Cloudflare DDoS 위협 보고서 2026년 상반기: 1Tbps 공격 급증, DNS 폭주와 지정학적 긴장으로 새로운 공격 물결 촉발

Cloudflare의 DDoS 위협 보고서 제25호를 소개합니다. 이번 보고서는 이 시리즈에서 처음으로 발간되는 반기 보고서입니다. 2026년 1분기와 2분기 보고서를 별도로 발간하는 대신, 2026년 1월부터 6월까지의 1분기와 2분기 내용을 하나의 보고서로 통합했습니다. 이 분석은 Cloudflare의 위협 인텔리전스 조직인 Cloudforce One에서 작성했으며, Cloudflare 네트워크의 데이터를 기반으로 진화하는 분산 서비스 거부(DDoS) 공격 위협 환경을 종합적으로 분석합니다.

핵심 인사이트

1. 1Tbps 클럽의 규모가 커졌습니다. Cloudflare는 2026년 상반기에 1Tbps를 초과하는 네트워크 계층 DDoS 공격을 총 935건 완화했으며, 1분기에서 2분기 사이에는 이러한 공격이 전 분기 대비 519% 급증했습니다. 
2. 공격 벡터의 중심이 봇넷 폭주에서 반사 및 증폭 공격으로 이동했습니다. 2026년 상반기에 DNS 기반 공격은 전체 네트워크 계층 공격의 34.3%를 차지했으며, DNS 폭주만 해도 전체 네트워크 계층 공격에서 차지하는 비중이 전 분기 대비 25.7%에서 40.0%로 증가했습니다. CLDAP 폭주는 전 분기 대비 580% 급증하며 2분기에 세 번째로 많은 공격 벡터가 되었습니다.
3. 지정학적 상황과 글로벌 이벤트가 위협 환경에 영향을 미칩니다. 이란, 우크라이나, 월드컵 관련 보도가 지속적인 관심을 끌면서 미디어, 제작 및 출판 업계는 두 분기 모두 완화된 전체 HTTP DDoS 요청의 14.2%를 차지하며 가장 많은 공격을 받은 업계 1위를 유지했습니다. 이와 동시에 7월 앙카라 NATO 정상회의를 앞둔 상황에서 튀르키예는 세 번째로 많은 공격을 받은 국가로 올라섰으며, '에픽 퓨리' 작전 기간에는 정부 부문이 29위에서 9위로 뛰어올라 2026년 현재까지 가장 큰 순위 상승을 기록했습니다.

수치로 보는 2026년 상반기: 매시간 5,300건의 DDoS 공격

2026년이 절반 지난 시점에 Cloudflare는 이미 2,320만 건의 네트워크 계층 DDoS 공격과 29조 6,400억 건의 HTTP DDoS 요청을 완화했습니다. 이는 시간당 약 5,343건, 하루 약 128,000건의 네트워크 계층 DDoS 공격에 해당합니다.

4월에 정점을 찍은 공격과 법 집행 기관의 단속

2026년 4월에는 DDoS 공격 활동과 트래픽 양이 정점을 찍으며 각각 6조 4,600억 건의 요청과 165페타바이트(PB)로 최고치를 기록했습니다. 어느 정도 규모인지 감을 잡기 위해 비교하면, 이는 4K 동영상을 수년간 쉬지 않고 스트리밍하는 것과 맞먹거나 주요 동영상 플랫폼에서 하루 동안 처리하는 데이터 양과 대략 맞먹을 정도로 엄청난 트래픽입니다. 이후 요청 건수와 트래픽 양은 감소했는데, 이는 Operation PowerOFF의 영향일 가능성이 있습니다. 21개국이 참여한 이 작전에서는 DDoS 대행 서비스를 이용한 사용자 75,000여 명을 대상으로 단속을 벌여 도메인 53개를 폐쇄하고, 수색 영장 25건을 집행했으며, 4명을 체포했습니다.

대규모 볼류메트릭 공격, 6배 이상 급증

대규모 볼류메트릭 DDoS는 초당 1테라비트(Tbps), 초당 10억 패킷(Bpps) 또는 초당 100만 요청(Mrps)을 초과하는 공격으로 정의되며, Radar 보고서에서 지속적으로 증가해 온 공격 유형입니다. 2026년도 예외가 아닙니다. 2분기에 Cloudflare는 1Tbps를 초과하는 네트워크 계층 공격 805건을 완화했으며, 이는 전 분기 대비 6배 이상 증가한 수치입니다.

공격 특성: 작고 짧게

대규모 볼류메트릭 공격이 증가했음에도 불구하고, Cloudflare가 2026년 상반기에 완화한 DDoS 공격의 중간값을 보면 공격 시간은 짧고 규모는 작았습니다. 네트워크 계층 공격의 96.62%는 500Mbps 미만이었으며, 90.60%는 10분 이내에 종료되었습니다. 하지만 여기서 ‘작다’는 것은 상대적인 개념이며, 대부분의 인터넷 자산은 이러한 소규모 공격조차 견디지 못한다는 점에 유의해야 합니다. 실제로는 다음과 같습니다.

• 100Mbps 공격만으로도 서버나 웹 사이트를 마비시키기에 충분합니다
• 100Gbps 공격은 보호되지 않은 대부분의 데이터 센터를 오프라인 상태로 만들 수 있습니다
• 1Tbps 이상의 공격은 지금까지 기록된 공격 중 가장 큰 규모에 속하며 주요 인터넷 인프라에도 큰 부담을 줍니다

공격자는 때로 여러 계층을 혼합하여 공격합니다. 예를 들어 상대적으로 낮은 대역폭(Gbps)에 높은 패킷 속도(Mpps/Gpps)를 결합하거나 그 반대로 구성하여, 네트워크 장비와 대역폭 용량의 서로 다른 취약점을 공략합니다.

또한 아래 차트에서 볼 수 있듯이, 대부분의 DDoS 공격은 놀라울 정도로 짧은 시간 동안만 지속됩니다. 규모가 가장 큰 대규모 볼류메트릭 공격조차 분이 아니라 초 단위로 측정될 정도입니다. 실제로 우리는 시작부터 종료까지 단 35초 동안 지속된 기록적인 공격을 관찰한 바 있습니다. 공격이 30초 동안 지속되든 10분 동안 지속되든 사람이 개입할 수 있는 실질적인 시간은 없습니다. 보안 분석가에게 경고가 전달될 즈음에는 이미 공격이 끝난 뒤입니다. 수동 완화와 온디맨드 솔루션은 이러한 현실에 대응하기에는 너무 느립니다. 하지만 공격 자체는 짧게 끝나더라도 그 여파는 그렇지 않습니다. 짧은 공격 폭주만으로도 연쇄적으로 라우팅 불안정, TCP 재전송, 애플리케이션 시간 초과, 다운스트림 서비스 성능 저하가 발생할 수 있으며, 완전히 복구하는 데 몇 시간 또는 며칠이 걸릴 수 있습니다. 그동안 서비스는 중단되거나 성능이 저하된 상태로 남게 됩니다. 이러한 위협 환경에서 자동화된 상시 보호는 편의를 위한 기능이 아니라 필수 요소입니다.

가장 많이 공격받은 업계

'에픽 퓨리' 작전과 정부 부문을 겨냥한 공격 급증

2026년 2월 28일, 이스라엘과 미국은 이란 지도부와 인프라를 겨냥한 일련의 공격인 '에픽 퓨리' 작전을 개시했습니다. 이후 72시간 이내에 DDoS 위협 환경에도 변화가 나타났으며, 보안 연구원들은 16개국의 서로 다른 조직 110곳을 대상으로 한 핵티비스트의 DDoS 공격 주장 149건을 기록했습니다. 전 세계에서 표적이 된 전체 조직의 약 47.8%가 정부 부문에 속했습니다.

이 기간에 정부 기관을 겨냥한 광범위한 공격이 공개 보고를 통해 확인된 가운데, 완화된 HTTP DDoS 요청에서 차지하는 비중을 기준으로 정부 부문은 1분기 29위에서 2분기 9위로 20계단 급등했습니다. 이 기간 대부분에는 상위 10위권 밖에 머물렀지만, 업계별 순위 변동 폭으로는 가장 큰 사례 중 하나였습니다.

포위된 미디어: 가장 많은 공격을 받은 업계

이란과 우크라이나에서 전쟁이 이어지고 월드컵에 대한 관심이 고조되는 가운데, 미디어, 제작 및 출판 업계는 두 분기 모두 가장 많은 공격을 받은 업계였으며, 완화된 전체 HTTP DDoS 요청의 14.2%를 차지했습니다. 이는 2위 업계의 거의 4배에 달하는 비중입니다.

가장 많이 공격받은 위치

2026년 상반기 DDoS 위협 환경에서는 가장 많은 공격을 받은 지역 중 익숙한 지역들이 여전히 상위권을 차지한 한편 순위 변동도 나타났습니다. 중국은 2분기에 전 세계 HTTP DDoS 요청의 22.4%를 받으며 상반기를 가장 많은 공격을 받은 지역으로 마감했습니다. 미국은 18.8%로 2위를 굳건히 지키며 공격자들의 지속적인 표적이 되고 있음을 보여주었습니다.

튀르키예에서는 공격이 빠르게 증가하여 전 세계 공격 트래픽에서 차지하는 비중이 두 배 이상 늘었고, 2분기에는 세 번째로 많은 공격을 받은 지역으로 올라섰습니다. 이러한 급증은 6월과 7월 초 2026 앙카라 NATO Summit을 앞두고 긴장이 고조되던 시기와 맞물렸습니다. 당시 튀르키예 보안 당국은 앙카라 전역에서 정상회의를 앞두고 대대적인 단속을 벌여 최소 209명을 체포했습니다.

상위 공격 출처 국가

브라질은 2026년 상반기에 미국을 제치고 DDoS 공격의 최대 출발 국가가 되었습니다. 각각의 비중은 14.9%와 13.4%였습니다. 특히 2분기에 브라질에서 발생한 트래픽이 급증하면서, 완화된 전체 DDoS 공격 요청 트래픽의 21.4%가 브라질에서 발생했습니다. 인도네시아는 두 분기 모두 3위를 유지하며 여러 분기에 걸쳐 전 세계 DDoS 공격의 3대 출처 국가 중 하나로 자리했습니다. 

공격 벡터

DNS 폭주가 지배적

DNS 기반 공격(DNS 폭주 및 DNS 증폭)은 2026년 상반기 네트워크 계층 공격의 34.3%를 차지했습니다. 두 메커니즘은 서로 관련되어 있지만 차이가 있습니다. DNS 폭주는 봇넷에서 발생하는 대량의 요청을 피해자의 권한 DNS 서버로 직접 보내 쿼리 처리 용량을 소진시키는 공격입니다. 해당 도메인의 ‘전화번호부’가 응답할 수 없게 되면서 이에 의존하는 모든 서비스가 중단됩니다. 반면 DNS 증폭 공격은 공개 DNS 리졸버에 소량의 스푸핑된 쿼리를 보내며, DNS 리졸버는 이보다 훨씬 큰 레코드로 피해자의 스푸핑된 IP에 응답합니다(흔히 ANY 쿼리를 통해 유발됨). 

CLDAP 급증: 증폭 공격 580% 증가

CLDAP 폭주는 노출된 Active Directory LDAP-over-UDP 엔드포인트를 악용하는 반사 및 증폭 공격 벡터로, 전 분기 대비 580% 증가하며 2분기에 세 번째로 많은 공격 벡터가 되었습니다. CLDAP(Connectionless Lightweight Directory Access Protocol)는 LDAP(Lightweight Directory Access Protocol)의 변형으로, IP 네트워크에서 실행되는 디렉터리 서비스를 조회하고 수정하는 데 사용됩니다. CLDAP는 연결이 필요 없고 TCP 대신 UDP를 사용하므로 더 빠르지만 안정성이 떨어집니다. UDP를 사용하기 때문에 공격자가 소스 IP 주소를 스푸핑할 수 있는 핸드셰이크가 필요하지 않으므로 공격자는 이를 반사 벡터로 악용할 수 있습니다. CLDAP 공격은 UDP 포트 389를 통해 공개적으로 액세스할 수 있는 도메인 컨트롤러에 소량의 스푸핑된 쿼리를 전송하는 방식으로 이루어집니다. 그러면 서버는 스푸핑된 출처(피해자)에 원래 쿼리보다 수십 배에서 수백 배 큰 응답을 보내 피해자 호스트를 마비시킵니다. 

전 세계 방어 역량 강화 및 인터넷 보호 지원

Cloudflare의 네트워크는 이처럼 증가하는 DDoS 위협을 흡수할 수 있도록 설계되었습니다. Cloudflare 네트워크의 모든 서비스에는 무료 무제한 DDoS 방어가 적용되며, 이 방어 기능은 500Tbps의 네트워크 용량을 기반으로 전 세계 330개 이상의 모든 Cloudflare 도시에서 실행됩니다. 핵심은 자율성입니다. Cloudflare 시스템은 사람의 개입 없이 공격을 감지하고 완화합니다. 이는 반드시 필요한 기능입니다. 이제 공격자들이 분기마다 수백 건에 달하는 빈도로 1Tbps를 초과하는 공격을 일상적으로 감행하고 있기 때문입니다.

호스팅 공급자, 클라우드 컴퓨팅 플랫폼 및 인터넷 서비스 공급자가 이러한 공격을 시작하는 악성 IP 주소/계정을 식별하고 차단할 수 있도록 지원하기 위해 Cloudflare는 DDoS 공격에 대한 Cloudflare 고유의 관측 지점을 활용하여 서비스 공급자를 위한 무료 DDoS 봇넷 위협 피드를 제공합니다. 

전 세계적으로 800여 개의 네트워크에서 이 피드에 가입했으며, 커뮤니티 전반에서 봇넷 노드를 제거하기 위한 협업이 잘 이루어지고 있습니다.

Cloudforce One 소개

인터넷을 방어한다는 사명을 바탕으로, Cloudforce One은 전 세계 웹의 20% 이상을 보호하는 Cloudflare의 글로벌 네트워크에서 수집된 텔레메트리를 활용해 위협 연구와 운영 대응을 수행하며, 전 세계 수백만 조직의 핵심 시스템을 보호합니다.