Powodzie CLDAP wzrosły o 580%, taktyka się zmienia

935 ataków ponad 1 Tbps to nagłówek, nie historia

Raport Cloudflare o zagrożeniach DDoS za pierwsze półrocze 2026 roku, opublikowany 11 sierpnia 2026 roku, nadał konkretne liczby rokowi rosnącej presji: 23,2 miliona zneutralizowanych ataków DDoS warstwy sieciowej, 29,64 biliona zablokowanych żądań HTTP DDoS oraz średnio około 5343 ataki warstwy sieciowej na godzinę. Szczegół, który rozchodzi się najszybciej, to skrajność: 935 pojedynczych ataków przekroczyło 1 terabit na sekundę w pierwszym półroczu, skok tego wolumenu o 519 procent z pierwszego do drugiego kwartału.

Te liczby są prawdziwe i trafiają na pierwsze strony. Liczba ataków i liczba terabitów pokazują, jak głośno zrobiło się w sieci. Nie pokazują, skąd wziął się ten ruch, a właśnie tam leży bardziej użyteczne odkrycie raportu: zmiana w sposobie, w jaki atakujący budowali wolumen, która zmienia to, jak powinna wyglądać obronna postawa bezpieczeństwa firmy dalekiej od jakichkolwiek nagłówków.

Od posiadania botnetu do pożyczania cudzych serwerów

Dwie kategorie ataków warstwy sieciowej gwałtownie się zmieniły w danych Cloudflare. Powodzie DNS wzrosły z 25,7 procent ataków warstwy sieciowej w pierwszym kwartale do 40,0 procent w drugim. Powodzie CLDAP, technika refleksji i amplifikacji, wzrosły o 580 procent z kwartału na kwartał i stały się trzecim najczęstszym wektorem ataku w raporcie. Obie należą do tej samej rodziny: zamiast wysyłać ruch bezpośrednio z botnetu, który kontroluje, atakujący wysyła małe sfałszowane żądanie do resolwera DNS lub serwera LDAP osoby trzeciej, podszywając się pod adres celu jako nadawcę, i pozwala, by serwer tej osoby trzeciej wysłał znacznie większą odpowiedź do ofiary.

Atrakcyjność dla atakującego jest prosta: te techniki rutynowo mnożą małe żądanie w znacznie większą odpowiedź, więc skromna ilość pasma atakującego zamienia się w wielką powódź u celu. To, co liczy się dla obrońcy, to gdzie leży dźwignia. Klasyczna powódź botnetowa jest ograniczona liczbą zainfekowanych maszyn, jakie zebrał atakujący. Atak refleksyjny jest ograniczony liczbą źle skonfigurowanych resolwerów DNS lub eksponowanych serwerów LDAP istniejących w otwartym internecie, od których atakujący może odbijać ruch, a ta liczba w dużej mierze pozostaje poza kontrolą pojedynczego celu.

Wasza ekspozycja zależy teraz od cudzej złej konfiguracji

To jest punkt operacyjny, przy którym warto się zatrzymać. Firma może zabezpieczyć własny obwód, załatać własne serwery, a mimo to przyjąć większy atak refleksyjny po prostu dlatego, że tysiące otwartych resolwerów DNS lub eksponowanych serwerów LDAP pozostają niezałatane gdzie indziej w internecie, dostępne dla każdego atakującego, który je zwerbuje, nigdy ich nie kompromitując. Ekspozycja na DDoS częściowo przestała być funkcją waszej własnej powierzchni ataku, a stała się funkcją zbiorowej higieny internetu.

To zmienia, co powinno oznaczać w praktyce zmniejszanie waszego ryzyka DDoS. Kupno większego łącza wciąż pomaga przeciwko surowemu wolumenowi, ale niewiele daje przeciwko byciu wykorzystanym jako reflektor lub trafieniu przez taki atak. Bardziej użyteczne kroki leżą wyżej w łańcuchu i mają charakter współpracy: filtrowanie ruchu wychodzącego, aby wasza własna sieć nie mogła zostać zwerbowana jako czyjś reflektor, oraz bezpośrednia rozmowa z waszym dostawcą internetu lub CDN o blokowaniu znanych wektorów amplifikacji, takich jak DNS i CLDAP, na brzegu sieci, zamiast dobierania pojemności tylko pod ostatni atak, jaki widzieliście.

Sektor publiczny skoczył o 20 miejsc - obserwujcie to, nie historię

Najbardziej konkretnym ostrzeżeniem w raporcie jest cel, nie technika. Sektor publiczny skoczył z miejsca 29 na miejsce 9 wśród najczęściej atakowanych sektorów, największy ruch pojedynczego sektora odnotowany przez Cloudflare dotychczas w 2026 roku, zmiana, którą raport wiąże z kampanią nazwaną Operation Epic Fury. Media, produkcja i wydawnictwa pozostały najczęściej atakowanym sektorem pod względem wolumenu żądań HTTP DDoS w obu kwartałach, z udziałem 14,2 procent wszystkich zneutralizowanych żądań HTTP DDoS. Turcja awansowała na trzeci najbardziej atakowany kraj, co Cloudflare wiąże z terminem lipcowego szczytu NATO w Ankarze.

Nic z tego nie jest stabilnym historycznym wzorcem, który organizacja publiczna lub bliska sektorowi publicznemu może zbyć wzruszeniem ramion. Skok o 20 miejsc w pół roku to trwająca zmiana w tym, na co celują atakujący, i uderza najmocniej dokładnie w te organizacje w UE i Wielkiej Brytanii, urzędy publiczne, przedsiębiorstwa użyteczności publicznej i podmioty bliskie ochronie zdrowia, które zwykle utrzymują najstarszą infrastrukturę i najskromniejsze budżety na ochronę przed DDoS.

Co operator z UE lub Wielkiej Brytanii powinien zmienić w tym kwartale

Zacznijcie od audytu, nie od zakupu. Sprawdźcie, czy wasze własne resolwery DNS odpowiadają na zapytania z całego internetu zamiast tylko od znanych klientów, ponieważ nieograniczony resolwer to dokładnie ten rodzaj infrastruktury, który według raportu atakujący pożyczają. Zróbcie to samo dla każdej usługi LDAP eksponowanej poza granicą waszej sieci. Żadna z tych poprawek nie wymaga nowego sprzętu, obie usuwają was jako potencjalny reflektor, a obie należą do tego rodzaju porządków, które test penetracyjny wykrywa, ale zapracowany zespół IT odkłada.

Potem odbądźcie trudniejszą rozmowę z waszym dostawcą internetu lub CDN: zapytajcie wprost, czy ich ochrona przed DDoS blokuje znane wektory amplifikacji, takie jak powodzie DNS i CLDAP, na brzegu sieci, oprócz tego, ile surowego wolumenu potrafią wchłonąć. Jeśli działacie w administracji publicznej, przedsiębiorstwach użyteczności publicznej lub usługach bliskich ochronie zdrowia, traktujcie skok sektora w rankingu jako aktualny, nie historyczny, i przesuńcie przegląd DDoS w kalendarzu do przodu, zamiast czekać na kolejny cykl odnowienia, by go poruszyć.

Czytaj dalej: 4 000 aplikacji w 30 dni: zakład AI Cloudflare  |  Specyfikacja wyprzedza produkt o trzy rewizje