Cloudflare bloqueia 18,2 milhões de ataques DDoS em três meses
A Cloudflare mitigou 18,2 milhões de ataques de negação de serviço distribuído (DDoS) na camada de rede entre julho e setembro de 2026. O total, divulgado em um relatório trimestral publicado em 29 de outubro, representa um aumento de 208% em relação ao mesmo período de 2025. Na média, foram cerca de 8,2 mil investidas por hora.
Mais do que o crescimento no volume, chama atenção a curta duração dos ataques. Segundo os dados da empresa, 96% das ocorrências terminaram em menos de dez minutos, e 98% não ultrapassaram 1 Gbps. Isso equivale a aproximadamente uma tentativa a cada 0,44 segundo – uma frequência que pode dificultar a identificação de padrões e a reação de equipes de segurança.
No trimestre, a Cloudflare também filtrou 14,4 trilhões de requisições HTTP e 272,6 petabytes de tráfego na camada de rede. Enquanto as ações de menor porte se multiplicaram, os ataques de intensidade extrema diminuíram: os episódios acima de 1 Tbps passaram de 805 no segundo trimestre para 251 no terceiro, uma queda próxima de 69%.
A redução dos ataques gigantescos foi associada a uma operação policial realizada no início de 2026 contra quatro botnets formadas por dispositivos conectados. Ainda assim, o recuo nesse tipo de ocorrência não significa que o risco geral tenha diminuído. A quantidade e a velocidade das investidas menores mantêm os serviços expostos sob pressão.
O desafio, nesse cenário, está no tempo de detecção. Rajadas curtas e abaixo de 1 Gbps podem não alcançar os limites usados para acionar uma proteção volumétrica. Se uma aplicação tiver pouca capacidade para absorver picos de acesso, o serviço pode ficar indisponível antes que alarmes configurados para identificar grandes volumes sejam disparados.
UDP e DNS ganham espaço entre os vetores
A composição dos ataques também mudou. A reflexão por CLDAP, que havia avançado 580% no primeiro semestre, recuou 99,5% no terceiro trimestre e passou a representar apenas 0,05% do total. Em contrapartida, a amplificação de DNS cresceu 215%, chegando a 3,43% das ocorrências.
As inundações por UDP também aumentaram: a participação desse vetor subiu de 14,06% para 31,31%, uma expansão de 122%. A mudança reforça a necessidade de acompanhar os métodos utilizados pelos atacantes, em vez de depender de regras fixas baseadas apenas nos padrões mais comuns de períodos anteriores.
Os Estados Unidos foram novamente o país mais visado, seguidos por China e Indonésia. O Canadá registrou uma das maiores mudanças no ranking: avançou da 16ª para a 6ª posição. Israel subiu sete lugares e chegou ao décimo posto.
Entre os setores afetados, mídia, produção e publicação ocupou a liderança. Apesar de permanecer no topo, sua participação ficou próxima de um quarto daquela observada no trimestre anterior, indicando que a distribuição dos ataques entre as indústrias também pode variar de forma expressiva em pouco tempo.
Botnets continuam a explorar equipamentos vulneráveis
Dispositivos antigos e mal protegidos seguem servindo de base para parte importante das campanhas. Variantes associadas à família Mirai geraram 57,23 petabytes de tráfego em agosto, correspondentes a 46,5% dos bytes observados na camada de rede durante o trimestre.
Ao mesmo tempo, novas famílias, como Dysphoria e Evooo1Bot, surgem para ocupar o espaço deixado por botnets desativadas. Roteadores, câmeras, gravadores de vídeo e outros equipamentos conectados podem ser incorporados a essas redes quando permanecem com senhas padrão, firmware desatualizado ou serviços de administração acessíveis pela internet.
Para empresas que mantêm aplicações públicas, a principal recomendação é não esperar que um ataque comece para ativar a mitigação. A proteção contínua pode reduzir o intervalo entre a primeira rajada e a resposta, especialmente quando as investidas duram poucos minutos.
Também é importante revisar os limites de alerta. Configurações pensadas apenas para detectar picos de grande volume podem deixar passar anomalias rápidas e menores. Monitorar a frequência de requisições, a origem do tráfego, os protocolos utilizados e as mudanças repentinas no comportamento dos usuários ajuda a identificar ameaças que não ultrapassam os limiares tradicionais.
A preparação deve incluir ainda testes de capacidade e um plano claro de resposta a incidentes. Equipes precisam saber quem pode alterar regras de filtragem, como priorizar serviços essenciais e de que forma manter a comunicação durante uma interrupção. Exercícios periódicos ajudam a encontrar falhas operacionais antes que elas sejam exploradas.
Por fim, proteger a infraestrutura exige medidas além da mitigação de tráfego. Atualizar sistemas, substituir dispositivos sem suporte, restringir acessos administrativos e aplicar autenticação forte reduz a possibilidade de que equipamentos da própria organização sejam recrutados para uma botnet. Com ataques mais numerosos e frequentemente breves, a prevenção e a detecção rápida tornam-se tão importantes quanto a capacidade de absorver grandes volumes de dados.