De omvang van DDoS-aanvallen blijft snel toenemen. Tegelij­ker­tijd veran­deren aanval­lers hun technieken en blijkt de hoeveel­heid tijd die organi­sa­ties hebben om op een aanval te reageren steeds kleiner te worden. Cloud­flare registreerde in de eerste helft van 2026 alleen al 935 DDoS-aanvallen met een omvang van meer dan 1 terabit per seconde. Ook DNS-aanvallen en zogenoemde reflectie- en verster­kings­aan­vallen zijn sterk in opkomst.

Dat blijkt uit het DDoS Threat Report over de eerste helft van 2026 van Cloud­flare, dat op 13 augustus verscheen. Het gaat om de 25e editie van het rapport en voor het eerst heeft Cloud­flare de cijfers over twee kwartalen samen­ge­voegd tot één halfjaar­lijkse analyse. De gegevens zijn afkom­stig uit het eigen wereld­wijde netwerk van het bedrijf en zijn geana­ly­seerd door Cloud­force One, de threat intel­li­gence-organi­satie van Cloud­flare. Daarmee biedt het rapport een omvang­rijk beeld van de ontwik­ke­lingen rond DDoS, maar het blijft wel een analyse vanuit het netwerk en de klanten­po­pu­latie van één leverancier.

Meer dan 23 miljoen aanvallen in zes maanden

De absolute aantallen die Cloud­flare noemt zijn groot. In de periode van januari tot en met juni 2026 bestreed het bedrijf 23,2 miljoen DDoS-aanvallen op de netwerk­laag. Daarnaast verwerkte het systemen van Cloud­flare 29,64 biljoen kwaad­aar­dige HTTP-verzoeken die onder­deel waren van DDoS-aanvallen.

Omgere­kend komt dat volgens Cloud­flare neer op ongeveer 5343 netwerk­aan­vallen per uur, of circa 128.000 per dag. Vooral april springt eruit. In die maand registreerde Cloud­flare 6,46 biljoen kwaad­aar­dige verzoeken en 165 petabyte aan DDoS-verkeer.

Daarna nam de hoeveel­heid aanvals­ver­keer af. Cloud­flare ziet een mogelijke relatie met Opera­tion PowerOFF, een inter­na­ti­o­nale politie­actie tegen diensten waarmee tegen betaling DDoS-aanvallen konden worden uitge­voerd. Volgens Cloud­flare waren bij deze actie 21 landen betrokken, werden 53 domeinen uit de lucht gehaald en waren meer dan 75.000 gebrui­kers van derge­lijke diensten onder­werp van het onderzoek.

Hoewel het lastig is om recht­streeks aan te tonen dat derge­lijke acties verant­woor­de­lijk zijn voor een daling van DDoS-verkeer, illustreren de cijfers wel hoe belang­rijk zogenoemde DDoS-for-hire- of booter-diensten inmid­dels zijn geworden. Voor het uitvoeren van een aanval hoeft een cyber­cri­mi­neel niet noodza­ke­lijk zelf over een omvang­rijk botnet of diepgaande techni­sche kennis te beschikken. Aanvals­ca­pa­ci­teit kan als dienst worden ingekocht.

De 1 Tbps-aanval wordt minder uitzonderlijk

Een van de opval­lendste ontwik­ke­lingen in het rapport is de sterke groei van zogenoemde hyper­vo­lu­me­tri­sche aanvallen. Cloud­flare hanteert die term voor DDoS-aanvallen die bijvoor­beeld meer dan 1 terabit per seconde aan verkeer genereren, meer dan een miljard pakketten per seconde versturen of boven een miljoen HTTP-verzoeken per seconde uitkomen.

Cloud­flare registreerde in de eerste helft van het jaar 935 netwerk­aan­vallen van meer dan 1 Tbps. Alleen al in het tweede kwartaal ging het om 805 aanvallen. Dat betekende volgens het bedrijf een toename van meer dan een factor zes ten opzichte van het eerste kwartaal.

Dat is een belang­rijke ontwik­ke­ling voor organi­sa­ties die hun DDoS-risico tot nu toe vooral beoor­delen op basis van de capaci­teit van hun inter­net­ver­bin­ding of datacenter. Een aanval van honderden gigabits of enkele terabits per seconde kan namelijk veel groter zijn dan de beschik­bare netwerk­ca­pa­ci­teit van de aange­vallen organisatie.

Daar komt bij dat alleen naar bandbreedte kijken niet voldoende is. Aanval­lers kunnen ook zeer grote aantallen netwerk­pak­ketten genereren, waardoor routers, firewalls, load balan­cers en andere netwerk­ap­pa­ra­tuur overbe­last raken zonder dat de volle­dige capaci­teit van een inter­net­ver­bin­ding noodza­ke­lijk wordt benut.

Cloud­flare wijst erop dat aanval­lers deze eigen­schappen ook combi­neren. Een aanval kan bijvoor­beeld relatief weinig bandbreedte gebruiken maar een extreem hoge pakket­snel­heid hebben. Andersom kan een aanval juist vooral proberen zoveel mogelijk bandbreedte te consumeren.

De meeste aanvallen blijven opvallend klein

De specta­cu­laire Tbps-aanvallen vormen echter maar één kant van het verhaal. Veruit de meeste DDoS-aanvallen zijn veel kleiner. Volgens Cloud­flare bleef 96,62 procent van de netwerk­aan­vallen onder 500 Mbps. Daarnaast duurde 90,60 procent van de aanvallen minder dan tien minuten. Dat betekent niet dat deze aanvallen onscha­de­lijk zijn. Voor een organi­satie met een relatief kleine inter­net­ver­bin­ding, een kwets­bare webserver of beperkte capaci­teit kan een aanval van enkele honderden megabits per seconde al voldoende zijn om diensten onbereik­baar te maken.

Ook kunnen kleine aanvallen worden gebruikt om bevei­li­gings­maat­re­gelen te testen. Een aanvaller kan bijvoor­beeld proberen vast te stellen welke verkeers­vo­lumes worden toege­laten, wanneer rate limiting wordt geacti­veerd en hoe snel bevei­li­gings­sys­temen reageren. De combi­natie van zeer veel relatief kleine aanvallen met een kleiner aantal extreem grote aanvallen maakt DDoS-bescher­ming daardoor ingewik­kelder. Een bevei­li­gings­ar­chi­tec­tuur moet niet alleen bestand zijn tegen uitzon­der­lijke pieken, maar ook voort­du­rend kleinere aanvallen kunnen herkennen zonder legitiem verkeer onnodig te blokkeren.

Aanvallen duren soms maar seconden

Misschien nog belang­rijker dan de omvang van aanvallen is hun snelheid. Cloud­flare heeft eerder aanvallen geregi­streerd die van begin tot eind slechts 35 seconden duurden. Voor securi­ty­teams heeft dat een belang­rijke conse­quentie. Een tradi­ti­o­nele werkwijze waarbij een monito­ring­plat­form een waarschu­wing genereert, waarna een analist de aanval onder­zoekt en vervol­gens maatre­gelen neemt, is in zo’n situatie simpelweg te langzaam.

Tegen de tijd dat een medewerker de waarschu­wing heeft bekeken, kan de aanval alweer voorbij zijn. Dat betekent echter niet dat de schade eveneens na enkele tientallen seconden voorbij is. Een plotse­linge verkeers­piek kan volgens Cloud­flare onder andere routings­pro­blemen, TCP-hertrans­mis­sies, time-outs in appli­ca­ties en versto­ringen van achter­lig­gende diensten veroor­zaken. Daardoor kan de impact van een korte aanval veel langer merkbaar blijven.

De cijfers benadrukken daarmee het belang van automa­ti­sche detectie en mitigatie. DDoS-bescher­ming moet in feite al actief zijn voordat een aanval begint en zonder mense­lijke tussen­komst kunnen opschalen.

DNS opnieuw een belangrijk doelwit

Ook technisch veran­dert het DDoS-landschap. Een belang­rijke ontwik­ke­ling in de eerste helft van 2026 is de sterke groei van aanvallen waarbij DNS wordt gebruikt. DNS-aanvallen waren volgens Cloud­flare verant­woor­de­lijk voor 34,3 procent van alle DDoS-activi­teit op de netwerk­laag. DNS-floods groeiden in het tweede kwartaal boven­dien van 25,7 naar 40 procent van de netwerkaanvallen.

Bij een DNS-flood probeert een aanvaller zoveel verzoeken naar de autho­ri­ta­tive DNS-servers van een domein te sturen dat deze de aanvragen niet langer kunnen verwerken. Het probleem daarvan is dat DNS aan de basis staat van vrijwel iedere inter­net­dienst. Zelfs wanneer een webserver, cloudom­ge­ving of appli­catie zelf probleem­loos blijft functi­o­neren, kunnen gebrui­kers deze niet meer bereiken wanneer de domein­naam niet langer naar het juiste IP-adres kan worden vertaald. Dat maakt DNS tot een aantrek­ke­lijk doelwit. Eén succes­volle aanval kan boven­dien meerdere onder­lig­gende diensten tegelijk treffen.

Reflectie en versterking

Naast recht­streekse DNS-floods ziet Cloud­flare een verschui­ving richting reflectie- en verster­kings­aan­vallen. Daarbij sturen aanval­lers kleine verzoeken naar systemen op internet, maar vervalsen zij het IP-adres van de afzender. Het systeem dat het verzoek ontvangt, denkt daardoor dat het verzoek afkom­stig is van het slacht­offer en stuurt zijn antwoord daarheen.

Wanneer het antwoord aanzien­lijk groter is dan het oorspron­ke­lijke verzoek ontstaat boven­dien een verster­kings­ef­fect. Met relatief weinig eigen verkeer kan de aanvaller zo een veel grotere hoeveel­heid netwerk­ver­keer richting het slacht­offer genereren. DNS kan hiervoor worden misbruikt wanneer verkeerd gecon­fi­gu­reerde of open DNS-resol­vers vanaf internet bereik­baar zijn.

Het voordeel voor de aanvaller is duide­lijk: de infra­struc­tuur van andere organi­sa­ties wordt gebruikt om de aanval uit te voeren en tegelij­ker­tijd wordt de herkomst van het oorspron­ke­lijke verkeer moeilijker zichtbaar.

CLDAP-aanvallen groeien met 580 procent

Cloud­flare signa­leert daarnaast een sterke stijging van aanvallen waarbij CLDAP wordt misbruikt. Het aantal CLDAP-floods nam in het tweede kwartaal met 580 procent toe. Daarmee was het volgens Cloud­flare in Q2 de op twee na meest gebruikte aanvals­vector op de netwerk­laag. CLDAP staat voor Connec­ti­on­less Lightweight Direc­tory Access Protocol en kan worden gezien als een verbin­dings­loze variant van LDAP. Het protocol maakt gebruik van UDP.

Juist dat laatste maakt misbruik voor reflec­tie­aan­vallen mogelijk. UDP vereist namelijk geen verbin­ding of hands­hake voordat gegevens worden verstuurd. Daardoor kan een aanvaller relatief eenvoudig het bron-IP-adres van een verzoek vervalsen. Bij een CLDAP-verster­kings­aanval worden kleine verzoeken naar vanaf internet bereik­bare direc­to­ry­ser­vers gestuurd, bijvoor­beeld via UDP-poort 389. Als bronadres gebruikt de aanvaller het IP-adres van het beoogde slachtoffer.

De direc­to­ry­server stuurt vervol­gens zijn antwoord naar dat slacht­offer. Omdat deze antwoorden tientallen tot soms honderden keren groter kunnen zijn dan het oorspron­ke­lijke verzoek, ontstaat een verster­kings­ef­fect. Voor organi­sa­ties betekent dit dat niet alleen bescher­ming van de eigen infra­struc­tuur belang­rijk is. Verkeerd gecon­fi­gu­reerde systemen kunnen onbedoeld worden ingezet om aanvallen op anderen uit te voeren.

Geopolitiek steeds zichtbaarder in DDoS-verkeer

DDoS-aanvallen zijn boven­dien steeds duide­lijker verweven met geopo­li­tieke gebeur­te­nissen. Cloud­flare ziet volgens het rapport een recht­streeks verband tussen inter­na­ti­o­nale conflicten en veran­de­ringen in de sectoren en landen die het vaakst worden aangevallen.

De sector media, productie en uitge­verij was in beide kwartalen de meest aange­vallen branche binnen de statis­tieken van Cloud­flare. Deze sector was goed voor 14,2 procent van de door Cloud­flare bestreden HTTP-DDoS-aanvallen, bijna vier keer zoveel als de nummer twee. Cloud­flare legt daarbij een verband met onder andere bericht­ge­ving over de conflicten rond Iran en Oekraïne en met de aandacht voor het WK voetbal.

Media­or­ga­ni­sa­ties zijn in geopo­li­tieke conflicten aantrek­ke­lijke doelwitten voor hackti­vis­ti­sche groepe­ringen. Een succes­volle DDoS-aanval hoeft daarbij geen gegevens te stelen of systemen perma­nent te bescha­digen. Alleen het tijde­lijk ontoe­gan­ke­lijk maken van nieuws­voor­zie­ningen kan al een politiek of propa­gan­dis­tisch doel dienen.

Overheidsorganisaties plotseling veel vaker aangevallen

Een andere opval­lende verschui­ving betreft overheden. Cloud­flare zag deze sector tussen het eerste en tweede kwartaal twintig plaatsen stijgen in de ranglijst van meest aange­vallen sectoren: van nummer 29 naar nummer 9. Die stijging viel samen met Operatie Epic Fury, die op 28 februari 2026 begon. Cloud­flare verwijst naar onder­zoek waarin binnen 72 uur 149 DDoS-aanvallen door hackti­visten tegen 110 organi­sa­ties in zestien landen werden waarge­nomen. Bijna de helft van de getroffen organi­sa­ties behoorde tot de overheid.

Derge­lijke cijfers laten zien hoe snel digitale aanvallen tegen­woordig kunnen volgen op ontwik­ke­lingen in de fysieke wereld. Een militair conflict, politieke bijeen­komst of andere belang­rijke gebeur­tenis kan vrijwel onmid­del­lijk leiden tot extra activi­teit van hackti­visten en andere aanval­lers. Voor overheden, media­or­ga­ni­sa­ties en bedrijven die betrokken zijn bij kritieke infra­struc­tuur betekent dit dat threat intel­li­gence steeds nadruk­ke­lijker ook geopo­li­tieke ontwik­ke­lingen moet meenemen.

China en Verenigde Staten belangrijkste doelwitten

Geogra­fisch gezien was China aan het einde van het eerste halfjaar het belang­rijkste doelwit binnen de Cloud­flare-data. In het tweede kwartaal was het land goed voor 22,4 procent van de door Cloud­flare waarge­nomen HTTP-DDoS-aanvallen. De Verenigde Staten stonden met 18,8 procent op de tweede plaats. Turkije klom naar nummer drie nadat zijn aandeel in het wereld­wijde aanvals­ver­keer meer dan verdub­belde. Cloud­flare brengt deze ontwik­ke­ling onder meer in verband met de aanloop naar de NAVO-top van 2026 in Ankara.

Opval­lend genoeg komt aanvals­ver­keer niet noodza­ke­lijk uit dezelfde landen als waar de aanval­lers zich bevinden. Botnets bestaan immers uit gecom­pro­mit­teerde servers, routers, IoT-apparaten en andere systemen verspreid over de hele wereld. Volgens Cloud­flare was Brazilië in de eerste helft van 2026 het belang­rijkste herkomst­land van DDoS-verkeer. Het was goed voor 14,9 procent, tegen­over 13,4 procent vanuit de Verenigde Staten. In het tweede kwartaal steeg het Brazi­li­aanse aandeel zelfs tot 21,4 procent. Indonesië bleef op de derde plaats staan.

Daarbij is het belang­rijk derge­lijke cijfers niet te inter­pre­teren alsof aanval­lers daadwer­ke­lijk vanuit deze landen opereren. Het gaat om de geogra­fi­sche locatie van systemen waarvan het aanvals­ver­keer afkom­stig is. Die systemen kunnen onder­deel zijn van een botnet zonder dat de eigenaar weet dat ze voor een aanval worden gebruikt.

DDoS wordt een continu beschikbaarheidsvraagstuk

Voor CIO’s, CISO’s en infra­struc­tuur­teams is misschien wel de belang­rijkste conclusie uit het rapport dat DDoS steeds minder als een inciden­teel securi­ty­pro­bleem kan worden beschouwd. Het gaat in toene­mende mate om een struc­tu­reel beschik­baar­heids­ri­sico. De combi­natie van extreem grote aanvallen, zeer korte aanvals­golven en verschil­lende techni­sche aanvals­vec­toren maakt het lastig om pas maatre­gelen te nemen zodra een aanval wordt vastge­steld. De infra­struc­tuur moet al vooraf zijn ingericht op automa­ti­sche detectie en filtering.

Daarbij verdient ook de afhan­ke­lijk­heid van DNS nadruk­ke­lijk aandacht. Een organi­satie kan haar appli­ca­ties over verschil­lende cloudom­ge­vingen en datacen­ters verspreiden en toch volledig onbereik­baar worden wanneer de DNS-infra­struc­tuur een single point of failure vormt. Hetzelfde geldt voor netwerk­ap­pa­ra­tuur. Een inter­net­ver­bin­ding kan voldoende bandbreedte hebben terwijl een firewall, router of load balancer het aantal pakketten per seconde niet aankan.

DDoS-resilience vraagt daardoor om een bredere beoor­de­ling van de volle­dige keten: DNS, netwerk­ver­bin­dingen, routers, firewalls, load balan­cers, cloud­plat­forms, appli­ca­ties en de koppe­lingen tussen deze componenten.

Geen tijd meer om tijdens een aanval een plan te maken

Vooral de korte duur van moderne DDoS-aanvallen veran­dert daarbij de manier waarop organi­sa­ties zich moeten voorbe­reiden. Wanneer een aanval binnen minder dan een minuut zijn maximale omvang bereikt en alweer voorbij kan zijn, bestaat er feite­lijk geen ruimte meer om tijdens het incident te besluiten welke maatre­gelen nodig zijn.

Detec­tie­re­gels, verkeers­fil­ters, capaci­teits­grenzen, escala­tie­pro­ce­dures en eventuele samen­wer­king met internet- of DDoS-provi­ders moeten vooraf zijn ingericht en getest. Dat geldt ook voor failover. Een organi­satie kan beschikken over meerdere verbin­dingen of datacen­ters, maar wanneer failover pas handmatig wordt geacti­veerd nadat een storing is gecon­sta­teerd, kan zo’n voorzie­ning bij een aanval van enkele tientallen seconden nauwe­lijks effec­tief zijn.

De ontwik­ke­ling sluit daarmee aan bij een bredere veran­de­ring binhttps://​blog​.cloud​flare​.com/​n​l​-​n​l​/​d​d​o​s​-​t​h​r​e​a​t​-​r​e​p​o​r​t​-​2​0​2​6​-h1/nen cyber­se­cu­rity: snelheid wordt een steeds belang­rij­kere factor. Niet alleen moeten organi­sa­ties weten wat zij tegen een aanval kunnen doen, het antwoord moet ook snel genoeg beschik­baar zijn om nog effect te hebben. De cijfers die Cloud­flare over de eerste zes maanden van 2026 publi­ceert, maken duide­lijk hoe klein dat tijdven­ster inmid­dels kan zijn.