Cloudflare compte 23,2 millions d’attaques DDoS au premier semestre, dont 935 au-delà du térabit
Le rapport DDoS H1 2026 de Cloudflare documente une explosion des attaques hyper-volumétriques et des vecteurs par réflexion DNS et CLDAP. Les attaques durent quelques secondes, ce qui rend toute mitigation manuelle structurellement hors jeu.
11 août 2026. Cloudflare publie son DDoS Threat Report H1 2026, et le constat tient en un chiffre : 23,2 millions d’attaques DDoS atténuées sur six mois, soit 5 300 par heure. Parmi elles, 935 attaques réseau ont dépassé 1 Tbit/s, en hausse de 519 % entre le premier et le deuxième trimestre. Le centre de gravité des vecteurs a basculé des inondations de botnets vers la réflexion et l’amplification, avec les inondations DNS et l’explosion du protocole CLDAP en tête.
Ce rapport n’est pas une litanie de records. Il documente un basculement structurel : l’attaque type devient courte et massive, et la fenêtre d’intervention humaine disparaît. C’est ce point précis qui change ce que « se défendre » veut dire.
Des attaques plus grosses, mais surtout plus courtes
La donnée la plus spectaculaire est la montée des attaques hyper-volumétriques — définies comme dépassant 1 Tbit/s, 1 milliard de paquets par seconde ou 1 million de requêtes par seconde. Au seul deuxième trimestre, Cloudflare a atténué 805 attaques réseau au-delà du térabit, plus de six fois le volume du trimestre précédent.
Mais le chiffre qui devrait réveiller les équipes réseau est ailleurs : 90,60 % des attaques réseau se terminent en moins de dix minutes, et 96,62 % restent sous 500 Mbit/s. Cloudflare rapporte même des assauts records qui n’ont duré que 35 secondes du début à la fin. Traduction pratique : le temps qu’une alerte atteigne un analyste, l’attaque est déjà terminée.
C’est la fin du modèle « on-call qui voit l’alerte et intervient ». Un pic de 35 secondes ne se mitige pas à la main ; il se mitige en amont, par une protection toujours active et automatisée. Et les dégâts, eux, ne sont pas proportionnels à la durée : une rafale de quelques secondes peut déclencher de l’instabilité de routage, des retransmissions TCP, des délais applicatifs et une dégradation qui met des heures à se résorber.
Le barème des dégâts, en chiffres simples
Pour calibrer la menace, Cloudflare donne une échelle qui parle à tout le monde :
- 100 Mbit/s suffisent à submerger un serveur ou un site ;
- 100 Gbit/s mettent à terre la plupart des centres de données non protégés ;
- 1 Tbit/s et plus figurent parmi les plus grosses attaques jamais enregistrées, et stressent même les infrastructures majeures de l’Internet.
Les attaquants mélangent d’ailleurs les couches : un débit paquet élevé (Mpps/Gpps) avec une bande passante faible, ou l’inverse, pour exploiter des faiblesses différentes — l’équipement réseau d’un côté, la capacité de transit de l’autre. Une défense qui ne couvre qu’une seule couche laisse l’autre exposée.
DNS et CLDAP : la réflexion prend le pouvoir
Le changement de fond, c’est la domination des vecteurs par réflexion et amplification. Les attaques DNS (inondation DNS et amplification DNS) ont représenté 34,3 % de l’activité réseau du semestre, et les seules inondations DNS sont passées de 25,7 % à 40,0 % des attaques réseau d’un trimestre à l’autre.
La mécanique vaut d’être rappelée, car elle est au cœur du rapport. Une inondation DNS envoie le volume brut de requêtes d’un botnet directement vers les serveurs DNS autoritatifs de la victime pour épuiser leur capacité de requêtes : l’« annuaire » du domaine devient injoignable, et tout service qui en dépend tombe avec lui. L’amplification DNS envoie, elle, de petites requêtes usurpées vers des résolveurs DNS ouverts, qui répondent avec des enregistrements bien plus gros (souvent via une requête ANY) vers l’adresse usurpée de la victime.
La nouveauté 2026, c’est l’explosion de CLDAP. Ce vecteur de réflexion, qui abuse des points de terminaison LDAP-over-UDP exposés des contrôleurs de domaine Active Directory, a bondi de 580 % d’un trimestre à l’autre pour devenir le troisième vecteur au deuxième trimestre. La raison de sa popularité est protocolaire : CLDAP est sans connexion (UDP, pas de handshake), donc l’attaquant peut usurper l’adresse source, et les réponses sont des dizaines à des centaines de fois plus grosses que la requête initiale. Un amplificateur gratuit, distribué dans chaque parc Windows dont le port UDP 389 est exposé.
Qui est visé, et d’où viennent les attaques
Le rapport dessine une géographie précise. Côté cibles, la Chine termine le semestre en tête avec 22,4 % des requêtes HTTP DDoS au deuxième trimestre, devant les États-Unis (18,8 %). La Turquie double sa part et grimpe au troisième rang, dans la foulée des tensions autour du sommet de l’OTAN d’Ankara. Côté sources, le Brésil dépasse les États-Unis comme premier pays émetteur (14,9 % contre 13,4 %), porté par un deuxième trimestre où il a généré 21,4 % du trafic d’attaque.
Deux événements encadrent le semestre. Le 28 février 2026, l’opération Epic Fury (frappes israélo-américaines contre l’Iran) déclenche en 72 heures une vague de 149 revendications hacktivistes contre 110 organisations dans 16 pays, dont 47,8 % dans le secteur gouvernemental — qui bondit de la 29ᵉ à la 9ᵉ place des secteurs visés. Et Cloudflare note un possible reflux du DDoS-for-hire, qu’il rattache à l’opération PowerOFF : 21 pays, plus de 75 000 utilisateurs de services de stress ciblés, 53 domaines fermés et quatre arrestations.
Ce que ça change pour un opérateur réseau
Trois conséquences pratiques se dégagent. Premièrement, la protection doit être toujours active : avec des attaques de quelques secondes, un service de mitigation « à la demande », activé après détection, arrive structurellement trop tard. Deuxièmement, il faut couvrir les deux couches — bande passante et débit de paquets — car les attaquants alternent pour frapper là où la défense est mince. Troisièmement, l’hygiène des points de terminaison exposés redevient un sujet réseau de premier plan : chaque résolveur DNS ouvert ou contrôleur de domaine joignable en UDP 389 est un amplificateur que d’autres utiliseront contre vous ou vos voisins.
Le dernier point est le plus actionnable. La montée de CLDAP et de l’amplification DNS signifie qu’une partie de la puissance de feu des attaquants vient de votre propre infrastructure mal configurée. Auditer ce qui écoute sur UDP 389 (port CLDAP/LDAP), fermer les résolveurs récursifs ouverts et appliquer la BCP 38 (anti-usurpation d’adresse source) réduit à la fois votre exposition et celle de l’écosystème.
Verdict
Le DDoS Threat Report H1 2026 ne révèle pas une technique nouvelle ; il confirme une tendance : l’attaque devient un objet massif et jetable, tiré en quelques secondes, souvent amplifié par des services que leurs propriétaires ont oubliés. La parade n’est plus une question de réactivité mais d’architecture : protection toujours active, couverture bicouche, et nettoyage des amplificateurs.
La recommandation est conditionnelle mais claire : si votre protection DDoS est un service à la demande activé après alerte, considérez qu’elle est déjà dépassée — les 35 secondes d’un assaut record ne laissent aucune place à l’intervention humaine, et il faut une mitigation inline et automatisée. Si vous opérez des résolveurs DNS ou des contrôleurs de domaine, auditez dès cette semaine ce qui écoute sur UDP 389 et vos résolveurs ouverts : c’est le levier le plus immédiat pour retirer de la puissance aux attaquants. Les chiffres sont là — reste à savoir si votre architecture l’est aussi.