Báo cáo DDoS Q3/2026: Xu hướng tấn công ‘bầy đàn’ thay thế các cuộc tấn công quy mô lớn

Cloudflare vừa công bố báo cáo về tình hình tấn công DDoS trong quý 3 năm 2026. Dữ liệu từ mạng lưới toàn cầu của Cloudflare cho thấy một sự thay đổi chiến thuật đáng kể từ phía các nhóm tội phạm mạng: xu hướng chuyển dịch từ các cuộc tấn công siêu quy mô (hyper-volumetric) sang các đợt tấn công ‘bầy đàn’ (swarms) với thời gian ngắn và băng thông thấp.

Sự thay đổi về hình thái tấn công

Trong quý vừa qua, các cuộc tấn công có thời lượng dưới 10 phút và băng thông dưới 1 Gbps đã tăng vọt 208%. Ngược lại, các cuộc tấn công có quy mô trên 1 Tbps giảm tới 69% so với quý 2. Các chuyên gia nhận định sự sụt giảm này có liên quan trực tiếp đến các chiến dịch triệt phá botnet IoT quy mô lớn của cơ quan thực thi pháp luật đầu năm 2026, bao gồm các botnet như Aisuru, KimWolf, JackSkid và Mossad.

Tuy nhiên, các botnet dựa trên IoT vẫn là mối đe dọa bền bỉ khi các biến thể mới như Dysphoria và Evooo1Bot liên tục xuất hiện. Trung bình, hệ thống của Cloudflare phải đối mặt với khoảng 8.226 cuộc tấn công DDoS mỗi giờ, tương đương với một cuộc tấn công sau mỗi 0,44 giây.

Dịch chuyển vector tấn công: CLDAP thoái trào, UDP lên ngôi

Một điểm đáng chú ý là sự sụp đổ của các cuộc tấn công CLDAP (Connectionless Lightweight Directory Access Protocol), vốn từng tăng mạnh trong nửa đầu năm nhưng đã giảm tới 99,5% trong quý 3. Thay vào đó, tin tặc chuyển hướng sang các giao thức khác:

• DNS amplification: Tăng 215%, tận dụng các DNS resolver mở để khuếch đại lưu lượng.
• UDP floods: Tăng 122%, trở thành phương thức phổ biến để làm cạn kiệt tài nguyên tính toán và mạng của mục tiêu.

Mục tiêu tấn công mở rộng

Các cuộc tấn công không còn tập trung vào một nhóm ngành duy nhất. Mặc dù lĩnh vực truyền thông và xuất bản vẫn là mục tiêu hàng đầu, nhưng tỷ trọng đã giảm đáng kể. Thay vào đó, các lĩnh vực như dịch vụ tiêu dùng, hạ tầng Internet và giải trí người lớn đang trở thành đích ngắm mới. Về mặt địa lý, Hoa Kỳ vẫn là quốc gia bị tấn công nhiều nhất, theo sau là Trung Quốc và Indonesia. Đáng chú ý, Canada và Israel ghi nhận sự gia tăng đột biến về số lượng tấn công do các căng thẳng địa chính trị và tranh chấp thương mại.

Khả năng phòng thủ tự động

Với lưu lượng tấn công lên tới hàng trăm petabyte mỗi quý, Cloudflare nhấn mạnh tầm quan trọng của việc tự động hóa trong phòng thủ. Hệ thống của họ có khả năng phát hiện và giảm thiểu các cuộc tấn công mà không cần sự can thiệp của con người, điều này đặc biệt quan trọng khi hầu hết các cuộc tấn công hiện nay kết thúc trước khi một chuyên gia phân tích kịp nhận cảnh báo.

Nguồn tham khảo: Cloudflare Blog