領域，包括消費者服務、網際網路基礎架構以及成人娛樂產業。

第三季數據一覽：每小時 8200 次 DDoS 攻擊

在 2026 年第三季，Cloudflare 在其網路中自動緩解了 1820 萬次網路層 DDoS 攻擊以及 14.4 兆次 HTTP DDoS 請求。這意味著平均每小時發生約 8,226 次網路層 DDoS 攻擊，即每天約 197,400 次——相當於每 0.44 秒就發生一次攻擊。該季緩解的網路層總流量達到 272.6 PB，HTTP 層總流量達到 95.1 PB。

短小密集攻擊增多，超大規模攻擊減少

在本季，短時、中等規模、高頻次的攻擊（即所謂的「DDoS 即服務」(DDoS-for-hire)，又稱「booter」服務）愈發頻繁。這類攻擊主要針對電腦軟體、博彩與賭場，以及資訊科技產業。2026 年第三季，Cloudflare 自動緩解了 1820 萬次網路層 DDoS 攻擊，較 2025 年同期成長了 208%：

• 96% 的攻擊在 10 分鐘內結束
• 98% 的攻擊低於 1 Gbps，但這已足以導致伺服器或網站癱瘓

另一方面，網路層超流量攻擊（流量超過 1 Tbps）則有所減少，從第二季的 805 次降至第三季的 251 次。這與 2026 年初執法部門採取的行動有關，當時執法部門成功摧毀了四個大型 IoT DDoS 殭屍網路：Aisuru、KimWolf、JackSkid 和 Mossad。

儘管如此，基於 IoT 的殭屍網路仍構成持續且大規模的威脅，因為該生態系統不斷衍生出 Dysphoria 和 Evooo1Bot 之類的新變種。8 月份，針對 Mirai 類殭屍網路的緩解流量達到峰值，為 57.23 PB，佔第三季所有被緩解網路層流量（按位元組計）的 46.5%。其中，8 月 16 日、19 日、23 日和 25 日這四天，單日緩解流量均超過了 3 PB。本季持續時間最長的 Mirai 攻擊發生在 8 月 19 日至 8 月 21 日之間，共持續了 49.7 小時。

攻擊手段轉變：CLDAP 攻擊式微，UDP 攻擊崛起

本季最顯著的攻擊手段變化是 CLDAP 攻擊的衰減。CLDAP（無連線輕量級目錄存取通訊協定）攻擊攻擊的運作方式是：攻擊者送出來源 IP 被偽造成受害者位址的小型查詢，誘騙公開的網域控制站 (UDP 389) 把放大後的巨大回應反射到目標身上。這類攻擊在上半年才剛創下季度暴增 580% 的紀錄，到了第三季卻暴跌到只占全部攻擊的 0.05%。

同時，DNS 放大攻擊激增了 215%，佔網路層攻擊總量的 3.43%。此攻擊利用開放的 DNS 解析程式，採用與 CLDAP 類似的「反射與放大」模式：透過傳送偽造的小型查詢，促使系統向受害者傳回大量封包。其他類型的 UDP 洪水攻擊在網路層攻擊的佔比也從 14.06% 上升至 31.31%。UDP 是一種無連線傳輸通訊協定，這使其成為實施原始巨流量攻擊的便捷工具：攻擊者向目標的隨機或特定連接埠傳送大量 UDP 封包，迫使目標檢查是否存在監聽應用程式並做出回應，從而消耗其網路和運算資源。

遭受最多攻擊的產業

儘管「媒體、製作與出版」產業在 2026 年第三季依然是遭受最多攻擊的產業，但其佔比已降至第二季的四分之一左右，且攻擊目標已擴散至更多產業領域。「網際網路」產業從前十名之外躍升至第 6 位；「消費者服務」和「成人娛樂」產業也躋身前十，分別位列第 8 和第 9 位。

遭受最多攻擊的地區

地理區域激增：加拿大與以色列排名攀升

在雙邊貿易爭端頻繁的動盪時期，加拿大的排名從第 16 位躍升至第 6 位，這主要是由於針對其零售、電信、服務提供者與電信業者，以及行銷與廣告產業的攻擊激增所致。

以色列的排名上升了 7 位，位居第 10 位，這與 9 月中旬持續不斷的 DDoS 攻擊活動有關。在此期間，正值議會選舉前的敏感決策期以及猶太新年 (Rosh Hashanah) 假期；此外，今年針對以色列的敵對網路戰活動也出現了大規模且有據可查的激增。

十強

2026 年第三季，美國是遭受攻擊次數最多的國家/地區，中國位居第二，印尼躋身前三，佔攻擊總數的 2.93%。美中兩國位居前列的情況與 2026 年上半年一致（當時中國排名第一，美國排名第二）；隨著攻擊者關注點和偏好的轉移，兩國的位置發生了互換。

強化全球防禦並協助守護網際網路

Cloudflare 的網路專為因應此類 DDoS 威脅的成長而設計。我們網路上的每一項服務都受免費、不計量 DDoS 防護的保護，此防護機制部署在全球 330 多座城市，背後有 500 Tbps 的網路容量支援。自主性是關鍵：我們的系統無需人為干預即可偵測並緩解攻擊。這也是必要之舉，因為正如本季的數據分佈所顯示，大多數攻擊在人工分析人員看到警示之前就已經結束了；此外，大規模攻擊（流量超過 1 Tbps）依然頻發，每季度此類攻擊的數量可達數百起。

為了協助託管提供者、雲端運算平台和網際網路服務提供者識別並摧毀發動這些攻擊的濫用 IP 位址和帳戶，我們利用 Cloudflare 在 DDoS 攻擊方面的獨特優勢，為服務提供者提供免費的 DDoS 殭屍網路威脅情報源。

全球已有超過 800 個網路註冊使用此威脅情報源，我們也已見到社群間為了移除殭屍網路節點展開了良好的合作。想持續追蹤整個網際網路的攻擊趨勢，歡迎造訪 Cloudflare Radar。

關於 Cloudforce One

Cloudforce One 秉持捍衛網際網路的使命，利用 Cloudflare 全球網路（該網路保護超過 20% 的網站）的遙測資料，推動威脅研究與運作回應，為全球數百萬組織的重要系統提供保護。