Rapport Cloudflare sur les menaces DDoS au premier semestre 2026 : les attaques atteignant les 1 Tbit/s augmentent à l'heure où les floods DNS et les tensions géopolitiques propulsent une nouvelle vague

Bienvenue dans la 25e édition du rapport Cloudflare sur les menaces DDoS. Cette édition constitue la première publication semestrielle de la série. Ainsi, plutôt que de publier des rapports distincts pour le premier et le deuxième trimestre 2026, nous avons compilé notre examen des deux trimestres sous un volume unique couvrant la période qui s'étend de janvier à juin 2026. L'analyse est signée Cloudforce One, notre organisme d'informations sur les menaces, et propose une étude complète du panorama évolutif des menaces liées aux attaques par déni de service distribué (DDoS, Distributed Denial of Service) sur la base des données provenant du réseau Cloudflare.

Informations essentielles

1. Le club du Tbit/s s'est agrandi. Cloudflare a atténué un total de 935 attaques DDoS sur la couche réseau dépassant les 1 Tbit/s au cours du premier semestre 2026 et a constaté une augmentation de 519 % du nombre de ces attaques entre le premier et le deuxième trimestre. 
2. Le centre de gravité du vecteur d'attaque est passé des floods par botnet aux attaques par réflexion et amplification. Les attaques basées sur le DNS représentaient 34,3 % de l'ensemble des activités de la couche réseau au cours de la première moitié de l'année 2026, avec les floods DNS passés de 25,7 % à 40,0 % des attaques sur la couche réseau d'un trimestre à l'autre. Les floods CLDAP ont bondi de 580 % d'un trimestre sur l'autre pour devenir le troisième vecteur au deuxième trimestre.
3. La géopolitique et les événements mondiaux influencent le paysage des menaces. Le secteur des médias, de la production et de l'édition a conservé la première place du classement des secteurs les plus visés sur les deux trimestres, avec 14,2 % de l'ensemble des requêtes HTTP atténuées dans le cadre d'une attaque DDoS, tandis que la couverture de l'Iran, de l'Ukraine et de la Coupe du Monde a attiré une attention soutenue. Parallèlement, la Turquie est devenue le troisième pays le plus visé par les attaques dans le cadre du sommet de l'OTAN qui s'est déroulé en juillet à Ankara. Le secteur public, quant à lui, est passé de la 29e à la neuvième place pendant l'opération Epic Fury, soit le plus grand mouvement sectoriel de l'année 2026 à ce jour.

Le premier semestre en chiffres : 5 300 attaques DDoS par heure

À mi-parcours de l'année, Cloudflare a déjà atténué 23,2 millions de requêtes au niveau du réseau et 29 640 milliards de requêtes HTTP liées à une attaque DDoS. Ces chiffres représentent environ 5 343 attaques DDoS au niveau du réseau par heure, soit près de 128 000 chaque jour.

Pic d'avril et démantèlements d'opérations par les autorités

Le mois d'avril 2026 s'est révélé un mois de pic pour l'activité et le volume des attaques DDoS, avec un pic atteignant respectivement 6,46 milliards de requêtes et 165 pétaoctets (Po). Pour mettre ces chiffres en perspective, il s'agit là d'une quantité de trafic gigantesque, qui équivaut à la diffusion continue de vidéos en 4K pendant des années, ou à environ la quantité de données traitées par les principales plateformes vidéo en une seule journée. Le déclin du nombre de requêtes et des volumes survenu par la suite pourrait refléter l'Opération PowerOFF, une action menée par 21 pays qui a ciblé plus de 75 000 utilisateurs recourant aux plateformes de DDoS à la demande, a fermé 53 domaines, émis 25 mandats de perquisition et entraîné quatre arrestations.

Les attaques hypervolumétriques ont connu une augmentation d'un facteur supérieur à 6

Les attaques DDoS hypervolumétriques, c'est-à-dire les attaques définies comme dépassant 1 térabit par seconde (Tbit/s), 1 milliard de paquets par seconde (Gp/s) ou 1 million de requêtes par seconde (Mr/s), se sont révélées une catégorie en pleine croissance dans les rapports Radar. L'annonce 2026 ne s'annonce pas différente. Au cours du deuxième trimestre, Cloudflare a atténué 805 attaques sur la couche réseau dépassant 1 Tbit/s, soit une augmentation de plus de six fois par rapport au trimestre précédent.

Caractéristiques de l'attaque : faible intensité et lente

Malgré une croissance de l'hypervolumétrique, l'attaque DDoS médiane atténuée par Cloudflare lors du premier semestre 2026 est demeurée courte et de faible ampleur, avec 96,62 % des attaques au niveau du réseau restant sous la barre des 500 Mbit/s, tandis que 90,60 % des attaques se terminent en moins de 10 minutes. L'expression « de faible ampleur » s'avère néanmoins tout à fait relative et la plupart des propriétés Internet ne seraient pas en mesure de résister à ces attaques plus modestes. En termes pratiques:

• Une attaque de 100 Mbit/s suffit à submerger un serveur ou un site web
• Une attaque de 100 Gbit/s peut mettre hors ligne la plupart des datacenters non protégés
• Une attaque de plus de 1 Tbit/s figure parmi les plus massives jamais enregistrées et met à l'épreuve toutes les infrastructures, même l'infrastructure majeure du réseau Internet

Les acteurs malveillants mélangent parfois les couches d'attaque : un débit de paquets élevé (Mp/s, Gp/s) avec une bande passante relativement faible (Gbit/s), ou vice versa, pour exploiter les différentes faiblesses des équipements réseau physiques par opposition à la capacité de la bande passante.

En outre, comme le souligne le graphique ci-dessous, la plupart des attaques DDoS se révèlent d'une durée étonnamment courte. La durée d'action des attaques, même les attaques hypervolumétriques les plus massives, peut être mesurée en secondes plutôt qu'en minutes. Nous avons ainsi observé des attaques record qui n'ont duré que 35 secondes du début à la fin. Qu'une attaque dure trente secondes ou dix minutes, il n'existe pas de fenêtre pratique pour l'intervention humaine : le temps qu'une alerte parvienne à un analyste de la sécurité, l'attaque est déjà terminée. Les solutions d'atténuation manuelle et à la demande sont simplement trop lentes pour faire face à cette réalité. Si l'attaque peut elle-même être brève, ses répercussions ne le sont toutefois pas. Les effets en cascade d'un brusque pic d'attaque peuvent déclencher une instabilité au niveau du routage, des retransmissions TCP, des délais d'expiration des applications et une dégradation des services en aval qui nécessiterait des heures ou des jours pour être complètement résolue, tout en maintenant les services à l'arrêt ou diminués. Une protection automatisée et active en permanence n'est pas une commodité dans le paysage de menaces actuel : c'est une nécessité.

Les secteurs les plus visés

L'opération Epic Fury et le pic des attaques sur le secteur public

Le 28 février 2026, Israël et les États-Unis ont lancé l'opération Epic Fury, une série de frappes contre les dirigeants et les infrastructures de l'Iran. Le panorama des attaques DDoS a réagi en l'espace de 72 heures et les chercheurs en sécurité ont enregistré 149 revendications d'attaques DDoS de la part d'hacktivistes contre 110 entreprises et organisations distinctes dans 16 pays. Près de 47,8 % de l'ensemble des entreprises et organismes ciblés dans le monde appartenaient au secteur public.

Alors que les rapports publics ont documenté un ciblage étendu des administrations pendant cette période, le secteur a vu sa position dans le classement bondir de 20 places, en passant de la 29e place au premier trimestre à la neuvième place au deuxième trimestre en termes de part du nombre de requêtes HTTP atténuées dans le cadre d'une attaque DDoS. Bien que cette position se soit tenue loin du top 10 pendant la majeure partie de la période, cette augmentation représente néanmoins l'un des plus grands bonds dans le classement des secteurs.

Les médias en état de siège : le secteur le plus visé

Au milieu des conflits en Iran et en Ukraine, mais aussi de l'enthousiasme autour de la Coupe du Monde, le secteur des médias, de la production et de l'édition s'est révélé le plus visé par les attaques lors des deux trimestres, avec une part de 14,2 % du nombre de requêtes HTTP atténuées dans le cadre d'une attaque DDoS, soit près de quatre fois plus que le secteur en seconde position.

Les pays les plus visés

Le panorama des attaques DDoS survenues au premier semestre 2026 a vu à la fois des noms familiers et un remaniement dans le classement des endroits les plus attaqués à travers le monde. La Chine a terminé le premier semestre en tant que pays le plus visé par les attaques, après avoir absorbé 22,4 % de l'ensemble des requêtes HTTP atténuées dans le cadre d'une attaque DDoS à travers le monde lors du deuxième trimestre. Le maintien des États-Unis à la deuxième place (18,8 %) démontrant l'attrait persistant des acteurs malveillants pour ce pays.

La Turquie a connu une rapide augmentation du nombre d'attaques, avec une part du trafic hostile mondial qui a plus que doublé pour atteindre la troisième position des pays les plus attaqués au deuxième trimestre. Cette hausse a coïncidé avec la préparation du sommet de l'OTAN qui s'est tenu à Ankara en juin et début juillet 2026, lorsque les forces de sécurité turques ont mené plusieurs raids de grande envergure avant le sommet dans tout Ankara et arrêté au moins 209 personnes.

Principaux pays sources d'attaques

Le Brésil a dépassé les États-Unis en tant que principal pays source d'attaques DDoS au premier semestre 2026, avec une part de 14,9 % contre 13,4 %, en raison d'une forte augmentation survenue au deuxième trimestre lorsque le Brésil est devenu le pays source de 21,4 % de l'ensemble du trafic DDoS atténué. L'Indonésie est restée à la troisième place lors des deux trimestres et a ainsi prolongé sa série de plusieurs trimestres en tant que l'un des trois principaux pays sources d'attaques DDoS à l'échelle mondiale. 

Vecteurs d'attaque

Les attaques par flood DNS prédominent

Les attaques basées sur le DNS (flood DNS et attaques par amplification DNS) ont totalisé 34,3 % des attaques sur la couche réseau au cours du premier semestre 2026. Les deux mécanismes sont liés, mais restent néanmoins distincts : une attaque par flood DNS utilise le volume brut de requêtes d'un botnet directement à l'encontre des serveurs DNS de référence d'une victime afin d'épuiser leur capacité de traitement des requêtes (le « répertoire » du domaine devient dès lors injoignable et chaque service qui en dépend s'effondre). Les attaques par amplification DNS envoient plutôt de petites requêtes à partir d'une adresse IP usurpée vers des résolveurs DNS ouverts, qui répondent par des enregistrements beaucoup plus volumineux (souvent déclenchés par une requête ANY) vers l'adresse usurpée de la victime. 

Les attaques CLDAP explosent : augmentation de 580 % des attaques par amplification

Le flood CLDAP, un vecteur d'attaques par réflexion et par amplification qui exploite les points de terminaison LDAP-over-UDP Active Directory exposés, a augmenté de 580 % d'un trimestre sur l'autre, pour devenir le troisième vecteur au deuxième trimestre. Le protocole CLDAP (Connectionless Lightweight Directory Access Protocol) est une variante du protocole LDAP (Lightweight Directory Access Protocol), qui sert à interroger et modifier les services d'annuaire exécutés sur des réseaux IP. Sans connexion et reposant sur le protocole UDP plutôt que sur le TCP, le CLDAP se montre dès lors plus rapide, mais moins fiable. De même, comme il s'appuie sur l'UDP, il ne comporte aucune exigence de négociation préalable. Les acteurs malveillants peuvent donc usurper l'adresse IP et l'exploiter comme vecteur de réflexion. Les attaques CLDAP fonctionnent en envoyant de petites requêtes issues d'une adresse usurpée aux contrôleurs de domaine accessibles sur le port UDP 389. Les serveurs répondent à la source usurpée (c'est-à-dire la victime) par des réponses d'une taille des dizaines, voire des centaines, de fois supérieure à celle de la requête initiale et submergent ainsi l'hôte victime. 

Renforcer les défenses mondiales et aider à protéger Internet

Le réseau Cloudflare est conçu pour absorber ce type de croissance des menaces DDoS. Chaque service de notre réseau est protégé par une protection DDoS gratuite et illimitée exécutée dans chacune des plus de 330 villes d'implantation de notre réseau mondial, le tout soutenu par une capacité réseau de 500 Tbit/s. L'autonomie est ici la clé : nos systèmes détectent et atténuent les attaques sans intervention humaine. Or, cette particularité s'avère nécessaire, car les acteurs malveillants lancent régulièrement des attaques dépassant les 1 Tbit/s à une cadence de plusieurs centaines par trimestre.

Nous tirons parti de la position avantageuse de Cloudflare pour aider les fournisseurs d'hébergement, les plateformes d'informatique cloud et les fournisseurs d'accès Internet à identifier et à éliminer les adresses IP/comptes malveillants à l'origine des attaques DDoS en leur proposant notre flux d'informations gratuit sur les menaces liées aux botnets (DDoS Botnet Threat Feed for Service Providers). 

Plus de 800 réseaux à travers le monde entier se sont inscrits à ce flux et nous avons déjà constaté une excellente collaboration s'établir au sein de la communauté pour éliminer les nœuds de botnets.

À propos de Cloudforce One

Portée par une mission visant à défendre Internet, l'équipe de Cloudforce One tire parti des données télémétriques du réseau mondial Cloudflare (qui protège plus de 20 % du web) afin de soutenir la recherche sur les menaces et d'assurer une réponse opérationnelle, deux axes qui permettront par la suite de protéger les systèmes essentiels de millions d'entreprises à travers le monde.