Les attaques distribuées par déni de service (DDoS) atteignent désormais des volumes qui, il y a seulement quelques années, étaient considérés comme exceptionnels. Cloudflare affirme avoir neutralisé 935 attaques de couche réseau supérieures à 1 Tbps au premier semestre 2026, dont 805 surviennent entre avril et juin. Cette augmentation représente une croissance trimestrielle de 519 % et confirme que les attaques hypervolumiques deviennent une réalité courante pour les grands fournisseurs d’infrastructure Internet.

Les clés de la croissance des DDoS en quelques secondes

• Cloudflare a neutralisé 23,2 millions d’attaques DDoS de couche réseau entre janvier et juin.
• Les attaques dépassant 1 Tbps sont passées de 130 au premier trimestre à 805 au second.
• Les attaques DNS ont représenté 34,3 % des attaques réseau.
• CLDAP a connu une croissance de 580 % trimestre après trimestre, utilisant la technique de réflexion et d’amplification.
• 90,6 % des attaques ont duré moins de dix minutes.

Ces chiffres proviennent du rapport du premier semestre 2026 élaboré par Cloudforce One, la division d’intelligence des menaces de Cloudflare. Comme pour tout rapport basé sur la télémétrie d’un fournisseur, les données reflètent ce qui a été observé dans leur infrastructure et ne constituent pas une photographie exhaustive de tous les incidents sur Internet.

Néanmoins, la taille du réseau analysé permet d’identifier une tendance claire. Cloudflare a détecté en moyenne 5 343 attaques de couche réseau par heure, soit environ 128 000 par jour. À cela s’ajoutent 29,64 trillions de requêtes HTTP associées à ces attaques DDoS.

Une attaque de 1 Tbps n’est plus une anomalie

Cloudflare utilise le terme « hypervolumétrique » pour désigner les attaques dépassant l’un des seuils suivants : 1 Tbps de bande passante, 1 milliard de paquets par seconde ou un million de requêtes par seconde.

Le second trimestre montre à quel point cette catégorie est en pleine expansion.

Sur les 935 attaques supérieures à 1 Tbps détectées en semestre, 805 ont eu lieu entre avril et juin. Au premier trimestre, ce chiffre n’était que de 130. La progression de 130 à 805 représente une croissance trimestrielle de 519 %, selon les données de l’entreprise.

Ce chiffre est particulièrement significatif pour les fournisseurs d’hébergement, les opérateurs de centres de données, les fournisseurs d’accès Internet (FAI) et les plateformes cloud. Une infrastructure peut disposer d’une capacité de bande passante suffisante et pourtant comporter des composants intermédiaires incapables de traiter certains débits de paquets.

Ce détail explique pourquoi mesurer un DDoS uniquement en Gbps ou Tbps peut être trompeur.

Une attaque peut viser à saturer entièrement les liens Internet, mais aussi à congestionner les tables de connexions, les pare-feux, routeurs ou équilibrages de charge avec d’énormes quantités de petits paquets. Sur la couche application, le but peut être d’épuiser les serveurs via des requêtes HTTP apparemment légitimes.

De plus, le volume et la durée ne sont pas nécessairement liés.

90 % des attaques se terminent avant toute réaction

L’une des conclusions clés de ce rapport concerne la durée des attaques.

90,60 % des attaques observées duraient moins de dix minutes. Par ailleurs, 96,62 % des attaques de couche réseau restaient en-dessous de 500 Mbps.

L’apparente contradiction entre la croissance des attaques de volume et le nombre élevé de simples incidents courts s’éclaircit lorsqu’on examine leur distribution. Il existe des millions d’attaques relativement modestes, mais aussi une catégorie d’attaques extrêmes en rapide expansion.

Cloudflare a même enregistré des attaques hypervolumiques de seulement 35 secondes.

Cela modifie la façon de concevoir la protection.

Une approche basée sur la détection d’une anomalie, la génération d’une alerte et l’attente d’une intervention manuelle peut être trop lente. Lorsqu’un opérateur intervient, le pic de trafic est souvent déjà passé.

L’automatisation de la mitigation en temps réel devient ainsi essentielle, plutôt que de recourir à des protections activées à la demande. Ce n’est pas tant la capacité maximale d’absorption qui compte, mais le temps dont dispose la défense pour décider quel trafic bloquer, qui peut se mesurer en secondes.

Les effets d’un ataque ne disparaissent pas forcément lorsque celui-ci s’arrête : connexions épuisées, retransmissions TCP, délais d’attente, problèmes de routage ou services dépendants tentant de récupérer simultanément.

DNS au centre des attaques réseau

Un autre changement notable concerne les techniques employées.

Les attaques liées au DNS représentaient 34,3 % des DDoS de couche réseau enregistrés au premier semestre. Le DNS Flood est passé de 25,7 % à 40 % entre le premier et le second trimestre.

Bien que DNS soit utilisé en infrastructure, un DNS Flood et une attaque par amplification fonctionnent de manières différentes.

Dans le cas du DNS Flood, les assaillants envoient directement d’énormes volumes de requêtes aux serveurs DNS de la victime. Si ces serveurs sont saturés, les utilisateurs ne peuvent plus résoudre les noms de domaine ni accéder aux services correspondants.

L’attaque par amplification utilise des serveurs DNS tiers. L’assaillant falsifie l’adresse IP source pour faire croire que la requête provient de la victime. Le serveur DNS répond alors à cette fausse adresse avec une réponse nettement plus volumineuse que la requête initiale.

Le résultat : multiplier le volume de trafic sans que l’attaquant ait besoin de générer tout le trafic lui-même.

Ce principe est particulièrement efficace avec UDP, car ce protocole n’établit pas de connexion préalable, contrairement au TCP.

Croissance de 580 % de CLDAP, renouant avec une ancienne technique d’amplification

La croissance la plus notable concerne CLDAP Flood, qui a augmenté de 580 % entre le premier et le second trimestre, devenant le troisième vecteur d’attaque de couche réseau le plus fréquent lors de cette période.

CLDAP est une variante sans connexion de LDAP utilisant UDP. Lorsqu’un service exposé sur Internet reste accessible, il peut être exploité comme réflecteur.

L’assaillant envoie une requête courte usurpant l’identité de la cible. Le serveur exposé répond avec une réponse significativement plus volumineuse, directement dirigée vers la victime.

Du point de vue de l’infrastructure, cette croissance de CLDAP rappelle un problème bien connu : les DDoS ne dépendent pas uniquement de millions de dispositifs IoT compromis.

Les services UDP exposés de manière incorrecte continuent de fournir des mécanismes de réflexion et d’amplification capables de transformer des ressources Internet légitimes en participants involontaires à une attaque.

Pour les administrateurs systèmes et réseaux, réduire cette surface d’attaque implique de revoir les services exposés, d’appliquer des filtrages et d’éviter que des systèmes n’acceptent du trafic public quand cela n’est pas nécessaire.

La géopolitique, le hacktivisme et les DDoS commencent à se mêler

Cloudflare note également des changements dans les secteurs visés, en lien avec des événements internationaux.

Les médias, la production et la publication ont occupé la première place durant les deux trimestres, représentant 14,2 % des requêtes HTTP DDoS mitigées.

Le secteur gouvernemental a connu une évolution notable : il est passé de la 29e position au premier trimestre à la 9e au second.

Ce changement coïncide avec la période d’Operation Epic Fury et l’augmentation des campagnes revendiquées par des groupes hacktivistes. Après les opérations contre l’Iran, des chercheurs en sécurité ont recensé des revendications concernant 149 attaques, ciblant 110 organisations dans 16 pays.

Il est important de distinguer une corrélation d’une attribution directe. Qu’une attaque coïncide avec un conflit ne signifie pas que le groupe ou l’État responsable en est l’auteur, surtout lorsque des botnets répartissent le trafic à travers de nombreux pays.

Il convient également d’être prudent dans l’interprétation de l’origine géographique.

Durant le semestre, le Brésil a été identifié comme la principale origine du trafic DDoS atténué par Cloudflare, avec 14,9 %, devant les États-Unis (13,4 %). Au second trimestre, la proportion attribuée au Brésil a atteint 21,4 %.

Cela ne signifie pas que 20 % des attaquants se trouvent physiquement au Brésil. Il s’agit du lieu d’observation du trafic, pouvant provenir de serveurs, routeurs, dispositifs IoT ou autres systèmes compromis répartis mondialement.

23,2 millions d’attaques illustrent le vrai problème d’échelle

Les attaques dépassant 1 Tbps captent l’attention, mais pour les opérateurs d’infrastructures, une autre statistique est peut-être plus pertinente : 23,2 millions d’attaques de couche réseau en six mois.

L’industrialisation du DDoS permet de combiner botnets, infrastructures compromises, techniques d’amplification et services d’attaque à la demande.

Les forces de l’ordre tentent aussi de freiner cette disponibilité. L’opération internationale PowerOFF a ciblé des plateformes de DDoS à la demande, impliquant 21 pays. Europol a annoncé plus de 75 000 utilisateurs identifiés, 53 domaines désactivés, 25 enregistrements et 4 arrestations.

Cloudflare a enregistré son pic mensuel en avril avec 6,46 trillions de requêtes et 165 PB de volume DDoS, puis a constaté une baisse qu’elle relie peut-être à cette opération policière. La société précise toutefois que cette corrélation reste hypothétique.

Le scénario de l’Internet après le premier semestre 2026 présente deux extrêmes :

D’un côté, lancer de petites attaques devient accessible à un plus grand nombre d’acteurs. De l’autre, botnets et techniques d’amplification poussent les volumes maximum à plusieurs Tbps.

Le défi technique ne réside plus seulement dans la capacité de connexion, mais dans la capacité distribuée : la défense contre les DDoS devient une question de capacité, routage, filtrage et automatisation distribués, où la détection doit intervenir aussi près de la source que possible, avant que le trafic n’atteigne les composants les plus vulnérables de l’infrastructure.

Questions fréquemment posées

Combien d’attaques DDoS supérieures à 1 Tbps Cloudflare a-t-elle détecté ?

Cloudflare affirme avoir neutralisé 935 attaques de couche réseau supérieures à 1 Tbps durant le premier semestre 2026. Sur cette période, 805 attaques se sont produites entre avril et juin.

Pourquoi une attaque DDoS courte peut-elle être dangereuse ?

Parce qu’elle peut saturer des liens ou équipements réseau avant que l’on ait le temps d’intervenir manuellement. Cloudflare indique que 90,60 % des attaques observées duraient moins de dix minutes.

Quelle différence entre DNS Flood et DNS Amplification ?

Le DNS Flood tente de saturer directement les serveurs DNS avec un grand volume de requêtes. Le DNS Amplification utilise des serveurs DNS tiers et des adresses IP falsifiées pour multiplier le trafic destiné à la victime.

Que signifie qu’un pays soit identifié comme origine d’attaques DDoS ?

Cela indique simplement d’où le trafic a été observé, pas nécessairement où se trouve l’attaquant. Les botnets peuvent utiliser des appareils compromis répartis dans de nombreux pays.