Les auteurs d’attaques DDoS privilégient de plus en plus les perturbations courtes et répétées aux offensives prolongées, et Cloudflare affirme bloquer des milliers d’attaques chaque heure.
L’entreprise a neutralisé 18,2 millions d’attaques DDoS de couche réseau entre juillet et septembre 2026, soit une hausse de 208 % par rapport à la même période l’an dernier, selon son dernier rapport sur les menaces DDoS.
Cloudflare a également bloqué 14,4 billions de requêtes HTTP malveillantes associées à des attaques DDoS au cours du trimestre. Par ailleurs, 96 % des attaques de couche réseau ont duré moins de 10 minutes, laissant peu de temps aux équipes de sécurité pour intervenir manuellement.
L’entreprise associe ce phénomène aux services de DDoS à la demande, communément appelés booters, qui permettent à leurs clients de lancer des attaques contre des cibles choisies. Ces chiffres suggèrent que les attaquants s’appuient de plus en plus sur des perturbations répétées et de courte durée, plutôt que de se concentrer exclusivement sur d’énormes vagues de trafic.
Les perturbations de grands botnets n’ont pas éliminé la menace
Alors que les attaques de moindre ampleur ont augmenté, les attaques DDoS hypervolumétriques dépassant 1 térabit par seconde sont passées de 805 au deuxième trimestre à 251 au troisième, soit un recul de près de 69 %.
Cette baisse coïncide avec une opération policière menée en mars contre quatre grands botnets de l’Internet des objets : Aisuru, KimWolf, JackSkid et Mossad. Cloudflare a toutefois relevé l’apparition de nouveaux variants, notamment Dysphoria et Evooo1Bot.
L’activité liée à Mirai est également restée importante. Le trafic neutralisé associé à ce botnet a atteint un pic de 57,23 pétaoctets en août, représentant 46,5 % de l’ensemble des octets de couche réseau neutralisés au cours du trimestre. L’attaque Mirai soutenue la plus longue a duré près de 50 heures.
Les attaquants se tournent vers d’autres techniques DDoS
Cloudflare a également signalé des changements dans les méthodes utilisées par les attaquants au cours du trimestre.
Les attaques par réflexion utilisant le protocole LDAP léger sans connexion (CLDAP) ont reculé de 99,5 % d’un trimestre à l’autre, ne représentant plus que 0,05 % des attaques de couche réseau. Les attaques par amplification DNS ont augmenté de 215 %, représentant 3,43 % des incidents.
Les autres inondations UDP sont également devenues plus fréquentes, leur part passant de 14,06 % à 31,31 %.
Ces évolutions montrent à quelle vitesse les attaquants peuvent passer d’une méthode d’attaque disponible à une autre. Perturber une technique ou mettre un botnet hors service ne supprime pas nécessairement l’infrastructure ni la demande qui sous-tendent les attaques DDoS.
Les entreprises disposent d’une fenêtre de réaction plus étroite
L’évolution des modes d’attaque crée une difficulté pratique pour les équipes informatiques et de sécurité. Lorsque la plupart des incidents prennent fin en moins de 10 minutes, l’examen manuel des alertes et l’ajustement des défenses réseau peuvent prendre plus de temps que les attaques elles-mêmes.
Les organisations qui exploitent des portails clients, des transactions en ligne, des applications cloud et d’autres services accessibles depuis Internet ont besoin d’une détection et d’une mitigation automatisées capables de réagir sans attendre l’intervention humaine.
Cette évolution souligne également l’importance d’évaluer la protection au-delà de la seule capacité en bande passante. Les défenses doivent tenir compte des attaques répétées de moindre ampleur qui épuisent les ressources des serveurs, en plus des vagues de trafic occasionnelles à fort volume.
Comment les entreprises peuvent se protéger contre les attaques DDoS plus courtes
L’évolution des modes d’attaque crée une difficulté pratique pour les équipes informatiques et de sécurité. Lorsque la plupart des incidents prennent fin en moins de 10 minutes, l’examen manuel des alertes et l’ajustement des défenses peuvent prendre plus de temps que les attaques elles-mêmes.
Pour les clients, les conséquences peuvent se manifester par des échecs lors du paiement, des délais d’expiration à la connexion ou des interruptions intermittentes du service, plutôt que par une panne prolongée. Même des attaques relativement modestes peuvent perturber des services insuffisamment protégés.
Les entreprises devraient examiner leurs défenses contre les attaques DDoS et poser trois questions à leurs fournisseurs d’hébergement ou de réseau :
- La détection et le filtrage sont-ils automatisés, ou une personne doit-elle d’abord examiner une alerte ?
- La protection est-elle active en permanence ?
- Comment le fournisseur gère-t-il les attaques courtes et répétées ?
Cloudflare affirme que chaque service présent sur son réseau bénéficie gratuitement d’une protection contre les attaques DDoS non plafonnée, répartie dans plus de 330 villes et soutenue par une capacité de 500 Tbit/s.
Les équipes informatiques devraient également examiner les résolveurs DNS et les services d’annuaire exposés que les attaquants pourraient exploiter pour lancer des attaques par réflexion ou amplification.
Les fournisseurs d’hébergement et de réseau peuvent utiliser des flux de renseignement sur les menaces, notamment le DDoS Botnet Threat Feed de Cloudflare, afin d’identifier les infrastructures associées à un trafic abusif.
Ces résultats confirment la nécessité d’une protection automatisée capable de réagir rapidement à des attaques de tailles diverses, plutôt que de défenses conçues uniquement pour des incidents prolongés et à fort volume.
À lire aussi : Sony Network Communications a révélé une violation de données touchant environ 2,59 millions de dossiers clients de So-net et plala au Japon, ainsi que les mots de passe de 54 401 comptes de messagerie.