2026第三季DDoS威脅報告：攻擊年增208%，超大規模攻擊減少69%

根據 Cloudflare 發布的《2026 年第三季 DDoS 威脅報告》，2026 年第三季 Cloudflare 在其全球網路中自動緩解 1,820 萬次網路層 DDoS 攻擊，較去年同期增加 208%，平均每小時約 8,226 次。值得注意的是，96% 的網路層攻擊在 10 分鐘內結束，98% 的攻擊流量低於 1 Gbps。另一方面，超過 1 Tbps 的超大規模攻擊較上一季減少近 69%，DNS 放大與 UDP 洪水攻擊的占比則明顯增加。

與2026 年上半年 DDoS 威脅報告相比，第三季呈現出不同的攻擊變化：超大規模攻擊從第二季高峰回落，但大量短時間攻擊持續發生，IoT 殭屍網路也未消失。本文整理 Cloudflare 第三季報告的主要數據、攻擊手法與產業觀察，並說明企業可以如何評估現有的 DDoS 防護能力。

2026 第三季 DDoS 攻擊數據有哪些重點？

Cloudflare 根據2026年7月至9月全球網路的觀測資料，整理第三季 DDoS 攻擊趨勢。以下數據涵蓋攻擊次數、流量規模、持續時間與緩解情況，提供整體威脅概況。

上述數據來自 Cloudflare 自身網路的觀測與緩解紀錄，並非全球所有 DDoS 攻擊的完整統計。此外，網路層 DDoS 攻擊次數與 HTTP DDoS 請求數屬於不同統計指標，不能直接相加比較。

短時間 DDoS 攻擊占多數，超大規模攻擊減少 69%

96% 的網路層 DDoS 攻擊不到10分鐘

Cloudflare 觀察到，第三季有96%的網路層 DDoS 攻擊持續不到10分鐘，98%的攻擊流量低於1 Gbps。報告指出，短時間、中等規模且頻繁發生的攻擊，符合 DDoS 即服務（DDoS-for-hire）工具的常見特徵。這類工具讓攻擊者可以利用現成服務發動 DDoS 攻擊，而不一定需要自行建立完整的攻擊基礎設施。Cloudflare 觀察到相關攻擊主要針對電腦軟體、博彩與賭場，以及資訊科技產業。

雖然低於1 Gbps的攻擊相較於Tbps等級的攻擊規模較小，但不代表不會影響服務。對網路頻寬、伺服器資源或防護能力有限的環境而言，短時間的異常流量仍可能造成連線不穩或服務異常。當攻擊只持續數分鐘，企業若必須等待監控告警、人員確認，再手動設定防護規則，可能無法在攻擊期間及時完成處理，因此自動化偵測與緩解能力仍是重要的防護考量。

超過1 Tbps的攻擊從第二季高峰回落

與大量短時間攻擊形成對比的是，第三季超大規模 DDoS 攻擊數量明顯下降。2026年第二季，Cloudflare 緩解805次超過1 Tbps的網路層攻擊，第三季則降至251次，較第二季減少約69%。若依2026年上半年相關統計數據推算，第一季約有130次，顯示第二季曾出現明顯高峰。

Cloudflare 認為，超大規模攻擊下降可能與2026年初執法部門針對 Aisuru、KimWolf、JackSkid 及 Mossad 等大型 IoT 殭屍網路採取的打擊行動有關。不過，攻擊數量下降也可能受到其他因素影響，因此不能直接將這項變化完全歸因於執法行動，更不代表超大規模攻擊的威脅已經解除。

IoT 殭屍網路仍持續發動攻擊

儘管超大規模攻擊減少，IoT 殭屍網路威脅並未消失。Cloudflare 仍觀察到 Dysphoria、Evooo1Bot 等新變種出現，而 Mirai 類殭屍網路也持續發動攻擊。報告記錄到8月 Mirai 相關攻擊的緩解流量達57.23 PB，另有一次攻擊從8月19日持續至21日，長達49.7小時。

這些案例說明，雖然第三季多數 DDoS 攻擊在10分鐘內結束，但長時間、大規模攻擊仍然存在。企業在規劃防護時，除了應對短時間的流量尖峰，也需要考量長時間持續攻擊可能對網路資源、服務可用性及事件應變流程造成的影響。

DDoS 攻擊手法變化：CLDAP 下降，DNS 放大與 UDP 攻擊增加

除了攻擊次數與流量規模，2026年第三季另一項值得注意的變化，是不同網路層 DDoS 攻擊手法的使用情況。根據 Cloudflare 報告，CLDAP 攻擊的占比大幅下降，DNS 放大攻擊與 UDP 洪水攻擊的占比則明顯增加。以下百分比為各類攻擊手法占比的相對變化，並非各類型攻擊的絕對次數增減。

• CLDAP 攻擊占比下降99.5%：CLDAP 攻擊在2026年上半年曾出現單季大幅增加580%的情況，但第三季占比急遽下降至0.05%。
• DNS 放大攻擊占比相對增加215%：第三季占網路層 DDoS 攻擊總量的3.43%，成為占比成長幅度明顯的攻擊手法之一。
• UDP 洪水攻擊占比相對增加122%：其他類型的 UDP 洪水攻擊占比從14.06%上升至31.31%，顯示其在第三季攻擊分布中的占比明顯提高。

反射放大攻擊與 UDP 洪水攻擊有何差異？

CLDAP（Connectionless Lightweight Directory Access Protocol）攻擊與 DNS 放大攻擊都屬於反射與放大型 DDoS 攻擊。攻擊者透過偽造來源 IP 位址，向可被利用的第三方服務發送請求，使回應流量被導向受害目標。其中，CLDAP 攻擊利用暴露在網際網路上的 CLDAP 服務，而 DNS 放大攻擊則利用 DNS 解析服務，透過較大的回應封包放大攻擊流量。

UDP 洪水攻擊則主要透過大量 UDP 封包消耗目標的網路頻寬或系統處理資源，實際影響取決於封包數量、流量規模及目標服務架構。需要注意的是，DNS 放大攻擊與 DNS Flood 也不完全相同：DNS Flood 通常透過大量查詢消耗目標 DNS 服務的處理能力，而 DNS 放大攻擊則利用第三方 DNS 解析服務，將放大的回應流量導向受害者。

哪些產業與國家遭受最多 DDoS 攻擊？

除了攻擊規模與手法，Cloudflare 第三季報告也觀察到 DDoS 攻擊在產業與地理區域上的分布變化。部分產業持續位居受攻擊排名前列，也有產業與國家的排名較上一季明顯上升。

受攻擊產業：媒體、製作與出版產業排名第一

媒體、製作與出版產業仍是 Cloudflare 第三季觀測中遭受最多 DDoS 攻擊的產業，但其攻擊占比較第二季明顯下降。另一方面，網際網路、消費者服務及成人娛樂等產業的排名有所上升。

• 媒體、製作與出版產業：仍位居受攻擊產業排名第一，但攻擊占比降至第二季的約四分之一。
• 網際網路產業：從前十名之外上升至第6名。
• 消費者服務產業：進入前十名，排名第8。
• 成人娛樂產業：進入前十名，排名第9。

受攻擊國家：美國排名第一，加拿大與以色列上升

從地理區域來看，美國在第三季取代中國，成為 Cloudflare 觀測中遭受最多 DDoS 攻擊的國家。印尼排名第三，加拿大與以色列的排名則較上一季明顯上升。

• 美國：取代中國，成為第三季遭受 DDoS 攻擊最多的國家。
• 中國：排名第二。
• 印尼：排名第三，占攻擊總數的2.93%。
• 加拿大：從第二季第16名上升至第三季第6名。
• 以色列：排名上升7個名次，來到第10名。

Cloudflare 在報告中也提及部分攻擊活動與地緣政治緊張、貿易爭端及其他重大事件的時間點有所關聯。不過，攻擊發生時間與外部事件接近，並不等於能確認攻擊動機或幕後來源。這些產業與地區排名反映的是 Cloudflare 網路觀測到的攻擊目標分布，而非全球所有企業的完整攻擊紀錄。對企業而言，相關數據可以作為了解整體威脅變化的參考，但實際風險仍須依自身服務性質、網路架構及營運需求評估。

Cloudflare 如何因應持續變化的 DDoS 威脅？

面對短時間、高頻率與超大規模 DDoS 攻擊並存的情況，Cloudflare 透過全球分散式網路、自動化緩解機制及威脅情報共享，協助降低惡意流量對網路與服務的影響。根據第三季報告，Cloudflare 全球網路涵蓋330多座城市，具備500 Tbps的網路容量，並在其網路服務中提供自動化 DDoS 防護。這裡的500 Tbps指 Cloudflare 全球網路容量，並不代表單一客戶或服務可以保證承受相同規模的攻擊。

從自動化緩解到不同層級的 DDoS 防護

Cloudflare 透過自動化系統偵測並緩解惡意流量，並依不同產品及部署方式，提供相應的網路層與應用層防護能力。

• 自動化 DDoS 偵測與緩解：透過自動化系統偵測並緩解惡意流量，減少每次攻擊都必須等待人工介入的需求。
• 網路層 DDoS 防護：針對 L3/L4 網路層攻擊，依適用產品與部署方式提供防護，協助降低大量惡意流量對網路服務的影響。
• HTTP DDoS 防護：針對 HTTP/HTTPS 應用層攻擊提供相應防護，協助降低惡意請求對網站及應用程式的影響。
• 安全事件與流量分析：依使用的產品及方案，查看攻擊流量、緩解事件及相關安全資訊，作為事件分析與防護調整的參考。

實際防護效果仍取決於攻擊類型、部署架構、流量是否經過相應防護服務，以及相關安全設定。不同 Cloudflare 產品與方案所提供的防護範圍、事件分析資料與管理功能也可能有所差異，因此企業在規劃導入時，仍應依實際需求確認適用方案。

透過威脅情報共享，協助辨識 DDoS 殭屍網路

除了即時緩解，Cloudflare 也利用其全球網路觀測到的 DDoS 攻擊資料，提供免費的 DDoS Botnet Threat Feed for Service Providers（DDoS 殭屍網路威脅情報源）。這項服務主要面向網際網路服務提供者、雲端平台及託管服務提供者，協助辨識可能參與 DDoS 攻擊的惡意來源。根據第三季報告，已有超過800個網路註冊使用這項情報服務。

Cloudflare Radar 亦提供公開的網際網路流量與攻擊趨勢資訊，讓企業及研究人員能持續觀察網路威脅變化。透過自動化緩解、事件分析及威脅情報，企業可以從即時防護延伸至後續事件檢視與防護策略調整，但仍須依實際使用的產品與服務範圍進行規劃。

2026 第三季 DDoS 趨勢給企業的提醒

第三季報告反映出，DDoS 攻擊可能在短時間內造成服務壓力，也可能透過不同攻擊手法持續消耗網路與系統資源。對企業而言，除了了解攻擊趨勢，更重要的是確認現有防護是否涵蓋關鍵服務，以及發生異常時能否快速辨識與處理。

綜合 Cloudflare 第三季觀測結果，從企業實際防護與營運需求出發，樂雲建議優先檢視以下三個面向：

1. 盤點對外服務與關鍵系統：確認企業網站、API、DNS及其他對外服務的架構與重要性，了解哪些服務一旦中斷，可能影響客戶使用或日常營運。
2. 檢視現有防護架構的缺口：確認各項對外服務是否經過適當的防護機制，並檢查是否存在未受保護的流量路徑、來源站直接暴露或防護範圍不足等情況。
3. 建立攻擊事件的檢視與應變流程：明確定義異常流量發生時的通知對象、處理分工與事件紀錄方式，並透過定期檢視攻擊資訊，持續調整防護設定與應變流程。

樂雲智能為 Cloudflare 台灣授權經銷商，可依企業現有網站、應用程式與網路環境，協助評估適合的 Cloudflare DDoS 防護方案，規劃相關服務導入與整合。若您希望了解現有 DDoS 防護架構，或評估 Cloudflare 是否適合企業需求，歡迎聯繫樂雲專業團隊，進一步討論適合的防護方式。

※ 本文數據與部分內容參考 Cloudflare 官方《2026 年第三季 DDoS 威脅報告》，並依企業資安應用情境整理編寫。