TL;DR: Raport Cloudflare za pierwszą połowę 2026 roku pokazuje, że DDoS staje się zagrożeniem masowym, coraz szybszym i trudniejszym do przewidzenia. W ciągu sześciu miesięcy Cloudflare zmitygował 23,2 mln ataków sieciowych, a liczba ataków przekraczających 1 Tbps wzrosła w Q2 o 519% kwartał do kwartału. Jednocześnie coraz większą rolę odgrywają ataki na DNS oraz techniki reflection i amplification. Dane pokazują też silny związek między aktywnością DDoS a wydarzeniami geopolitycznymi – profil ryzyka organizacji może zmienić się praktycznie z dnia na dzień. Wniosek? Skuteczna ochrona przed DDoS powinna działać stale i automatycznie oraz obejmować nie tylko aplikacje, ale również warstwę sieciową i DNS.
Cloudflare opublikował właśnie 25. edycję swojego raportu o zagrożeniach DDoS - pierwszą w nowej, półrocznej formule, obejmującą dane ze stycznia do czerwca 2026 roku.
Raport, przygotowany przez zespół Cloudforce One na podstawie telemetrii z sieci Cloudflare (chroniącej ponad 20% ruchu w internecie), pokazuje nam obraz krajobrazu zagrożeń, który zmienia się szybciej niż jeszcze rok temu wielu z nas by przewidziało. Jako firma, która wdraża i utrzymuje Cloudflare u swoich klientów, postanowiliśmy przyjrzeć się temu raportowi trochę bliżej.
DDoS na masową skalę: ponad 5 tysięcy ataków na godzinę
Już na samym początku wczytywania się w raport ukazują nam się liczby, które pokazują, jak bardzo zmieniła się skala zagrożeń DDoS. W pierwszej połowie 2026 roku Cloudflare zmitygował 23,2 miliona ataków na warstwie L3/l4 oraz 29,64 biliona requestów HTTP związanych z atakami DDoS. W praktyce oznacza to średnio ponad 5,3 tys. ataków sieciowych w ciągu godziny i około 128 tys. każdego dnia.
Największą aktywność odnotowano w kwietniu. W ciągu jednego miesiąca Cloudflare zablokował 6,46 biliona zapytań o charakterystyce DDoS oraz 165 petabajtów złośliwego ruchu. W kolejnych miesiącach skala ataków zaczęła spadać. Jednym z czynników, które mogły mieć na to wpływ, była Operacja PowerOFF – międzynarodowa akcja organów ścigania wymierzona w usługi DDoS-for-hire działające w 21 krajach.
Najważniejszy wniosek z tych danych to przede wszystkim ogromna częstotliwość. DDoS przestał być incydentem, który pojawia się raz na jakiś czas i angażuje cały zespół bezpieczeństwa. Przy dziesiątkach tysięcy ataków dziennie stał się zagrożeniem, z którym infrastruktura internetowa musi radzić sobie w sposób ciągły.
Ataki powyżej 1 Tbps zaczynają być coraz bardziej popularne
Jednym z najbardziej niepokojących trendów opisanych w raporcie jest gwałtowny wzrost liczby ataków hiperwolumetrycznych, czyli ataków DDoS o skali przekraczającej 1 Tbps, 1 miliard pakietów na sekundę lub 1 milion żądań HTTP na sekundę. To ataki generujące w bardzo krótkim czasie tak ogromną ilość ruchu, że mogą wyczerpać dostępne zasoby infrastruktury i doprowadzić do niedostępności usług.
Dane Cloudflare pokazują, że takie zdarzenia przestają być czymś rzadkim. W pierwszej połowie 2026 roku firma zmitygowała 935 ataków sieciowych przekraczających 1 Tbps. Aż 805 z nich przypadło na drugi kwartał. Oznacza to wzrost o 519% kwartał do kwartału – ponad sześciokrotnie więcej niż w Q1.
Istotna jest tutaj nie tylko sama skala pojedynczych ataków, ale również częstotliwość ich występowania. Ataki, które jeszcze niedawno można było traktować jako ekstremalne przypadki, obecnie pojawiają się setki razy w ciągu kwartału. Tym samym zmienia się również profil ryzyka: organizacje muszą być przygotowane nie tylko na większy wolumen ruchu, ale także na to, że atak może osiągnąć ogromną skalę praktycznie natychmiast.
Przy atakach hiperwolumetrycznych czas reakcji jest kluczowy. Jeśli ochrona wymaga ręcznego wykrycia incydentu, analizy i uruchomienia mitygacji, infrastruktura może zostać przeciążona, zanim zespół zdąży podjąć działania. Dlatego coraz większego znaczenia nabiera ochrona działająca stale i automatycznie – zdolna wykryć oraz odfiltrować złośliwy ruch bez oczekiwania na interwencję człowieka.
DNS coraz częściej na celowniku atakujących
W raporcie widać również wyraźną zmianę w sposobie prowadzenia ataków DDoS. Coraz większą rolę odgrywają ataki wykorzystujące DNS oraz mechanizmy reflection i amplification.
Dlaczego to istotne? DNS jest jednym z fundamentów działania usług internetowych. Jeśli infrastruktura DNS przestaje odpowiadać, sama aplikacja może nadal działać poprawnie, ale użytkownicy nie będą w stanie się z nią połączyć.
DNS Flood wykorzystuje tę zależność, kierując ogromną liczbę zapytań do serwerów DNS ofiary i próbując wyczerpać ich możliwości obsługi ruchu. DNS Amplification działa nieco inaczej. Atakujący wysyła niewielkie zapytania do źle zabezpieczonych, publicznie dostępnych resolverów DNS, podszywając się pod adres IP ofiary. Serwery odpowiadają znacznie większą ilością danych właśnie pod ten adres. W efekcie infrastruktura innych podmiotów zostaje wykorzystana do wielokrotnego zwiększenia ruchu kierowanego na cel ataku.
DNS nie jest jednak jedyną usługą wykorzystywaną w ten sposób. Cloudflare zwraca uwagę na gwałtowny wzrost ataków CLDAP Flood, które wykorzystują mechanizm reflection/amplification w oparciu o dostępne z Internetu usługi CLDAP. W drugim kwartale ich liczba wzrosła o 580% w porównaniu z Q1, a CLDAP stał się trzecim najczęściej obserwowanym wektorem ataków sieciowych.
To ważny sygnał dla zespołów odpowiedzialnych za infrastrukturę i bezpieczeństwo. Warstwa ochrony przed DDoS nie kończy się na stronie internetowej czy aplikacji. Równie istotne są usługi i protokoły działające niżej – DNS czy niepotrzebnie dostępne z Internetu porty UDP. Ich błędna konfiguracja może sprawić, że staną się celem ataku albo zostaną wykorzystane jako element infrastruktury służącej do jego przeprowadzenia.
Wpływ geopolityki na ryzyko ataków DDoS
DDoS coraz częściej staje się cyfrową reakcją na to, co dzieje się na świecie. Konflikt, decyzja polityczna czy duże wydarzenie międzynarodowe mogą niemal natychmiast przełożyć się na wzrost liczby ataków.
W obu kwartałach najczęściej atakowanymi sektorami były media, produkcja treści i wydawnictwa, odpowiadające za 14,2% wszystkich zmitygowanych żądań HTTP DDoS. To niemal czterokrotnie więcej niż w przypadku kolejnej branży w zestawieniu. Cloudflare wiąże wzmożoną aktywność związaną m.in. z relacjonowaniem konfliktu z Iranem, wojny w Ukrainie oraz dużych wydarzeń sportowych. Media stają się atrakcyjnym celem niekoniecznie ze względu na dane, które posiadają, ale ze względu na swoją rolę informacyjną – skuteczny DDoS może ograniczyć dostęp do informacji dokładnie wtedy, kiedy zainteresowanie nimi jest największe.
Jeszcze wyraźniej tę zależność widać w sektorze publicznym. Po rozpoczęciu Operacji Epic Fury, związanej z uderzeniami Izraela i USA na irańską infrastrukturę, w ciągu zaledwie 72 godzin odnotowano 149 kampanii DDoS wymierzonych w 110 organizacji w 16 krajach. Niemal 47,8% celów stanowiły podmioty sektora publicznego. W konsekwencji sektor ten przesunął się w rankingu najczęściej atakowanych branż aż o 20 miejsc – z 29. pozycji w Q1 na 9. w Q2.
Podobny mechanizm Cloudflare zaobserwował w przypadku Turcji, która znalazła się na trzecim miejscu wśród najczęściej atakowanych krajów. Wzrost aktywności DDoS zbiegł się ze Szczytem NATO w Ankarze oraz poprzedzającymi go działaniami tureckich służb.
Widzimy więc, że profil ryzyka ataków DDoS może zmienić się praktycznie z dnia na dzień. Organizacja nie musi zmienić swojej infrastruktury, uruchomić nowej usługi ani popełnić błędu w zabezpieczeniach, żeby nagle stać się bardziej atrakcyjnym celem. Czasami wystarczy branża, kraj działalności, relacja z określoną instytucją albo po prostu znalezienie się w centrum bieżących wydarzeń.
To szczególnie istotne dla mediów, administracji publicznej, operatorów infrastruktury krytycznej czy organizatorów dużych wydarzeń.
Jak przygotować infrastrukturę na dzisiejsze ataki DDoS?
Raport Cloudflare pokazuje, że ochrona przed DDoS musi nadążać nie tylko za rosnącą skalą ataków, ale również za zmianą sposobu, w jaki są one prowadzone. Coraz większe znaczenie ma ochrona DNS. Ataki potrafią rozwinąć się w ciągu sekund, a ryzyko nie zależy już wyłącznie od wielkości organizacji czy branży. Wpływ na nie może mieć również to, co w danym momencie dzieje się na świecie.
Z naszej perspektywy z raportu płyną trzy najważniejsze wnioski.
Po pierwsze – ochrona DDoS musi działać stale i automatycznie. Skoro ponad 90% ataków trwa krócej niż 10 minut, a niektóre kończą się po kilkudziesięciu sekundach, trudno zakładać, że zespół bezpieczeństwa zdąży ręcznie wykryć zagrożenie, przeanalizować je i uruchomić mitygację. Mechanizmy ochronne powinny reagować automatycznie, zanim atak zdąży wpłynąć na dostępność usług.
Po drugie – DNS wymaga dziś równie dużej uwagi jak warstwa aplikacyjna. Wzrost udziału DNS Flood oraz ataków wykorzystujących mechanizmy reflection i amplification pokazuje, że zabezpieczenie samej aplikacji czy wdrożenie WAF to tylko część układanki. Warto zweryfikować również konfigurację DNS, ekspozycję portów UDP oraz to, czy infrastruktura jest przygotowana na próby przeciążenia tych elementów.
Po trzecie – profil ryzyka DDoS może zmienić się bardzo szybko. Konflikty, wydarzenia polityczne, sportowe czy medialne mogą w ciągu kilku dni zwiększyć zainteresowanie konkretną branżą, krajem lub organizacją. Dlatego ryzyka DDoS nie powinno się oceniać raz na kilka lat. Warto regularnie sprawdzać, czy przyjęty poziom ochrony nadal odpowiada aktualnej sytuacji i ekspozycji organizacji.
Dla zespołów IT i bezpieczeństwa oznacza to przede wszystkim zmianę podejścia: od reagowania na DDoS do budowania infrastruktury, która jest przygotowana na atak, zanim ten w ogóle nastąpi.
Źródło: Cloudflare DDoS Threat Report for 2026 H1, Cloudforce One.
Autorzy tekstu:
