Cloudflare a constaté une forte hausse des attaques par déni de service distribué (DDoS) entre janvier et juin 2026, l’entreprise ayant atténué 935 attaques au niveau du réseau dépassant 1 térabit par seconde. Le nombre de ces attaques a augmenté de 519 % entre le premier et le deuxième trimestre, selon la vingt-cinquième édition du rapport de Cloudflare sur les menaces DDoS, qui rassemble les données des deux trimestres dans un seul rapport semestriel.
Le rapport a été préparé par Cloudforce One, l’équipe de renseignement sur les menaces de Cloudflare, à partir des données du réseau de l’entreprise. Il présente une évolution de la nature des attaques : le centre de gravité s’est déplacé des saturations par réseaux de zombies vers les méthodes de réflexion et d’amplification, les attaques liées au DNS arrivant en tête et les attaques CLDAP connaissant une hausse remarquable.
La montée des attaques de très grande ampleur
Au cours du premier semestre, Cloudflare a atténué 23,2 millions d’attaques au niveau du réseau et 29,64 billions de requêtes HTTP associées à des attaques DDoS. Cela équivaut à environ 5 343 attaques au niveau du réseau par heure, soit près de 128 000 attaques par jour.
Avril 2026 a constitué le pic d’activité en volume, avec 6,46 billions de requêtes et 165 pétaoctets de données. Les requêtes et les volumes ont ensuite diminué, ce que le rapport a potentiellement mis en relation avec l’opération PowerOFF, une campagne menée dans 21 pays qui a ciblé plus de 75 000 utilisateurs de services DDoS à la demande, entraînant la mise hors ligne de 53 domaines, l’émission de 25 mandats de perquisition et l’arrestation de quatre personnes.
Au deuxième trimestre seulement, Cloudflare a atténué 805 attaques au niveau du réseau dépassant 1 térabit par seconde, soit une hausse de plus de six fois par rapport au trimestre précédent. Le rapport définit les attaques de très grande ampleur comme celles qui dépassent 1 térabit par seconde, 1 milliard de paquets par seconde ou 1 million de requêtes par seconde.
Des attaques brèves qui ne laissent aucune place à l’intervention manuelle
Malgré la croissance des attaques de très grande ampleur, la plupart des attaques atténuées par Cloudflare sont restées relativement petites et brèves : 96,62 % des attaques de la couche réseau sont restées inférieures à 500 mégabits par seconde, et 90,60 % d’entre elles ont pris fin en moins de dix minutes. Le rapport précise toutefois que la qualification d’une attaque comme « petite » est relative : une attaque de 100 mégabits par seconde peut suffire à saturer un serveur ou un site, tandis qu’une attaque de 100 gigabits par seconde peut mettre hors service la plupart des centres de données non protégés.
Cloudflare a également enregistré des attaques de très grande ampleur qui n’ont duré que 35 secondes. Selon le rapport, cette durée ne laisse pratiquement pas assez de temps pour une intervention humaine ou pour le déploiement de solutions à la demande, tandis que les effets résiduels peuvent se prolonger pendant des heures ou des jours en raison de perturbations du routage, de retransmissions de paquets TCP, de délais d’expiration des applications et de la dégradation des services.
Le DNS et le CLDAP au cœur de l’évolution
Les attaques fondées sur le DNS, notamment DNS Flood et DNS Amplification, ont représenté 34,3 % des attaques de la couche réseau au premier semestre. La part de DNS Flood à elle seule est passée de 25,7 % à 40,0 % entre le premier et le deuxième trimestre.
Les attaques CLDAP Flood ont également bondi de 580 % sur une base trimestrielle, devenant la troisième méthode d’attaque la plus importante au deuxième trimestre. Ces attaques exploitent des points d’accès exposés du service LDAP via UDP : les attaquants envoient de petites requêtes avec une adresse source usurpée vers des contrôleurs de domaine accessibles au public sur le port 389, et les serveurs répondent avec des paquets des dizaines ou des centaines de fois plus volumineux à destination de la victime.
Les tensions géopolitiques redistribuent les cibles
Le secteur des médias, de la production et de l’édition est resté en tête des secteurs les plus ciblés au cours des deux trimestres, représentant 14,2 % des requêtes HTTP atténuées par Cloudflare, dans un contexte marqué par l’attention portée aux développements en Iran et en Ukraine ainsi qu’à la Coupe du monde.
Après le lancement par Israël et les États-Unis de l’opération Epic Fury contre les dirigeants et les infrastructures de l’Iran, le 28 février 2026, des chercheurs en sécurité ont recensé 149 revendications d’attaques menées par des hacktivistes contre 110 organisations dans 16 pays en l’espace de 72 heures. Le secteur gouvernemental représentait environ 47,8 % des organisations ciblées dans le monde, passant de la 29e place au premier trimestre à la neuvième au deuxième trimestre.
En ce qui concerne les sites ciblés, la Chine arrivait en tête au deuxième trimestre, avec 22,4 % des requêtes HTTP mondiales, suivie des États-Unis avec 18,8 %, tandis que la Turquie montait à la troisième place. Pour les pays d’origine des attaques, le Brésil arrivait en tête avec 14,9 %, contre 13,4 % pour les États-Unis, et l’Indonésie conservait la troisième place.
Cloudflare affirme que son réseau, déployé dans plus de 330 villes et doté d’une capacité de 500 térabits par seconde, fournit une protection DDoS gratuite et illimitée à chaque service présent sur le réseau. L’entreprise fournit également aux hébergeurs, aux plateformes de cloud computing et aux fournisseurs d’accès à Internet un flux gratuit de renseignements sur les menaces liées aux réseaux de zombies, auquel plus de 800 réseaux dans le monde se sont abonnés.