Cloudflare는 2026년 1월부터 6월까지 분산 서비스 거부(DDoS) 공격이 크게 증가했으며, 네트워크 계층에서 규모가 1Tbps를 초과한 공격 935건을 완화했다고 밝혔다. Cloudflare의 DDoS 위협 보고서 제25판에 따르면 이러한 공격 수는 1분기와 2분기 사이에 519% 증가했다. 이번 보고서는 두 분기의 데이터를 하나의 반기 보고서로 통합했다.
이 보고서는 Cloudflare의 위협 인텔리전스 조직인 Cloudforce One이 회사 네트워크 데이터를 바탕으로 작성했다. 보고서는 공격 양상이 변화했으며, 중심이 봇넷 플러딩에서 반사·증폭 기법으로 이동했다고 설명한다. DNS 관련 공격이 가장 많았고 CLDAP 공격도 눈에 띄게 증가했다.
초대형 공격의 증가
올해 상반기 Cloudflare는 네트워크 계층 공격 2,320만 건과 DDoS 공격과 관련된 HTTP 요청 29.64조 건을 완화했다. 이는 시간당 약 5,343건의 네트워크 계층 공격, 또는 하루 약 12만 8,000건에 해당한다.
규모 면에서 활동이 정점에 이른 시기는 2026년 4월로, 6.46조 건의 요청과 165페타바이트의 데이터가 기록됐다. 이후 요청 수와 규모는 감소했으며, 보고서는 이를 21개국에서 진행되어 유료 DDoS 서비스 이용자 7만 5,000명 이상을 대상으로 한 Operation PowerOFF 작전과 관련이 있을 가능성이 있다고 설명했다. 이 작전으로 도메인 53개가 폐쇄되고 수색영장 25건이 발부되었으며 4명이 체포됐다.
2분기에만 Cloudflare는 규모가 1Tbps를 초과한 네트워크 계층 공격 805건을 완화했으며, 이는 전 분기보다 6배 이상 증가한 수치다. 보고서는 초대형 공격을 1Tbps, 초당 10억 패킷 또는 초당 100만 요청을 초과하는 공격으로 정의한다.
수동 개입의 여지를 주지 않는 짧은 공격
초대형 공격이 증가했음에도 Cloudflare가 완화한 공격의 대부분은 비교적 작고 짧았다. 네트워크 계층 공격의 96.62%는 500Mbps 미만이었고, 90.60%는 10분 이내에 종료됐다. 그러나 보고서는 공격을 ‘작다’고 표현하는 것은 상대적이라고 설명한다. 100Mbps의 공격도 서버나 웹사이트를 침수시키기에 충분할 수 있으며, 100Gbps의 공격은 보호되지 않은 대부분의 데이터센터를 마비시킬 수 있다.
Cloudflare는 불과 35초 동안 지속된 초대형 공격도 기록했다. 보고서는 이 정도의 지속 시간으로는 사람이 개입하거나 온디맨드 솔루션을 적용할 실질적인 시간이 부족하다고 지적한다. 또한 라우팅 장애, TCP 패킷 재전송, 애플리케이션 타임아웃 및 서비스 성능 저하로 인해 후속 영향이 수시간 또는 수일 동안 지속될 수 있다.
변화의 중심에 선 DNS와 CLDAP
DNS Flood와 DNS Amplification을 포함한 DNS 기반 공격은 상반기 네트워크 계층 공격의 34.3%를 차지했다. DNS Flood만의 비중은 1분기와 2분기 사이에 25.7%에서 40.0%로 증가했다.
CLDAP Flood 공격도 분기 기준 580% 급증해 2분기 세 번째로 큰 공격 기법이 됐다. 이러한 공격은 UDP를 통한 LDAP 서비스의 노출된 엔드포인트를 악용한다. 공격자는 출발지 주소를 위조한 작은 쿼리를 공용 네트워크에서 접근 가능한 389번 포트의 도메인 컨트롤러로 보내며, 서버는 피해자를 향해 수십 배 또는 수백 배 더 큰 패킷으로 응답한다.
지정학적 긴장이 표적을 재분배하다
미디어·생산·출판 부문은 두 분기 모두 가장 많이 표적이 된 부문 1위를 유지했으며, Cloudflare가 완화한 HTTP 요청의 14.2%를 차지했다. 이는 이란과 우크라이나의 상황 및 월드컵에 대한 관심이 이어지는 가운데 나타났다.
2026년 2월 28일 이스라엘과 미국이 이란의 지도부와 인프라를 겨냥한 Operation Epic Fury 작전을 개시한 뒤, 보안 연구자들은 72시간 동안 16개국 110개 조직을 겨냥한 핵티비스트 공격 주장 149건을 기록했다. 정부 부문은 전 세계 표적 조직의 약 47.8%를 차지했으며, 1분기 29위에서 2분기 9위로 뛰어올랐다.
표적 위치별로는 2분기 중국이 전 세계 HTTP 요청의 22.4%를 차지해 1위를 기록했고, 미국이 18.8%로 뒤를 이었으며 튀르키예가 3위로 올라섰다. 공격 출발 국가별로는 브라질이 14.9%로 1위였고 미국은 13.4%였으며, 인도네시아는 3위를 유지했다.
Cloudflare는 330개 이상의 도시에 분산되어 있고 500Tbps의 용량을 갖춘 자사 네트워크가 네트워크상의 모든 서비스에 무료이자 무제한인 DDoS 보호를 제공한다고 밝혔다. 또한 회사는 호스팅 제공업체, 클라우드 컴퓨팅 플랫폼 및 인터넷 서비스 제공업체에 봇넷 위협 정보를 무료로 제공하며, 전 세계 800개 이상의 네트워크가 이를 구독하고 있다.