Het aantal korte DDoS-aanvallen onder 1 Gbps nam in het derde kwartaal van 2026 met 208 procent toe. Aanvallen boven 1 Tbps daalden in dezelfde periode met bijna 69 procent. Dat blijkt uit het kwartaalrapport van Cloudflare, dat ook een verschuiving ziet in gebruikte protocollen en doelwitten.
Cloudflare baseert de cijfers in zijn DDoS-dreigingsrapport over het derde kwartaal van 2026 op data uit het eigen netwerk. Volgens het bedrijf weerde dat netwerk in die periode autonoom 18,2 miljoen DDoS-aanvallen op de netwerklaag af, naast 14,4 biljoen HTTP-DDoS-verzoeken. Dat komt neer op gemiddeld 8.226 aanvallen op de netwerklaag per uur, ofwel ongeveer 197.400 per dag. Gemiddeld vond er elke 0,44 seconde een aanval plaats.
Het totale volume aan afgeweerd verkeer bedroeg volgens Cloudflare 272,6 petabyte op de netwerklaag en 95,1 petabyte op de HTTP-laag.
Meer kleine, minder grote aanvallen
Het rapport laat een verschuiving in de omvang van aanvallen zien. Aanvallen die korter dan tien minuten duurden en kleiner waren dan 1 Gbps, namen met 208 procent toe. Hypervolumetrische aanvallen van meer dan 1 Tbps daalden ten opzichte van het tweede kwartaal met bijna 69 procent.
Cloudflare legt een mogelijk verband tussen die daling en het optreden van handhavingsinstanties tegen vier grote IoT-botnets eerder dit jaar. Het bedrijf meldt daarbij dat er nieuwe varianten blijven opduiken. IoT-botnets blijven volgens Cloudflare daardoor een aanhoudende bedreiging voor netwerkinfrastructuur.
Verschuiving in aanvalsprotocollen
Ook bij reflectie- en versterkingsaanvallen signaleert Cloudflare een verandering. Het aantal CLDAP-floods daalde met 99,5 procent ten opzichte van het vorige kwartaal. Aanvallers stapten volgens het rapport over op andere verbindingsloze protocollen. Het aantal aanvallen met DNS-versterking steeg met 215 procent, algemene UDP-floods namen met 122 procent toe.
Verenigde Staten weer meest aangevallen land
De doelwitten van aanvallen waren in het derde kwartaal geografisch meer verspreid. De Verenigde Staten namen de positie van meest aangevallen land weer over van China. Canada steeg tien plaatsen op de ranglijst van meest aangevallen landen, Israël zeven. Cloudflare brengt die stijging in verband met geopolitieke spanningen, handelsgeschillen en controversiële binnenlandse gebeurtenissen in beide landen.
Ook de sectoren waarop aanvallers zich richtten, veranderden. Waar mediaorganisaties in eerdere kwartalen vaak doelwit waren, verschoof de focus volgens het rapport naar een breder scala aan sectoren. Daaronder vallen consumentendiensten, internetinfrastructuur en de entertainmentmarkt voor volwassenen.
Kleine aanvallen in de praktijk
De toename van korte aanvallen met een beperkte bandbreedte heeft gevolgen voor de manier waarop je verkeer monitort. Zulke aanvallen kunnen onder drempelwaarden van detectiesystemen blijven die zijn ingesteld op grote volumes. Omdat een aanval vaak binnen tien minuten voorbij is, blijft er weinig tijd over voor handmatig ingrijpen.
De verschuiving van CLDAP naar DNS-versterking en UDP-floods maakt het daarnaast relevant om na te gaan hoe open resolvers en UDP-diensten in klantomgevingen zijn geconfigureerd. Slecht afgeschermde DNS-servers kunnen bij versterkingsaanvallen als doelwit dienen of zelf misbruikt worden om verkeer te versterken.
Het volledige rapport is te lezen via DDoS-dreigingsrapport over het derde kwartaal van 2026.
