Cloudflare H1 2026 : les DDoS à 1 Tbps explosent

Les attaques DDoS térabit : de l'exception à la nouvelle norme

Cloudflare a publié le 13 août 2026 son rapport semestriel sur les menaces DDoS couvrant le premier semestre 2026. Les chiffres publiés établissent un nouveau record historique pour les attaques hyper-volumétriques et confirment une tendance structurelle désormais incontestable : les assauts dépassant 1 térabit par seconde (Tbps) ne sont plus des événements exceptionnels. Sur six mois, le réseau de Cloudflare a mitigé 935 attaques réseau franchissant ce seuil — 130 au premier trimestre, 805 au deuxième. Cette multiplication par plus de six en l'espace de trois mois est le chiffre le plus saisissant du rapport, relayé par Help Net Security, BleepingComputer, XenoSpectrum, TechRepublic et le blog officiel de Cloudflare dès sa publication le 13 août.

Pour saisir l'ampleur réelle de ce phénomène, il faut rappeler qu'1 Tbps correspond approximativement au débit que traite un opérateur de taille moyenne sur l'ensemble de ses liens d'interconnexion. Subir une telle attaque sans infrastructure de mitigation dédiée équivaut à une saturation complète et immédiate de toute connectivité, rendant tout service en ligne indisponible en quelques secondes. Cloudflare, dont le réseau Anycast s'étend sur plus de 300 villes dans le monde, est structurellement positionné pour absorber ces volumes. Mais la très grande majorité des entreprises, hébergeurs régionaux et opérateurs indépendants ne disposent pas de cette capacité intrinsèque et sont donc exposés à un risque d'indisponibilité totale face à ces attaques.

Le volume total d'attaques est lui aussi impressionnant. Cloudflare a mitigé 23,2 millions d'attaques réseau sur l'ensemble du premier semestre 2026, soit environ 5 343 attaques réseau par heure ou approximativement 128 000 par jour. Auxquelles s'ajoutent 29,64 billions (29 640 milliards) de requêtes HTTP DDoS, un volume qui illustre l'industrialisation des attaques applicatives de couche 7. Ces chiffres globaux révèlent le bruit de fond permanent auquel les infrastructures numériques mondiales sont désormais soumises, indépendamment des pics liés aux attaques record.

Le mois d'avril 2026 a constitué le pic d'activité du semestre avec deux records absolus simultanés : 6,46 billions de requêtes HTTP DDoS et 165 pétaoctets de trafic d'attaques réseau. Ces sommets correspondent temporellement à plusieurs périodes de tensions géopolitiques accrues identifiées dans le rapport — des élections nationales dans plusieurs pays, une recrudescence de conflits régionaux actifs, et des opérations coordonnées attribuées à des groupes hacktivistes alignés sur des États. La corrélation entre tensions géopolitiques et pics DDoS est documentée depuis longtemps, mais son intensité en avril 2026 a dépassé tous les précédents mesurés.

Sur le plan des techniques employées, le rapport identifie plusieurs évolutions significatives. Les inondations DNS (DNS floods) ont connu une progression particulièrement marquée, représentant une part croissante des attaques réseau. Cette technique consiste à saturer les résolveurs DNS cibles ou les serveurs DNS autoritaires avec des requêtes synthétiques massives, rendant la résolution de noms impossible et donc tous les services en ligne dépendants injoignables. Les attaques par réflexion et amplification — qui exploitent des protocoles UDP mal configurés comme NTP, Memcached ou SSDP pour générer un volume de trafic disproportionné à partir d'une source limitée — ont également progressé, selon les analyses de TechEdgeAI et BrinzTech reprenant le rapport Cloudflare.

Le rapport souligne un paradoxe statistique important malgré l'explosion des attaques record : 96,62 % des attaques réseau mitigées au H1 2026 sont restées inférieures à 500 Mbps, et 90,60 % ont duré moins de dix minutes. Ce paradoxe — des attaques majoritairement petites et brèves coexistant avec un nombre record d'assauts térabit — reflète la diversification des acteurs malveillants. D'un côté, des opérateurs bien financés capables de mobiliser des botnets de taille colossale pour des attaques-records. De l'autre, des acteurs opportunistes générant un bruit de fond élevé avec des ressources modestes louées via des plateformes DDoS-as-a-Service accessibles pour quelques dizaines de dollars sur des forums criminels.

La dimension géopolitique du rapport mérite une attention particulière pour les équipes de gestion des risques. Cloudflare identifie explicitement les tensions internationales comme un moteur structurel des pics d'activité DDoS. Les secteurs les plus ciblés incluent les médias, les télécommunications, les administrations publiques et les infrastructures financières — précisément les domaines classifiés infrastructures critiques dans la plupart des législations nationales, dont la directive NIS2 en Europe. Les organisations opérant dans ces secteurs sont donc doublement exposées : en tant que cibles prioritaires des attaquants, et en tant qu'entités soumises à des obligations réglementaires strictes de résilience et de continuité de service.

Le rapport signale également une recrudescence des attaques ciblant spécifiquement les résolveurs DNS publics et les serveurs autoritaires de grande taille. Cette évolution représente un risque systémique : une attaque réussie contre un résolveur DNS utilisé par des millions d'internautes peut provoquer des coupures en cascade touchant d'innombrables services sans lien direct avec la cible nominale. Les incidents DNS de grande échelle ont historiquement des effets de contagion difficiles à maîtriser, rarement anticipés dans les plans de continuité d'activité classiques qui tendent à se concentrer sur l'indisponibilité de services directement hébergés par l'organisation.

Un paysage de menaces qui impose de revoir les hypothèses de dimensionnement

L'explosion des attaques DDoS hyper-volumétriques soulève des questions fondamentales sur la capacité des infrastructures numériques mondiales à absorber une escalade continue. Les opérateurs de réseau et les fournisseurs d'accès à Internet doivent revoir leurs hypothèses de dimensionnement en tenant compte d'une enveloppe de risque en constante augmentation. Les plateformes de mitigation DDoS — dont Cloudflare, Akamai, AWS Shield et Netscout Arbor sont les principaux acteurs mondiaux — voient leurs infrastructures sollicitées à des niveaux inédits, ce qui génère des investissements capacitaires considérables répercutés in fine dans les tarifs des services de protection.

Pour les entreprises sans protection DDoS dédiée, le risque d'indisponibilité a augmenté structurellement. Une attaque à 1 Tbps contre un hébergeur mutualisé ou un opérateur régional sans mitigation dédiée peut provoquer une coupure en cascade pour l'ensemble des clients hébergés. La question du dimensionnement de la protection DDoS n'est plus un luxe réservé aux grandes organisations ; elle est devenue un prérequis de résilience pour toute entité ayant une présence en ligne critique — et une obligation pour les opérateurs de services essentiels soumis à NIS2 ou aux réglementations sectorielles équivalentes.

L'industrialisation du DDoS-as-a-Service aggrave encore la situation. Des plateformes criminelles accessibles pour quelques dizaines d'euros permettent à des acteurs sans compétences techniques avancées de louer des capacités d'attaque massives, parfois plusieurs botnets simultanément. Cette démocratisation de l'outil DDoS abaisse dramatiquement le seuil d'entrée pour tout acteur souhaitant perturber une cible — concurrent commercial, adversaire politique, gouvernement ennemi, ou individu mal intentionné. Les térabit en jeu dans les attaques records résultent souvent de la mutualisation de ces ressources louées, plutôt que d'une infrastructure propriétaire unique.

Enfin, les publications semestrielles de Cloudflare et des autres grands acteurs d'infrastructure constituent le seul corpus statistiquement représentatif sur les volumes et natures des attaques DDoS mondiales, les données des victimes individuelles étant rarement partagées publiquement. Ces rapports alimentent les décisions d'investissement en cybersécurité des entreprises, les recommandations des régulateurs sectoriels, les stratégies de dimensionnement des opérateurs télécoms, et les analyses de risques systémiques produits par des organismes comme l'ENISA en Europe ou la CISA aux États-Unis. Le rapport H1 2026 est donc une ressource de référence pour toute équipe de sécurité cherchant à calibrer sa posture défensive face aux tendances actuelles.

Ce qu'il faut retenir

• 935 attaques DDoS dépassant 1 Tbps ont été mitigées par Cloudflare au H1 2026, dont 805 au seul T2 ; les attaques hyper-volumétriques ont progressé de 519 % sur le semestre.
• Les inondations DNS et les tensions géopolitiques sont les principaux moteurs de cette escalade ; avril 2026 a établi un double record absolu en requêtes HTTP et en volume réseau.
• Toute organisation sans protection DDoS dédiée est exposée à un risque d'indisponibilité structurellement élevé : le dimensionnement de la mitigation DDoS est désormais un prérequis de résilience, pas une option.