Cloudflare DDoS脅威レポート（2026年上半期）：DNSフラッドと地政学的緊張が新たな波を引き起こし、テラビット級攻撃が急増

CloudflareのDDoS脅威レポート第25版へようこそ。これは本シリーズ初の上半期版です。2026年の第1四半期と第2四半期で別々のレポートを発行するのではなく、1月から6月までを1本にまとめました。Cloudflareの脅威インテリジェンス部門であるCloudforce Oneが、Cloudflareネットワークのデータをもとに、分散型サービス妨害（DDoS）攻撃の脅威が進化している状況を包括的に分析しています。

重要なインサイト

1. 1Tbpsを超える攻撃が増加しました。Cloudflareが2026年上半期に軽減した1Tbps超のネットワーク層DDoS攻撃は合計935件で、Q1からQ2にかけて四半期比で519%増加しています。 
2. 攻撃ベクトルの重心が、ボットネットを利用したフラッド攻撃からリフレクション増幅攻撃へ移りました。2026年上半期は、ネットワーク層の活動全体の34.3%がDNSベースの攻撃でした。DNSフラッドだけを見ても、ネットワーク層攻撃中の割合が第1四半期の25.7%から第2四半期は40.0%へと増えています。CLDAPフラッドは四半期で580%急増し、第2四半期には第3位のベクトルになりました。
3. 地政学的情勢と世界的事象が状況に影響を及ぼします。両四半期とも、最も攻撃された業界はメディア・制作・出版で、軽減されたHTTP DDoS攻撃の全リクエストのうち14.2%がこの業界へのものでした。イラン、ウクライナ、ワールドカップ関連の報道が持続的に注目を集めたことが要因です。一方、最も攻撃された国は、7月に首都アンカラでNATOサミットが開催された関係で、トルコが第3位に浮上しています。また、政府部門がオペレーション・エピックフューリー中に第29位から第9位へ急上昇しました。部門別の動きとしては今のところ2026年最大の順位変動です。

数字で見る上半期：毎時5300件のDDoS攻撃

Cloudflareは半年で、既に2320万件のネットワーク層攻撃と29兆6400億件のHTTP DDoSリクエストを軽減しました。1時間あたり約5343件、1日あたりでは約12万8000件のネットワーク層DDoS攻撃を軽減したことになります。

4月のピークと法執行機関による摘発

2026年4月はDDoS攻撃のピーク月であり、リクエスト数は6兆4600億件、ボリュームは165ペタバイト（PB）に達しました。これがいかに膨大なトラフィック量かというと、4K動画を数年間継続してストリーミング配信するのに相当する量、あるいは、大手動画配信プラットフォームが1日に処理するデータ量とほぼ同じです。リクエスト数とボリュームはその後減少しました。オペレーション・パワーオフが影響した可能性があります。これは21か国が参加した作戦で、7万5000以上のDDoS攻撃請負サービス利用者を捜査対象とし、53のドメインを閉鎖、25件の捜索令状を発行し、4人を逮捕しました。

超帯域幅消費型攻撃が6倍以上の急増

超帯域幅消費型DDoS攻撃は、1テラビット毎秒（1Tbps）、10億パケット毎秒（1Bpps）、または100万リクエスト毎秒（1Mrps）を超える攻撃と定義されますが、このカテゴリーの攻撃はRadarレポートの開始以来増加してきました。2026年もその傾向は変わっていません。第2四半期にCloudflareが軽減した1Tbps超のネットワーク層攻撃は805件。前四半期に比べ6倍以上になっています。

攻撃特性：ロー＆スロー

超帯域幅消費型が増加したとはいうものの、2026年上半期にCloudflareが軽減したDDoS攻撃の中央値は依然「ショート＆スモール」（短時間で小規模）で、ネットワーク層攻撃の96.62%が500Mbps未満、90.60%が10分以内に終了しています。ただ、「小規模」は相対的な用語であり、ほとんどのインターネットプロパティはそうした小規模の攻撃にも耐えられないでしょう。現実には：

• 100Mbpsの攻撃は、サーバーやWebサイトを圧倒するのに十分
• 100Gbpsの攻撃は、保護されていないデータセンターのほとんどをオフライン状態に陥らせ得る
• 1Tbps超の攻撃（これまでに記録された最大級）は、大規模なインターネットインフラストラクチャをも圧迫する

異なる層を組み合わせる攻撃もあります。たとえば、高いパケットレート（Mpps/Gpps）と比較的低い帯域幅（Gbps）、またはその逆の組み合わせで、ネットワーク機器と帯域幅容量の弱点を突くのです。

また、DDoS攻撃のほとんどは意外に短く、下図にも明確に表れています。最大級の超帯域幅消費型攻撃でも、数分ではなく数秒単位です。記録破りなのに開始から終了までわずか35秒という攻撃も観測されています。継続時間が30秒であろうと10分であろうと、人間が介入する余地は実質的にありません。アラートがセキュリティアナリストに届く頃には、攻撃は完了しています。この現実に対して、手動による軽減やオンデマンドのソリューションはあまりにも遅すぎます。しかも、攻撃自体は短くても、その後の影響は短時間では終わりません。短いバーストでも影響が連鎖的に波及し、ルーティングの不安定化、TCP再送、アプリケーションタイムアウト、さらには復旧に数時間から数日を要する下流サービスの品質低下を引き起こしかねません。それらがすべて、サービスの停止や機能不全が続く中で起こります。このような脅威状況下で、自動化された常時稼働の保護は、あれば便利なものではなく、無くてはならないものなのです。

最も攻撃された業界

オペレーション・エピックフューリーと政府部門への攻撃の急増

2026年2月28日、イスラエルと米国はイランの指導部とインフラに対する一連の攻撃、「オペレーション・エピックフューリー」を開始しました。72時間以内にDDoS攻撃の状況が変化し、セキュリティ研究者によると、ハクティビストが16か国・110組織に対して行ったと主張するDDoS攻撃が149件ありました。世界各地で標的にされた組織の47.8%近くは、政府部門に属していました。

公開された報告書には、この期間に政府の大規模な標的化があったことが記録されており、軽減されたHTTP DDoSリクエストに占めるシェアでも、この部門は第1四半期の29位から第2四半期の9位へ20位も上昇しました。この期間のほとんどはトップ10圏外だったにもかかわらず、業界ランクで最大の変動です。

メディアが集中攻撃の的に：最も攻撃された業界

イランとウクライナで戦争が続き、ワールドカップの興奮が渦巻く中、第1・第2四半期とも最も攻撃された業界はメディア・制作・出版で、軽減されたHTTP DDoSリクエスト全体の14.2%と、2位の4倍近くを占めました。

最も攻撃された国

2026年上半期のDDoS攻撃状況を攻撃された場所別に見ると、お馴染みの国名が上位に入る一方で、順位入れ替えもありました。上半期に最も多く攻撃されたのは中国で、第2四半期は全世界のHTTP DDoSリクエストの22.4%が同国に向けられたものでした。米国は第2位（18.8%）を維持し、攻撃者にとって相変わらず魅力的であることを示しました。

トルコでは攻撃が急増し、世界の攻撃トラフィックに占めるシェアが倍以上に拡大して、第2四半期には第3位の標的国となりました。この急増は、アンカラでの2026年NATOサミットに向けて準備が進められていた2026年6月から7月初旬とタイミングが一致しています。この期間、トルコの治安部隊はアンカラ全域でサミット前の大規模な一斉捜索を実施し、少なくとも209名を逮捕しました。

上位の攻撃元国

2026年上半期はブラジル（14.9%）が米国（13.4%）を超え、DDoS発信源第1位になりました。ブラジルでは第2四半期に劇的な増加があり、軽減されたDDoSリクエストトラフィックの21.4%を占めたことが要因です。インドネシアは両四半期とも第3位で、DDoS発信国の世界トップ3の地位を複数四半期にわたって維持しています。

攻撃ベクトル

DNSフラッド攻撃が支配的

2026年上半期は、DNSベースの攻撃（DNSフラッドやDNS増幅）がネットワーク層攻撃の34.3%を占めました。この2つの攻撃メカニズムは関連していますが異なります：DNSフラッドは、ボットネットの大量のリクエストをそのまま被害者の権威DNSサーバーに直接送りつけ、クエリ処理能力を使い果たすことを狙っています。その結果、ドメインの「電話帳」が到達不可能となり、それに依存するサービスが軒並み停止します。DNS増幅（DNSアンプリフィケーション）は、IPアドレスをスプーフィング（偽装）した小さなクエリをオープンなDNSリゾルバーに送信します。リゾルバーは応答として、遥かに大きなレコード（ANYクエリがこの増幅をトリガーする場合が多い）を、なりすまされた被害者のIPへ返させます。 

CLDAPが激増：増幅で580%増に

CLDAPフラッドは、Active Directoryの露出したLDAP-over-UDPエンドポイントを悪用してリフレクション・増幅を行う攻撃ベクトルで、第2四半期だけで第1四半期から580%増加し、第3位のベクトルになりました。CLDAP（Connectionless Lightweight Directory Access Protocol）は、LDAP（Lightweight Directory Access Protocol）の変形版で、IPネットワーク上で動作するディレクトリサービスのクエリと変更に使用されます。CLDAPはコネクションレスで、TCPでなくUDPを使用するため高速ですが、信頼性が低くなります。UDPを使うためハンドシェイクが不要で、攻撃者が送信元IPアドレスを詐称できるため、攻撃者はリフレクションベクトルとして悪用できます。CLDAP攻撃は、外部からUDP389番ポート経由でアクセス可能なドメインコントローラーに、小さな偽装クエリを送信します。サーバーは、そのクエリの数十倍から数百倍の大きさの応答を、偽装された送信元（被害者）に返し、被害ホストに過負荷をかけます。

グローバルな防衛強化とインターネット防御への貢献

Cloudflareのネットワークは、この種のDDoS脅威増大を吸収するように設計されています。当社ネットワーク上のサービスはすべて、無料かつ無制限のDDoS攻撃対策で保護されています。この保護は500Tbpsのネットワーク容量に支えられ、世界330都市以上で稼働しています。自律性が肝です。当社のシステムは人間の介入なしに攻撃を検出し軽減します。攻撃者は今や、四半期に数百回のペースで1Tbps超の攻撃を仕掛けてくるため、自律性が必要なのです。

ホスティングプロバイダー、クラウドコンピューティングプラットフォーム、インターネットサービスプロバイダーが、これらの攻撃の起点となるIPアドレスやアカウントの悪用を特定して排除できるように、CloudflareはDDoS攻撃を広く見渡せる独自の視点を活かし、サービスプロバイダー向けのDDoSボットネット脅威情報を無償で共有しています。 

世界中で800以上のネットワークがこの情報フィードの受信登録をしており、コミュニティ全体の協力により、ボットネットノード排除の成果が既に見られます。

Cloudforce Oneについて

インターネット防御への貢献をミッションとして掲げるCloudforce Oneは、Webの20%以上を保護するCloudflareグローバルネットワークのテレメトリを活用して、脅威の研究と運用対応を推進し、世界中の何百万もの組織の重要システムを保護しています。