DDoS-aanvallen hebben regelmatig records gebroken, maar nu ziet Cloudflare een trend richting kleinere concentraties van traffic die wel veel vaker voorkomen. Het aantal aanvallen boven de 1 Tbps zakte met 69 procent dit kwartaal, mogelijk te danken aan het oprollen van vier grote IoT-botnets dit jaar. Aanvallers kozen daarnaast vaker voor DNS-amplificatie en UDP-floods in plaats van CLDAP.
Connectionless Lightweight Directory Access Protocol (CLDAP) is aan het instorten, zo stelt Cloudflare in het nieuwe DDoS Threat Report 2026 Q3. Er was sprake van een daling van 99,5 (!) procent. Desondanks was er genoeg traffic om te blokkeren voor Cloudflare. Tussen juli en september mitigeerde de DNS-provider namelijk 18,2 miljoen DDoS-aanvallen op netwerkniveau en 14,4 biljoen kwaadaardige HTTP-verzoeken. Anders voorgesteld: dat zijn ruim 8.200 aanvallen per uur.
Het overgrote deel van deze aanvallen is klein en kortstondig. Maar liefst 96 procent was binnen tien minuten voorbij en 98 procent bleef onder de 1 Gbps. Dat is alsnog meer dan genoeg om een website plat te leggen als er geen mitigates zijn, overigens. Volgens Cloudflare is dit het typische patroon van DDoS-for-hire-diensten, zogeheten booters.
Giganten (voorlopig) uit beeld
Aan de andere kant van het spectrum zakte het aantal “hypervolumetrische” aanvallen van 805 in Q2 naar 251. Dat zijn aanvallen van meer dan 1 Tbps. Die daling valt samen met de internationale actie in maart tegen de botnets Aisuru, KimWolf, JackSkid en Mossad. Aisuru was eerder nog goed voor een recordaanval van 31,4 Tbps. Volgens de Duitse politie bestonden Aisuru en KimWolf elk uit miljoenen besmette apparaten, zoals routers, webcams en Android-tv-boxen.
De dreiging blijft alsnog bestaan. Nieuwe varianten als Dysphoria en Evooo1Bot zijn al opgedoken om het stokje over te nemen van de eerdere dreigingen. Andere gevaren zijn tevens al op de radar van Cloudflare. Mirai-verkeer piekte bijvoorbeeld in augustus op 57,23 PB en de langste aanval van dit botnet duurde 49,7 uur.
Van CLDAP naar DNS
Verder is de verschuiving in aanvalsvectoren opvallend. De eerdere genoemde CLDAP-aanvallen stegen in de eerste jaarhelft nog met 580 procent, maar maken nu slechts 0,05 procent van alle aanvallen uit. Aanvallers schakelden over naar DNS-amplificatie (plus 215 procent) en andere UDP-floods, waarvan het aandeel steeg van 14 naar 31 procent.
De Verenigde Staten neemt de ongewenste eerste plaats over als meest aangevallen land, waarbij het die titel van China overneemt. Canada klom van plek 16 naar 6 en Israël steeg zeven plaatsen naar nummer 10. Media blijft de meest aangevallen sector, al is dat aandeel gekrompen tot een kwart van het Q2-niveau.
Cloudflare zegt te beschikken over 500 Tbps aan netwerkcapaciteit in meer dan 330 steden. Ruim 800 netwerken gebruiken inmiddels de gratis DDoS Botnet Threat Feed van het bedrijf.