Un nouveau rapport publié aujourd'hui par l'unité de renseignement sur les menaces Cloudforce One de Cloudflare Inc. révèle que les plus grandes attaques par déni de service distribué ont chuté de près de 69 % au troisième trimestre, et que les attaques au niveau de la couche réseau ont globalement plus que triplé par rapport à l'année précédente, pour atteindre 18,2 millions.
Le « Cloudflare DDoS Threat Report 2026 Q3 » détaille 251 attaques supérieures à 1 térabit par seconde entre juillet et septembre. Le deuxième trimestre en a produit 805, après une multiplication par six par rapport aux trois premiers mois de l'année. Cloudflare associe provisoirement cette baisse aux mesures prises par les forces de l'ordre plus tôt cette année contre quatre des plus grands botnets construits à partir d'appareils Internet des objets compromis.
Le ministère de la Justice a annoncé la perturbation d'Aisuru, Kimwolf, JackSkid et du Mossad en mars, lorsque les autorités du Canada et de l'Allemagne ont également pris des mesures contre les personnes qui seraient derrière eux. Selon l'évaluation de Cloudflare, les botnets de l'Internet des objets restent une menace durable et importante, avec de nouvelles variantes telles que Dysphoria et Evooo1Bot qui circulent déjà.
Le mois d'août a été le mois le plus chargé en termes de trafic classé Mirai, avec 57,23 pétaoctets. L'attaque Mirai la plus longue du trimestre a débuté le 19 août et a duré 49,7 heures.
Les petites attaques représentaient la majeure partie des 18,2 millions du trimestre, soit environ 8 226 par heure. Presque tous se sont terminés rapidement, 96 % d’entre eux en 10 minutes, et la bande passante est restée inférieure à 1 gigabit par seconde dans 98 % des cas.
Le rapport souligne qu’une inondation de cette ampleur est encore plus que suffisante pour submerger un serveur ou un site Web. Cloudflare lit le profil global comme la signature des services « booter » DDoS à louer.
Les attaquants ont également changé de méthode. Les inondations abusant du protocole d'accès léger aux annuaires sans connexion ont augmenté de 580 % au cours du premier semestre, selon le rapport. Au troisième trimestre, les CLDAP ne représentaient que 0,05 % des attaques, soit une baisse de 99,5 % par rapport au deuxième trimestre.
D'autres protocoles sans connexion ont comblé le vide. Les attaques par amplification utilisant le système de noms de domaine ont augmenté de 215 % par rapport au deuxième trimestre, pour atteindre 3,4 % du total de la couche réseau. Le plus grand bénéficiaire a été le flot générique du User Datagram Protocol, qui est passé de 14,1 % des attaques à 31,3 %. Les inondations DNS simples sont restées la méthode la plus courante, à 39,3 %.
Les médias, la production et l'édition ont conservé la première place parmi les secteurs avec seulement environ un quart de la part qu'ils détenaient entre avril et juin, les attaquants ayant étendu leur objectif à une plus grande échelle. Le secteur Internet est passé du 12ème au sixième rang. Plus loin dans le classement, les services aux consommateurs ont grimpé de neuf places pour atteindre la huitième place et les divertissements pour adultes sont entrés dans le top 10 en neuvième position après s'être classés 21e trois mois plus tôt.
Géographiquement, les États-Unis ont été le pays le plus attaqué au troisième trimestre, après avoir terminé deuxième derrière la Chine au premier semestre. L'Indonésie s'est hissée au troisième rang avec 2,93 % des attaques.
Le Canada et Israël ont réalisé les hausses les plus marquées. Le Canada est passé du 16e au 6e rang pour les attaques contre les entreprises de vente au détail, de télécommunications et de marketing, au cours de ce que le rapport appelle « une période déjà turbulente de différends commerciaux bilatéraux ». Israël a gagné sept places pour atteindre la 10e place grâce à une activité DDoS soutenue à la mi-septembre. Cette période a donné lieu à des décisions controversées avant les élections législatives ainsi que la fête de Roch Hachana, note le rapport, contre une recrudescence plus large de la cyberguerre hostile ciblant Israël cette année.
Les systèmes de Cloudflare détectent et atténuent les attaques sans intervention humaine. Le rapport indique qu’ils doivent le faire, car la plupart des attaques du trimestre « se terminent bien avant qu’un analyste humain puisse voir l’alerte ».
