Présentation des tendances Q3 2026

Le Cloudflare DDoS Threat Report 2026 Q3 indique que les attaques dépassant 1 Tbps sont passées de 805 au deuxième trimestre à 251 au troisième trimestre, soit une baisse de 69 %. Malgré ce recul, le nombre total d’attaques de couche réseau a atteint 18,2 millions, soit une hausse de 208 % sur un an, ce qui correspond à environ 8 226 attaques par heure. La majorité (96 %) de ces flux a duré moins de dix minutes et 98 % sont restés sous 1 Gbps, montrant que la plupart des incidents sont de courte durée et de faible bande passante.

Mécanismes d'attaque et évolution des vecteurs

Les vecteurs d’amplification ont connu des mutations marquées. Les attaques CLDAP, qui avaient crû de 580 % au premier semestre, ne représentent plus que 0,05 % du total en Q3, soit une chute de 99,5 % par rapport au trimestre précédent. En compensation, les floods DNS ont progressé de 215 %, atteignant 3,4 % du volume réseau, tandis que les floods UDP sont passés de 14,1 % à 31,3 % des attaques. Les floods DNS classiques restent la méthode dominante à 39,3 %. Cette réallocation indique que les acteurs privilégient des protocoles plus simples à exploiter, tout en conservant une efficacité d’amplification élevée.

Impact des botnets IoT et actions légales

Le rapport attribue partiellement la diminution des gros DDoS à l’intervention du Justice Department, qui a démantelé les botnets Aisuru, Kimwolf, JackSkid et Mossad en mars, avec le soutien du Canada et de l’Allemagne. Néanmoins, les botnets basés sur l’Internet des objets demeurent actifs : de nouvelles variantes telles que Dysphoria et Evooo1Bot circulent déjà. Le mois d’août a enregistré 57,23 petabytes de trafic classé « Mirai », et la plus longue attaque Mirai a duré 49,7 heures. Ces chiffres soulignent la persistance d’une menace volumétrique capable de saturer les liens même lorsqu’elle reste sous le seuil de 1 Gbps.

Architecture de mitigation automatisée de Cloudflare

Cloudflare affirme que ses systèmes détectent et atténuent les attaques sans intervention humaine, une exigence justifiée par le fait que 96 % des flux se terminent avant qu’un analyste puisse intervenir. L’infrastructure repose sur des capteurs distribués à l’échelle du réseau, couplés à des algorithmes de classification en temps réel qui identifient les signatures d’amplification (DNS, UDP, CLDAP) et les comportements de botnet IoT. Cette automatisation permet de répondre à plus de 8 000 événements par heure tout en conservant une latence minimale pour les services légitimes. Cependant, la dépendance à des modèles heuristiques expose le système à des faux positifs potentiels, surtout lorsque les attaquants modifient les paquets pour masquer leurs signatures.