935 ataques acima de 1 Tbps são a manchete, não a história
O relatório de ameaças DDoS da Cloudflare para o primeiro semestre de 2026, publicado a 11 de agosto de 2026, colocou números concretos numa história de pressão crescente: 23,2 milhões de ataques DDoS de camada de rede mitigados, 29,64 biliões de pedidos HTTP DDoS bloqueados, e uma média de cerca de 5343 ataques de camada de rede por hora. O pormenor que circula mais depressa é o extremo: 935 ataques individuais ultrapassaram 1 terabit por segundo no primeiro semestre, um salto de 519 por cento nesse volume do primeiro para o segundo trimestre.
Esses números são reais, e fazem manchetes. Uma contagem de ataques e uma contagem de terabits mostram quão alto ficou o ruído. Não mostram de onde veio esse tráfego, e é precisamente aí que está a descoberta mais útil do relatório: uma mudança na forma como os atacantes construíram o volume, que altera o aspeto de uma postura de segurança defensável para uma empresa longe de qualquer manchete.
De possuir uma botnet a pedir servidores emprestados a terceiros
Duas categorias de ataque de camada de rede moveram-se com força nos dados da Cloudflare. As inundações DNS subiram de 25,7 por cento dos ataques de camada de rede no primeiro trimestre para 40,0 por cento no segundo. As inundações CLDAP, uma técnica de reflexão e amplificação, subiram 580 por cento de trimestre para trimestre e tornaram-se o terceiro vetor de ataque mais comum do relatório. Ambas pertencem à mesma família: em vez de disparar tráfego diretamente a partir de uma botnet que controla, o atacante envia um pequeno pedido falsificado ao resolvedor DNS ou ao servidor LDAP de terceiros, falsificando o endereço do alvo como remetente, e deixa que o servidor desse terceiro envie uma resposta muito maior à vítima.
O atrativo para um atacante é simples: estas técnicas multiplicam rotineiramente um pequeno pedido numa resposta muito maior, pelo que uma quantidade modesta de largura de banda do atacante se torna numa grande inundação no alvo. O que importa para quem se defende é onde está a alavancagem. Uma inundação de botnet clássica está limitada pelo número de máquinas comprometidas que o atacante reuniu. Um ataque de reflexão está limitado pelo número de resolvedores DNS mal configurados ou servidores LDAP expostos que existem na internet aberta para o atacante fazer ricochetear tráfego, e esse número está em grande parte fora do controlo de um único alvo.
A vossa exposição depende agora da má configuração de outros
Esse é o ponto operacional que vale a pena reter. Uma empresa pode blindar o seu próprio perímetro, corrigir os seus próprios servidores, e mesmo assim absorver um ataque de reflexão maior simplesmente porque milhares de resolvedores DNS abertos ou servidores LDAP expostos permanecem por corrigir noutro local da internet, disponíveis para qualquer atacante os recrutar sem alguma vez os ter comprometido. A exposição DDoS deixou em parte de ser uma função da vossa própria superfície de ataque e passou a ser uma função da higiene agregada da internet.
Isso muda o que reduzir o vosso risco DDoS deveria significar na prática. Comprar uma ligação maior continua a ajudar contra o volume bruto, mas pouco faz contra ser usado como refletor ou atingido por um. As medidas mais úteis situam-se a montante e são colaborativas: filtragem de saída para que a vossa própria rede não possa ser recrutada como refletor de outrem, e uma conversa direta com o vosso fornecedor de internet ou CDN sobre o bloqueio de vetores de amplificação conhecidos como DNS e CLDAP na periferia da rede, em vez de dimensionar a capacidade apenas para o último ataque que viram.
Setor público salta 20 posições - a observar, não a arquivar
O aviso mais concreto do relatório é um alvo, não uma técnica. O setor público saltou do lugar 29 para o lugar 9 entre os setores mais atacados, o maior movimento de um único setor registado pela Cloudflare até agora em 2026, uma mudança que o relatório liga a uma campanha a que chama Operation Epic Fury. Media, produção e edição mantiveram-se o setor mais atacado por volume de pedidos HTTP DDoS em ambos os trimestres, com 14,2 por cento de todos os pedidos HTTP DDoS mitigados. A Turquia subiu ao terceiro país mais atacado, algo que a Cloudflare liga ao momento da cimeira da NATO de julho em Ancara.
Nada disso é um padrão histórico estável que uma organização pública ou próxima do setor público possa desvalorizar. Um salto de 20 posições em meio ano é uma mudança em curso relativamente a onde os atacantes apontam, e atinge mais duramente precisamente as organizações na UE e no Reino Unido, entidades públicas, empresas de utilidade pública e operadores próximos da saúde, que tendem a gerir a infraestrutura mais antiga e os orçamentos DDoS mais apertados.
O que um operador da UE ou do Reino Unido deveria mudar este trimestre
Comecem por uma auditoria, não por uma compra. Verifiquem se os vossos próprios resolvedores DNS respondem a pedidos vindos de toda a internet em vez de apenas de clientes conhecidos, uma vez que um resolvedor sem restrições é exatamente o tipo de infraestrutura que este relatório diz estar a ser tomada emprestada pelos atacantes. Façam o mesmo para qualquer serviço LDAP exposto além da fronteira da vossa rede. Nenhuma das correções exige hardware novo, ambas retiram-vos como possível refletor, e ambas são o tipo de arrumação que um teste de penetração assinala mas que uma equipa de informática ocupada adia.
Depois tenham a conversa mais difícil com o vosso fornecedor de internet ou CDN: perguntem especificamente se a mitigação DDoS deles bloqueia vetores de amplificação conhecidos como as inundações DNS e CLDAP na periferia, além de quanto volume bruto conseguem absorver. Se trabalham em entidades públicas, utilidade pública ou serviços próximos da saúde, tratem o salto de posições do setor como atual, não histórico, e antecipem a vossa revisão DDoS no calendário em vez de esperar pelo próximo ciclo de renovação para a levantar.
Leia a seguir: 4.000 apps em 30 dias: a aposta de IA da Cloudflare | A especificação está três revisões à frente do produto
