Cloudflareのネットワーク上で、1Tbpsを超えるDDoS攻撃の緩和件数が急増した。同社は2026年1月から6月の観測をまとめた「DDoS Threat Report H1 2026」で、上期に緩和した1Tbps超のネットワーク層攻撃は935件、このうち805件がQ2に集中したと報告した。Q1の130件から519%増、件数は6倍超である。

通信量が大きい攻撃そのものは新しくない。Cloudflareは2025年Q4の報告で31.4Tbpsの攻撃を記録していた。今回の変化は単発の最大値ではなく、1Tbpsという閾値を超える攻撃が四半期内にどれほど繰り返されたかにある。最大規模の1件と、1Tbps超の攻撃が繰り返し観測されたことは、分けて読む必要がある。

ただし、これはインターネット上の全DDoSを数えた統計ではない。Cloudflareが自社ネットワークで検知・緩和した活動の集計であり、攻撃数はリアルタイムの緩和につながった固有のフィンガープリントを数える。1つの攻撃やキャンペーンから複数のフィンガープリントが生じ得るため、935件を被害組織数や攻撃者数として読むことはできない。

AD

1Tbps超の攻撃はQ2だけで805件

Cloudflareは2026年上期、ネットワーク層のDDoSを2,320万件、HTTP DDoSリクエストを29兆6,400億件緩和したとしている。平均するとネットワーク層攻撃は毎時約5,343件、1日当たり約12万8,000件である。この全体量の中で、1Tbps超という帯域幅の閾値を超えたものが935件だった。

Cloudflareのいう「ハイパーボリューメトリック」には、1Tbps超のほか、1Bpps超、1Mrps超も含まれる。しかし805件は、その広い分類の合計ではない。ネットワーク層で1Tbpsを超えた攻撃だけを指す数字である。パケットレートやHTTPリクエストレートの条件と混ぜると、急増の対象が変わってしまう。

Q1の130件からQ2の805件へという差は、容量の大きい攻撃が一度だけ観測されたという話ではない。Cloudflareが半期版で示したのは、同じ帯域幅の条件を超える緩和対象が四半期をまたいで急増したことだ。同社はこれまで四半期ごとに出してきた報告を、今回は初めてQ1とQ2を統合した上期版として公開した。

攻撃の大半は小さく短いが、人手対応には短すぎる

上期にCloudflareが緩和したネットワーク層攻撃の96.62%は500Mbps未満だった。1Tbps超の件数増は目を引く一方、件数ベースで見る大半は比較的小さい帯域幅の攻撃である。大規模攻撃だけを見て、日常的な攻撃の処理量まで巨大化したと結論づけることはできない。

時間軸も同じである。ネットワーク層攻撃の90.60%は10分以内に終わった。短時間で終わる攻撃が多ければ、担当者が個別のアラートを確認してから防御を始める運用は間に合いにくい。攻撃の規模とは別に、検知と緩和をどこまで自動化しておくかが運用を左右する。

これは、すべての短時間攻撃が無害だという意味ではない。500Mbps未満、10分以内という二つの割合は、それぞれ帯域幅と継続時間の分布を示す。個々の攻撃の被害、対象サービスの耐性、同時発生の有無までは、この集計から分からない。

Cloudflareの集計手法にも範囲がある。四半期レポートの方法論では、緩和につながった固有フィンガープリントを数え、Advanced TCP/DNS Protectionと顧客が作成したルールは数から除く。したがって、ここで並ぶ件数は同社が守ったすべての通信イベントでも、世界の攻撃件数でもない。

AD

DNSとCLDAPに集まる大量通信

ネットワーク層の攻撃ベクトルでは、DNSを使うものが上期全体の34.3%を占めた。Q1に25.7%だったDNS FloodはQ2に40.0%へ上がり、CLDAP Floodは前四半期比580%増でQ2の第3位のベクトルになった。帯域幅の大きい攻撃の増加と並行して、名前解決やUDP系の公開サービスが攻撃に使われる比率も変化している。

DNS Floodは、権威DNSサーバーに大量のリクエストを直接送る手法である。これに対しDNS Amplificationは、送信元IPを偽装した問い合わせをオープンリゾルバへ送り、より大きな応答を標的へ返させる。どちらもDNSを使うが、通信量を直接積む攻撃と、第三者の応答を増幅して使う攻撃は分けて考える必要がある。

CLDAP Floodは、外部から到達できるLDAP over UDPのエンドポイントを悪用する。典型的にはUDP 389番ポートが使われ、送信元を偽装した小さな問い合わせに対し、数十倍から数百倍の応答を返させ得る。組織が公開しているDNSやUDPサービスをどう制限し、通信事業者側が異常な送信元をどこで止めるかは、攻撃を受ける側だけでは完結しない。

DNS関連が34.3%を占めたという数字は、DNS以外の攻撃が消えたことを意味しない。それでも、権威DNS、オープンリゾルバ、UDP 389のような上流の公開面が攻撃の増幅点になり得る以上、アプリケーションの手前で遮断する準備が必要になる。

4月のピーク後に減少、摘発の効果はまだ確定しない

上期の月別ピークは4月だった。Cloudflareは同月に6兆4,600億件のHTTP DDoSリクエストと、165PBのネットワーク層攻撃トラフィックを記録し、その後は両方とも減少したとしている。通信量とHTTPリクエストの山が同じ月にあったことは確認できるが、減少した理由まで数字だけでは決まらない。

4月13日には、DDoS-for-hireサービスを対象とする国際的な法執行活動「Operation PowerOFF」が実施された。Europolによると21カ国が参加し、特定された利用者へ75,000件超の警告メッセージを送り、53ドメインを停止、25件の捜索令状を発行し、4人を逮捕した。米司法省は、支援組織の一つとしてCloudflareを挙げている。

Cloudflareは、4月以降の減少がこの活動を反映している可能性に触れた。ただし、摘発が減少を引き起こしたとは報告していない。攻撃インフラの停止、攻撃者の移動、観測範囲の変化などを切り分ける材料は、この半期版だけでは足りない。法執行の結果とトラフィックの推移を直結させるには、その後の分布も必要である。

AD

数字を読むと、対策の焦点は上流へ移る

Cloudflareのレポートでいう発信元の国や標的国も、攻撃者や被害者の所在地を直接示すものではない。ネットワーク層の発信元はIPアドレスが偽装され得るため、Cloudflareのデータセンターがトラフィックを取り込んだ場所を用いる。標的側は顧客の請求先国であり、実際に攻撃を受けた拠点の位置とは一致しない場合がある。

この制約を踏まえると、対策の対象は国別の順位表ではなく、攻撃トラフィックが通る経路にある。Cloudflareは2025年Q4の時点で、無料のDDoS Botnet Threat Feedに800超のネットワークが参加したとしていた。このフィードは、HTTP DDoSに加担していると観測された自ネットワークのIPアドレスをサービスプロバイダーへ渡す仕組みである。

1Tbps超の攻撃がQ2に805件まで増え、DNSとCLDAPの比率も動いた今、緩和サービスでの処理を終点にせず、接続事業者が自ネットワークの発信源を是正できるかが問われる。Q3では、4月後の減少が続くのかに加え、巨大攻撃の頻度とDNS系ベクトルの増加が同じ方向へ進むのかを確かめることになる。