935 attaques à plus de 1 Tbps font le titre, pas l'histoire

Le rapport de Cloudflare sur les menaces DDoS pour le premier semestre 2026, publié le 11 août 2026, a mis des chiffres concrets sur une année de pression croissante : 23,2 millions d'attaques DDoS de couche réseau neutralisées, 29,64 billions de requêtes HTTP DDoS bloquées, et une moyenne d'environ 5 343 attaques de couche réseau par heure. Le détail qui circule le plus vite est l'extrême : 935 attaques individuelles ont dépassé 1 térabit par seconde au premier semestre, un bond de 519 pour cent de ce volume du premier au deuxième trimestre.

Ces chiffres sont réels, et ils font les gros titres. Un décompte d'attaques et un décompte de térabits montrent à quel point le bruit est monté. Ils ne montrent pas d'où venait ce trafic, et c'est précisément là que se trouve la découverte la plus utile du rapport : un changement dans la façon dont les attaquants ont construit le volume, qui modifie l'allure d'une posture de sécurité défendable pour une entreprise bien loin de tout titre de presse.

Passer de posséder un botnet à emprunter les serveurs d'autrui

Deux catégories d'attaque de couche réseau ont bougé fortement dans les données de Cloudflare. Les inondations DNS sont passées de 25,7 pour cent des attaques de couche réseau au premier trimestre à 40,0 pour cent au deuxième. Les inondations CLDAP, une technique de réflexion et d'amplification, ont bondi de 580 pour cent d'un trimestre à l'autre et sont devenues le troisième vecteur d'attaque le plus courant du rapport. Les deux appartiennent à la même famille : au lieu d'envoyer du trafic directement depuis une botnet qu'il contrôle, l'attaquant envoie une petite requête falsifiée au résolveur DNS ou au serveur LDAP d'un tiers, en usurpant l'adresse de la cible comme expéditeur, et laisse le serveur de ce tiers envoyer une réponse bien plus grande à la victime.

L'attrait pour un attaquant est simple : ces techniques multiplient couramment une petite requête en une réponse bien plus grande, si bien qu'une bande passante modeste chez l'attaquant devient une grande inondation chez la cible. Ce qui compte pour qui se défend, c'est où se trouve le levier. Une inondation de botnet classique est limitée par le nombre de machines compromises que l'attaquant a rassemblées. Une attaque par réflexion est limitée par le nombre de résolveurs DNS mal configurés ou de serveurs LDAP exposés qui existent sur l'internet ouvert, sur lesquels l'attaquant peut faire rebondir du trafic, et ce nombre échappe largement au contrôle d'une seule cible.

Votre exposition dépend maintenant de la mauvaise configuration d'autrui

C'est le point opérationnel qui mérite qu'on s'y arrête. Une entreprise peut verrouiller son propre périmètre, corriger ses propres serveurs, et absorber quand même une attaque de réflexion plus grande simplement parce que des milliers de résolveurs DNS ouverts ou de serveurs LDAP exposés restent non corrigés ailleurs sur internet, disponibles pour tout attaquant qui les enrôle sans jamais les avoir compromis. L'exposition DDoS a en partie cessé d'être une fonction de votre propre surface d'attaque pour devenir une fonction de l'hygiène globale d'internet.

Cela change ce que réduire son risque DDoS devrait signifier en pratique. Acheter une connexion plus grande aide encore contre le volume brut, mais ne fait pas grand-chose contre le fait d'être utilisé comme réflecteur ou d'en subir un. Les mesures les plus utiles se situent en amont et sont collaboratives : un filtrage sortant pour que votre propre réseau ne puisse pas être enrôlé comme réflecteur d'autrui, et une conversation directe avec votre fournisseur d'accès ou CDN sur le blocage des vecteurs d'amplification connus comme DNS et CLDAP en bordure de réseau, plutôt que de dimensionner la capacité seulement pour la dernière attaque subie.

Le secteur public bondit de 20 rangs : à surveiller, pas à archiver

L'avertissement le plus concret du rapport est une cible, pas une technique. Le secteur public a bondi de la 29e à la 9e place parmi les secteurs les plus attaqués, le plus grand mouvement d'un seul secteur enregistré par Cloudflare depuis le début de 2026, un changement que le rapport relie à une campagne qu'il nomme Operation Epic Fury. Médias, production et édition sont restés la cible numéro un par volume de requêtes HTTP DDoS lors des deux trimestres, avec 14,2 pour cent de toutes les requêtes HTTP DDoS neutralisées. La Turquie est montée au troisième rang des pays les plus attaqués, ce que Cloudflare relie au moment du sommet de l'OTAN de juillet à Ankara.

Rien de tout cela n'est un schéma historique stable qu'un organisme public ou proche du secteur public peut hausser les épaules et ignorer. Un bond de 20 rangs en six mois est un changement en cours dans les cibles visées par les attaquants, et il frappe le plus durement précisément les organisations d'UE et du Royaume-Uni, organismes publics, opérateurs de services essentiels et acteurs proches de la santé, qui ont tendance à gérer l'infrastructure la plus ancienne et les budgets DDoS les plus serrés.

Ce qu'un opérateur d'UE ou du Royaume-Uni devrait changer ce trimestre

Commencez par un audit, pas par un achat. Vérifiez si vos propres résolveurs DNS répondent aux requêtes venant de tout internet plutôt que des seuls clients connus, car un résolveur sans restriction est exactement le type d'infrastructure que ce rapport dit être emprunté par les attaquants. Faites de même pour tout service LDAP exposé au-delà de la limite de votre réseau. Aucune des deux corrections ne demande de nouveau matériel, les deux vous retirent comme réflecteur potentiel, et les deux relèvent du ménage qu'un test d'intrusion signale mais qu'une équipe informatique occupée repousse.

Ayez ensuite la conversation la plus difficile avec votre fournisseur d'accès ou CDN : demandez précisément si sa mitigation DDoS bloque les vecteurs d'amplification connus comme les inondations DNS et CLDAP en bordure, en plus de la quantité de volume brut qu'il peut absorber. Si vous travaillez dans le secteur public, les services essentiels ou des activités proches de la santé, traitez le bond de rang du secteur comme actuel, pas historique, et avancez votre revue DDoS dans le calendrier plutôt que d'attendre le prochain cycle de renouvellement pour la soulever.

À lire ensuite: 4 000 applis en 30 jours : le pari IA de Cloudflare  |  La spécification a trois révisions d'avance sur le produit