要点
- Cloudflare は、2026年7〜9月に1,820万件の DDoS 攻撃（大量の通信を送りつけてサイトを止める攻撃）を防いだと発表した。1時間に約8,226件にあたる。
- 攻撃の96%は10分以内に終わった。人が気づいて手を打つ前に終わるほど短い。
- 1Tbps を超えるとても大きな攻撃は前の四半期から約69%減った。ただ、Cloudflare は、新しい変種が出続けており、IoT のボットネットはいまも続く脅威だとしている。
何が起きたか
Cloudflare は2026年10月29日、7〜9月（第3四半期）の DDoS 攻撃の報告を公開した。まとめたのは、Cloudflare の脅威を調べる部門 Cloudforce One で、この報告は26回目になる。
数字は Cloudflare のネットワークで見えたものだ。ネットワーク層（通信の土台の部分）の攻撃は、Cloudflare の集計で1,820万件あった。Cloudflare は、前の年の7〜9月より208%多いとしている。3か月の間、昼も夜も0.44秒ごとに1件が来ていた計算になる。Web ページへのリクエストを大量に送りつける HTTP の DDoS もあり、Cloudflare は3か月で14.4兆件のリクエストを止めた。
The Hacker News は、4〜6月の1,320万件から38%増えたと報じた。Cloudflare の今回の報告には7〜9月の件数（1,820万件）は書かれているが、4〜6月だけの件数は無い。1〜6月の報告も、半年分の合計（2,320万件）しか示していない。そのため、この38%は一次情報では確かめられなかった。
攻撃の形には、はっきりした特徴がある。
- 短くて小さい攻撃が大半。 10分もたたずに終わった攻撃が96%、1Gbps に届かなかった攻撃が98%を占めた。Cloudflare は、こうした小さな攻撃が次々に来る形を、お金で DDoS を請け負う「booter」サービスに見られる特徴と結びつけている。10分未満・1Gbps 未満の型は208%増えたという。
- とても大きな攻撃は減った。 1Tbps を超える攻撃は、4〜6月の805件から251件に減った。
- 攻撃の手口が入れ替わった。 上半期に急に増えた CLDAP という手口は、ほぼ消えた。代わりに、DNS を使った増幅攻撃（小さな問い合わせで大きな応答を返させ、相手に浴びせる手口）が215%増えた。UDP を使った大量送信も、全体の14.06%から31.31%に増えた。
短い攻撃が主に狙ったのは、ソフトウェア、ギャンブル・カジノ、IT の業界だったという。業種全体で見ても、攻撃は一つの業界に集まらず、多くの業界に分かれるようになった。「インターネット」の業種は、4〜6月には上位10に入っていなかったが、今回は6位まで上がった。1位の「メディア・制作・出版」は変わらない。ただ Cloudflare によると、その割合は4〜6月の約4分の1まで小さくなった。
日本の利用者への影響
Cloudflare の報告の本文には、日本についての記述は無かった。日本の組織に被害が出たという話も、報告には書かれていない。
報告の文章で順位とともに名前が挙がった国は、次の5つだ。最も攻撃を受けたのはアメリカで、中国が2位だった。中国は上半期には最も攻撃を受けた国だった。インドネシアは攻撃全体の2.93%を受けて、3位に入った。カナダは16位から6位に、イスラエルは7つ上げて10位になった。
本文に日本の名前が無いからといって、日本が安全だとは言えない。DDoS は国ではなく、サイトやサービスが一つずつ狙われる。短い攻撃を請け負うサービスはお金を払えば誰でも使えるので、規模の小さいサイトにも来うる。
今すぐやること
- 自動で守る仕組みがあるかを確かめる。 攻撃のほとんどは10分以内に終わる。Cloudflare は上半期の報告で、人の手では間に合わないとして、いつも自動で動く守りを勧めている。使っているレンタルサーバーやクラウド、CDN（世界各地からページを配る仕組み）に、DDoS 対策が付いているかを見ておく。
- 止まったときの連絡先と手順を決めておく。 サーバー会社やネットワークの業者に、どこへ連絡すればよいかを書き出しておく。Cloudflare は、短い攻撃のあとも通信の乱れが数時間から数日残ることがあるとしている。攻撃が終わったあとの確認も手順に入れておく。
- 自分の機器が攻撃に使われないようにする。 Cloudflare は、IoT 機器を乗っ取ったボットネットが、いまも大量の攻撃を生む脅威だとしている。ネットにつながる機器の初期パスワードを変え、更新を当てる。
背景
ボットネットとは、乗っ取られた多くの機器の集まりだ。持ち主が知らないうちに、そろって攻撃に加わる。Cloudflare によると、2026年の初めに警察などが、Aisuru、KimWolf、JackSkid、Mossad という4つの IoT ボットネット（家電やネット機器を乗っ取ったもの）を壊した。とても大きな攻撃が減ったのは、この影響とみられる。
ただ、IoT のボットネットは、壊されても新しいものが出てきている。Cloudflare は、新しく現れた種類として Dysphoria と Evooo1Bot の名前を挙げる。そのうえで、この種のボットネットは大量の攻撃を生む脅威として残っているとしている。古い系統の Mirai も目立っていた。8月19〜21日には、Mirai の攻撃が49.7時間続き、この四半期の Mirai の攻撃で最も長かった。Mirai に分類されて止められた通信は8月が最も多かった。その量は、四半期にネットワーク層で止めた通信量の46.5%を占めた。
上半期の報告では、1Tbps を超える攻撃が4〜6月に805件あり、前の四半期の6倍を超えていた。今回は、大きな攻撃が減り、短く小さい攻撃が増えた。攻撃の中心が「巨大なボットネット」から「お金で頼める短い攻撃」に移っているように見える。ただ、これはこちらの見立てである。
技術者向けの詳細
- 対象期間: 2026年7月〜9月。Cloudflare のネットワークで見えたデータ。
- ネットワーク層: 1,820万件（約8,226件/時）、緩和したトラフィックは272.6PB。HTTP 層: 14.4兆リクエスト、95.1PB。
- 長さと大きさ: 96%が10分未満、98%が1Gbps 未満。1Tbps 超は251件（4〜6月は805件）。
- 攻撃手法:
- CLDAP は前四半期比99.5%減で、全体の0.05%。
- DNS 増幅は215%増で、ネットワーク層の攻撃の3.43%。
- UDP フラッドは14.06%から31.31%に増えた。
- Mirai 系: 8月に57.23PB を緩和した（四半期のネットワーク層バイトの46.5%）。8月16・19・23・25日はそれぞれ3PB を超えた。Mirai の攻撃で最長は8月19〜21日の49.7時間。
- 新しい亜種として、Dysphoria と Evooo1Bot が挙げられている。
- 備えの例:
- オリジンサーバーへの通信は、CDN や WAF の IP 範囲からだけ受ける。
- 権威 DNS やオープンリゾルバを自分で運用しているなら、外部から再帰問い合わせを受けない設定になっているか確かめる。応答レート制限（RRL）も検討する。増幅攻撃の踏み台にならないためだ。
- UDP を使わないサービスなら、上流で UDP を絞れないか、回線業者に相談する。
- 回線業者やホスティング事業者向けに、Cloudflare は無料の「DDoS Botnet Threat Feed」を出している。参加しているネットワークは800を超える。
- 詳しい数字とグラフは Cloudflare の報告 と Cloudflare Radar で見られる。