Cloudflare mesure l’effondrement des attaques DDoS géantes au profit d’essaims de petites attaques
Le 29 octobre 2026, Cloudflare publie son rapport DDoS du troisième trimestre : les attaques de moins de 10 minutes et de moins de 1 Gbit/s bondissent de 208 %, tandis que les attaques supérieures à 1 Tbit/s chutent de 69 %. Pour l’exploitant, la défense change de nature : il ne s’agit plus de survivre à une attaque massive, mais d’absorber des milliers de rafales courtes et bon marché, automatiquement.
29 octobre 2026. Cloudflare publie son DDoS Threat Report 2026 Q3, bâti sur les données de son réseau. +208 % — la hausse des attaques courtes et de faible débit sur un an. −69 % — la chute des attaques hyper-volumétriques supérieures à 1 Tbit/s d’un trimestre à l’autre. 18,2 millions — le nombre d’attaques réseau que Cloudflare a mitigées seul au troisième trimestre. Le point qui compte : le DDoS ne ressemble plus à un siège massif, mais à un essaim de rafales courtes et peu coûteuses que seule une mitigation automatique et permanente peut encaisser.
Des essaims à la place des géants
La bascule la plus frappante du trimestre est la fragmentation de la menace. Les attaques courtes et de faible débit — moins de 10 minutes et moins de 1 Gbit/s — ont bondi de 208 % sur un an. Ce sont elles, et non les records de térabits, qui constituent désormais la signature des services de DDoS-for-hire, ces « booters » loués pour quelques euros. Cloudflare les a vues cibler en priorité le logiciel, les casinos et jeux d’argent, et l’informatique.
À l’inverse, les attaques hyper-volumétriques de plus de 1 Tbit/s sont passées de 805 au deuxième trimestre à 251 au troisième, une chute de près de 69 %. Le rapport relie ce recul aux opérations des forces de l’ordre qui, début 2026, ont démantelé quatre des plus grands botnets IoT : Aisuru, KimWolf, JackSkid et Mossad. Mais l’écosystème se recompose déjà, avec de nouveaux variants comme Dysphoria et Evooo1Bot : le botnet IoT reste une menace de fond, durable et à fort volume.
Les chiffres du trimestre
L’ampleur du phénomène se mesure en volume. Au troisième trimestre 2026, Cloudflare a mitigé de façon autonome 18,2 millions d’attaques réseau et 14,4 billions de requêtes HTTP de type DDoS. Rapporté au temps, cela donne environ 8 226 attaques par heure, soit 197 400 par jour — une attaque toutes les 0,44 seconde. Le trafic mitigé a représenté 272,6 Po au niveau réseau et 95,1 Po au niveau HTTP.
Deux chiffres résument la nature des attaques actuelles : 96 % d’entre elles se sont terminées en moins de 10 minutes, et 98 % sont restées sous 1 Gbit/s. Ce dernier point mérite d’être pesé : 1 Gbit/s suffit largement à saturer un serveur ou un site web moyen. La majorité des attaques n’a pas besoin d’être gigantesque pour être efficace — elle a besoin d’être soudaine.
Le retour de Mirai et la bascule des vecteurs
Le rapport confirme que Mirai, ou du moins ses descendants, n’a jamais disparu. La mitigation des attaques classifiées Mirai a culminé en août à 57,23 Po, soit 46,5 % de tous les octets réseau mitigés au troisième trimestre, avec quatre journées — les 16, 19, 23 et 25 août — dépassant chacune 3 Po. L’attaque Mirai la plus longue du trimestre a duré 49,7 heures, entre le 19 et le 21 août.
Le second basculement est celui des vecteurs de réflexion. Les attaques CLDAP — ces requêtes minuscules qui, via de faux serveurs d’annuaire, renvoient des réponses amplifiées vers la victime — ont connu un pic de +580 % au premier semestre avant de s’effondrer de 99,5 % au troisième trimestre, pour ne plus représenter que 0,05 % des attaques. Les attaquants ont pivoté vers l’amplification DNS, en hausse de 215 % (soit 3,43 % des attaques réseau), et vers les floods UDP, passés de 14,06 % à 31,31 % des attaques réseau. L’UDP, protocole sans connexion, reste le véhicule de choix du volume brut.
Une cible élargie, une géographie mouvante
La victime type change elle aussi. Les médias, production et édition restent l’industrie la plus attaquée au troisième trimestre, mais leur part a fondu au quart environ de son niveau du deuxième trimestre, la pression se répartissant sur un spectre plus large. Le secteur Internet est passé de la dixième à la sixième place, tandis que les services aux consommateurs et le divertissement pour adultes entrent dans le classement aux huitième et neuvième rangs.
Géographiquement, les États-Unis reprennent la première place des pays les plus attaqués, devant la Chine. Deux pays montent brutalement : le Canada, de la seizième à la sixième place, porté par des attaques contre la distribution, les télécoms et le marketing ; et Israël, qui gagne 7 places pour atteindre la dixième, sur fond de tensions géopolitiques, de différends commerciaux et de séquence électorale.
Verdict
Si votre protection DDoS ne se déclenche qu’au-delà d’un seuil élevé ou exige une intervention humaine, vous êtes exposé au nouvel essaim : une attaque de moins de 1 Gbit/s pendant moins de 10 minutes ne déclenchera ni votre seuil ni vos équipes, et saturera pourtant votre serveur. La parade est une mitigation toujours active et automatique, branchée en amont, capable d’encaisser 8 000 attaques par heure sans que personne ne lève le petit doigt. Si vous dépendez d’un réseau anycast ou d’un opérateur de mitigation, vérifiez que la protection est par défaut et non à la demande — c’est précisément ce que ce rapport distingue. Et si vous croyez encore qu’un DDoS se voit à l’œil nu sur un graphe de trafic, relisez les chiffres : l’ennemi d’aujourd’hui n’est plus le géant qui terrasse, mais l’essaim qui submerge.