Raportul Cloudflare pentru T3 2026 arată 8.226 atacuri DDoS pe oră la nivel de rețea, cu o creștere de 208% a atacurilor scurte, sub 10 minute și 1 Gbps. Atacurile hiper-volumetrice peste 1 Tbps au scăzut cu aproape 69%, iar CLDAP a prăbușit cu 99,5%, în timp ce DNS amplification a urcat cu 215%.

Cloudflare a publicat cea de-a 26-a ediție a raportului său trimestrial DDoS, realizat de Cloudforce One, echipa de threat intelligence a companiei, pe baza telemetriei din rețeaua proprie. Sursa este Cloudflare Blog. Cifrele sunt mari, dar lucrul care contează pentru cine administrează un site sau un magazin online nu e volumul total. E schimbarea de tipar: atacurile devin scurte, dese și ieftine de lansat, iar asta schimbă felul în care trebuie gândită apărarea.

Cifrele trimestrului: 18,2 milioane de atacuri și un ritm de unul la 0,44 secunde

În T3 2026, adică iulie, august și septembrie, Cloudflare a mitigat autonom 18,2 milioane de atacuri DDoS la nivel de rețea și 14,4 trilioane de cereri HTTP DDoS. Tradus: aproximativ 8.226 de atacuri pe oră la nivel de rețea, circa 197.400 pe zi, adică un atac la fiecare 0,44 secunde. Traficul mitigat a totalizat 272,6 PB la nivel de rețea și 95,1 PB la nivel HTTP.

Cifra de 18,2 milioane reprezintă o creștere de 208% față de același trimestru din 2025. Nu e o variație de sezon. E o schimbare structurală în economie atacurilor: bariera de intrare a scăzut, serviciile de tip booter vând atacuri la minut, iar rezultatul e un val de incidente mici, dar numeroase.

Mai multe roiuri, mai puțini giganți: ce înseamnă atacurile scurte

Semnătura operațională a trimestrului este atacul scurt, cu bandă medie, dar cu frecvență mare. 96% dintre atacurile mitigate s-au încheiat în mai puțin de 10 minute, iar 98% au rămas sub 1 Gbps. Pentru un server prost configurat sau fără protecție, 1 Gbps e suficient ca să-l scoată din joc. Nu ai nevoie de un atac de terabiți ca să pierzi vânzări.

Sectoarele vizate cel mai des în această categorie: software, jocuri de noroc și cazinouri, IT. Sunt industrii cu concurență dură, cu cicluri de venit pe oră și cu adversari care au interes direct să pună pe cineva jos în vârf de trafic.

Pe partea cealaltă, atacurile hiper-volumetrice, cele peste 1 Tbps, au scăzut la 251 în T3, de la 805 în T2. Corelația pe care Cloudflare o sugerează, fără să o declare certitudine, e cu acțiunile de aplicare a legii de la începutul lui 2026, când au fost demontate patru dintre cele mai mari botnete IoT: Aisuru, KimWolf, JackSkid și Mossad. Botnetele IoT rămân însă o amenințare durabilă, pentru că ecosistemul reciclează variante noi, precum Dysphoria și Evooo1Bot. Mitigările de tip Mirai au atins vârful în august, la 57,23 PB, adică 46,5% din toți biții mitigați la nivel de rețea în trimestru, cu patru zile (16, 19, 23 și 25 august) în care s-au curățat câte trei petabytes fiecare. Cel mai lung atac Mirai susținut a durat 49,7 ore, între 19 și 21 august.

Concluzia operațională: scăderea numărului de atacuri uriașe nu înseamnă mai puțin pericol. Înseamnă că atacatorii s-au mutat spre zona în care apărarea e mai prost pregătită, adică exact zona în care majoritatea site-urilor mici și medii nu au nimic.

Vectori: CLDAP se prăbușește, DNS amplification explodează

Cea mai dramatică schimbare a trimestrului e pe vectori. CLDAP (Connectionless Lightweight Directory Access Protocol), atacul care exploatează controlere de domeniu publice pe UDP 389, a scăzut la 0,05% din atacuri, după o creștere de 580% în prima jumătate a anului. O asemenea prăbușire în 99,5% într-un singur trimestru nu se întâmplă de la sine. De obicei înseamnă fie că infrastructura expusă a fost închisă masiv, fie că instrumentele de atac au migrat spre altceva mai eficient. Raportul nu tranșează cauza, deci o tratăm ca ipoteză, nu ca fapt.

Ce s-a întâmplat clar: DNS amplification a urcat cu 215% și a ajuns la 3,43% din atacurile la nivel de rețea. Floodurile UDP generale au sărit de la 14,06% la 31,31%. Mecanismul e același ca la CLDAP: cereri mici cu IP falsificat, răspunsuri mari trimise către victimă, prin intermediul unor resolvere DNS deschise. UDP nu are conexiune, deci e un vehicul comod pentru volum brut: pachete multe pe porturi aleatoare, iar ținta consumă rețea și CPU ca să verifice ce aplicație ascultă și să răspundă.

Pentru cine administrează infrastructură, lecția e simplă și neplăcută: vectorii nu dispar, se rotesc. Dacă îți construiești apărarea pe un singur tipar de atac, ești pregătit pentru trimestrul trecut.

Geografie și ținte: SUA revine pe primul loc, Canada și Israel urcă brusc

Statele Unite au redevenit cea mai atacată țară în T3 2026, după ce China fusese pe primul loc în prima jumătate a anului. China e pe locul 2, iar Indonezia a urcat pe locul 3, cu 2,93% din totalul atacurilor. Alternanța SUA-China e deja un tipar, nu o surpriză.

Mișcările interesante sunt în restul clasamentului. Canada a sărit de pe locul 16 pe 6, pe fondul unor tensiuni comerciale bilaterale, cu atacuri concentrate pe retail, telecomunicații, furnizori de servicii și publicitate-marketing. Israel a urcat șapte poziții, pe locul 10, după activitate susținută la mijlocul lui septembrie, într-o perioadă cu decizii politice contestate înainte de alegerile parlamentare și de sărbătoarea Rosh Hashanah, plus un val documentat de război cibernetic ostil îndreptat împotriva țării în acest an.

Pe industrii, Media, Production & Publishing rămâne cea mai atacată, dar cu o cotă de aproximativ un sfert față de nivelul din T2. Atenția s-a împrăștiat: Internet a urcat de sub top 10 pe locul 6, iar Consumer Services și Adult Entertainment au intrat pe 8 și 9. Adică atacurile nu mai sunt un spectacol îndreptat spre presă, ci o unealtă comercială împrăștiată în economie.

O notă de metodologie, ca să fim corecți: raportul reflectă doar traficul care trece prin rețeaua Cloudflare. Un site protejat de alt furnizor nu apare în cifre. Absența unui atac într-un astfel de raport nu dovedește că acel atac nu a existat, doar că nu a fost măsurat acolo.

Ce înseamnă pentru tine, antreprenor sau marketer în România

Dacă ai un magazin online pe Shopify sau pe WooCommerce, un site de servicii sau o pagină de campanie care rulează în trafic plătit, tiparul din T3 2026 te privește direct. Nu pentru că ești țintă garantată, ci pentru că modelul de atac s-a ieftinit. Un atac de 10 minute, sub 1 Gbps, poate fi cumpărat de oricine are un interes comercial și poate lovi exact în ziua unei lansări sau în vârful unei promoții.

Ce poți face concret, fără să cumperi o infrastructură de milioane:

  1. Verifică dacă ai protecție DDoS inclusă la nivelul furnizorului de hosting sau CDN. Mulți au, dar nu e activată implicit pe toate planurile. Întrebarea corectă nu e „am protecție?", ci „ce prag de atac absoarbe planul meu actual?".
  2. Măsoară timpul de indisponibilitate, nu doar prezența lui. Dacă pică site-ul 8 minute în vârf de campanie, costul nu e downtime-ul, e bugetul de reclame consumat pe o pagină care nu se încarcă. Asta e o discuție de analytics, nu de securitate, și merită tratată împreună cu echipa de trafic.
  3. Separă site-ul principal de paginile de campanie. O pagină promoțională pe infrastructură separată reduce suprafața de lovire pentru businessul principal.
  4. Nu confunda un incident DDoS cu o problemă de performanță. Un audit automat poate raporta „site lent" fără să distingă cauza. Verifică logurile, cere confirmarea de la furnizor, nu trage concluzii dintr-un singur semnal.

Pentru echipele care rulează magazine pe Shopify, discuția despre scalarea operațiunii e utilă în paralel cu cea despre rezistență: reducerile de cantitate pe Shopify fără limita de 25 de reguli arată genul de schimbare care crește complexitatea magazinului. Iar dacă lucrezi cu agenți AI care navighează în browser pentru automatizări, cele 3 căi de acces și golul de securitate e o lectură care se leagă direct de subiectul suprafeței de atac.

Un punct de onestitate: nu avem date proprii despre cât de des sunt lovite magazinele românești. Raportul Cloudflare e global și nu segmentizează România. Deci orice cifră locală ar fi inventată. Ce putem spune e că trendul de atacuri scurte și ieftine e cel care ridică riscul pentru operatorii mici, indiferent de țară.

FAQ

Cât de grav e un atac de 1 Gbps dacă am hosting bun? Depinde de configurație, nu doar de furnizor. 98% dintre atacurile din T3 au stat sub 1 Gbps, dar un server fără protecție activă poate fi scos din joc. Întrebarea de verificat e pragul real pe care îl absoarbe planul tău, nu eticheta comercială.

Dacă atacurile peste 1 Tbps au scăzut, sunt mai în siguranță? Nu neapărat. Numărul atacurilor scurte a crescut cu 208%, iar vectorii s-au mutat de la CLDAP la DNS amplification și UDP. Riscul s-a mutat, nu a dispărut. O protecție gândită pentru un singur tipar de atac e insuficientă.

CLDAP chiar a dispărut? A scăzut la 0,05% din atacuri în T3. Raportul nu explică sigur cauza. Tratează scăderea ca pe o observație măsurată, nu ca pe o garanție că vectorul nu revine.

AI-ul ajută la analiză, decizia și execuția rămân umane

Un raport ca acesta e util, dar nu se implementează singur. AI-ul poate ajuta la triajarea logurilor, la corelarea incidentelor cu ferestrele de campanie și la generarea de scenarii de răspuns. Ce nu face AI-ul e să decidă ce plan de protecție cumperi, ce prag accepți și cine e responsabil când site-ul pică în mijlocul promoției. Acolo intervine media buyer-ul sau omul de infrastructură, cu contextul lui de business.

Pasul concret îl face ALLSoft Agency: verificăm împreună configurația actuală, separăm constatările măsurate de ipoteze și stabilim ce merită schimbat înainte de următorul vârf de trafic. Fără hype, fără promisiuni pe cifre pe care nu le putem susține.