De omvang van DDoS-aanvallen blijft snel toenemen. Tegelijkertijd veranderen aanvallers hun technieken en blijkt de hoeveelheid tijd die organisaties hebben om op een aanval te reageren steeds kleiner te worden. Cloudflare registreerde in de eerste helft van 2026 alleen al 935 DDoS-aanvallen met een omvang van meer dan 1 terabit per seconde. Ook DNS-aanvallen en zogenoemde reflectie- en versterkingsaanvallen zijn sterk in opkomst.
Dat blijkt uit het DDoS Threat Report over de eerste helft van 2026 van Cloudflare, dat op 13 augustus verscheen. Het gaat om de 25e editie van het rapport en voor het eerst heeft Cloudflare de cijfers over twee kwartalen samengevoegd tot één halfjaarlijkse analyse. De gegevens zijn afkomstig uit het eigen wereldwijde netwerk van het bedrijf en zijn geanalyseerd door Cloudforce One, de threat intelligence-organisatie van Cloudflare. Daarmee biedt het rapport een omvangrijk beeld van de ontwikkelingen rond DDoS, maar het blijft wel een analyse vanuit het netwerk en de klantenpopulatie van één leverancier.
Meer dan 23 miljoen aanvallen in zes maanden
De absolute aantallen die Cloudflare noemt zijn groot. In de periode van januari tot en met juni 2026 bestreed het bedrijf 23,2 miljoen DDoS-aanvallen op de netwerklaag. Daarnaast verwerkte het systemen van Cloudflare 29,64 biljoen kwaadaardige HTTP-verzoeken die onderdeel waren van DDoS-aanvallen.
Omgerekend komt dat volgens Cloudflare neer op ongeveer 5343 netwerkaanvallen per uur, of circa 128.000 per dag. Vooral april springt eruit. In die maand registreerde Cloudflare 6,46 biljoen kwaadaardige verzoeken en 165 petabyte aan DDoS-verkeer.
Daarna nam de hoeveelheid aanvalsverkeer af. Cloudflare ziet een mogelijke relatie met Operation PowerOFF, een internationale politieactie tegen diensten waarmee tegen betaling DDoS-aanvallen konden worden uitgevoerd. Volgens Cloudflare waren bij deze actie 21 landen betrokken, werden 53 domeinen uit de lucht gehaald en waren meer dan 75.000 gebruikers van dergelijke diensten onderwerp van het onderzoek.
Hoewel het lastig is om rechtstreeks aan te tonen dat dergelijke acties verantwoordelijk zijn voor een daling van DDoS-verkeer, illustreren de cijfers wel hoe belangrijk zogenoemde DDoS-for-hire- of booter-diensten inmiddels zijn geworden. Voor het uitvoeren van een aanval hoeft een cybercrimineel niet noodzakelijk zelf over een omvangrijk botnet of diepgaande technische kennis te beschikken. Aanvalscapaciteit kan als dienst worden ingekocht.
De 1 Tbps-aanval wordt minder uitzonderlijk
Een van de opvallendste ontwikkelingen in het rapport is de sterke groei van zogenoemde hypervolumetrische aanvallen. Cloudflare hanteert die term voor DDoS-aanvallen die bijvoorbeeld meer dan 1 terabit per seconde aan verkeer genereren, meer dan een miljard pakketten per seconde versturen of boven een miljoen HTTP-verzoeken per seconde uitkomen.
Cloudflare registreerde in de eerste helft van het jaar 935 netwerkaanvallen van meer dan 1 Tbps. Alleen al in het tweede kwartaal ging het om 805 aanvallen. Dat betekende volgens het bedrijf een toename van meer dan een factor zes ten opzichte van het eerste kwartaal.
Dat is een belangrijke ontwikkeling voor organisaties die hun DDoS-risico tot nu toe vooral beoordelen op basis van de capaciteit van hun internetverbinding of datacenter. Een aanval van honderden gigabits of enkele terabits per seconde kan namelijk veel groter zijn dan de beschikbare netwerkcapaciteit van de aangevallen organisatie.
Daar komt bij dat alleen naar bandbreedte kijken niet voldoende is. Aanvallers kunnen ook zeer grote aantallen netwerkpakketten genereren, waardoor routers, firewalls, load balancers en andere netwerkapparatuur overbelast raken zonder dat de volledige capaciteit van een internetverbinding noodzakelijk wordt benut.
Cloudflare wijst erop dat aanvallers deze eigenschappen ook combineren. Een aanval kan bijvoorbeeld relatief weinig bandbreedte gebruiken maar een extreem hoge pakketsnelheid hebben. Andersom kan een aanval juist vooral proberen zoveel mogelijk bandbreedte te consumeren.
De meeste aanvallen blijven opvallend klein
De spectaculaire Tbps-aanvallen vormen echter maar één kant van het verhaal. Veruit de meeste DDoS-aanvallen zijn veel kleiner. Volgens Cloudflare bleef 96,62 procent van de netwerkaanvallen onder 500 Mbps. Daarnaast duurde 90,60 procent van de aanvallen minder dan tien minuten. Dat betekent niet dat deze aanvallen onschadelijk zijn. Voor een organisatie met een relatief kleine internetverbinding, een kwetsbare webserver of beperkte capaciteit kan een aanval van enkele honderden megabits per seconde al voldoende zijn om diensten onbereikbaar te maken.
Ook kunnen kleine aanvallen worden gebruikt om beveiligingsmaatregelen te testen. Een aanvaller kan bijvoorbeeld proberen vast te stellen welke verkeersvolumes worden toegelaten, wanneer rate limiting wordt geactiveerd en hoe snel beveiligingssystemen reageren. De combinatie van zeer veel relatief kleine aanvallen met een kleiner aantal extreem grote aanvallen maakt DDoS-bescherming daardoor ingewikkelder. Een beveiligingsarchitectuur moet niet alleen bestand zijn tegen uitzonderlijke pieken, maar ook voortdurend kleinere aanvallen kunnen herkennen zonder legitiem verkeer onnodig te blokkeren.
Aanvallen duren soms maar seconden
Misschien nog belangrijker dan de omvang van aanvallen is hun snelheid. Cloudflare heeft eerder aanvallen geregistreerd die van begin tot eind slechts 35 seconden duurden. Voor securityteams heeft dat een belangrijke consequentie. Een traditionele werkwijze waarbij een monitoringplatform een waarschuwing genereert, waarna een analist de aanval onderzoekt en vervolgens maatregelen neemt, is in zo’n situatie simpelweg te langzaam.
Tegen de tijd dat een medewerker de waarschuwing heeft bekeken, kan de aanval alweer voorbij zijn. Dat betekent echter niet dat de schade eveneens na enkele tientallen seconden voorbij is. Een plotselinge verkeerspiek kan volgens Cloudflare onder andere routingsproblemen, TCP-hertransmissies, time-outs in applicaties en verstoringen van achterliggende diensten veroorzaken. Daardoor kan de impact van een korte aanval veel langer merkbaar blijven.
De cijfers benadrukken daarmee het belang van automatische detectie en mitigatie. DDoS-bescherming moet in feite al actief zijn voordat een aanval begint en zonder menselijke tussenkomst kunnen opschalen.
DNS opnieuw een belangrijk doelwit
Ook technisch verandert het DDoS-landschap. Een belangrijke ontwikkeling in de eerste helft van 2026 is de sterke groei van aanvallen waarbij DNS wordt gebruikt. DNS-aanvallen waren volgens Cloudflare verantwoordelijk voor 34,3 procent van alle DDoS-activiteit op de netwerklaag. DNS-floods groeiden in het tweede kwartaal bovendien van 25,7 naar 40 procent van de netwerkaanvallen.
Bij een DNS-flood probeert een aanvaller zoveel verzoeken naar de authoritative DNS-servers van een domein te sturen dat deze de aanvragen niet langer kunnen verwerken. Het probleem daarvan is dat DNS aan de basis staat van vrijwel iedere internetdienst. Zelfs wanneer een webserver, cloudomgeving of applicatie zelf probleemloos blijft functioneren, kunnen gebruikers deze niet meer bereiken wanneer de domeinnaam niet langer naar het juiste IP-adres kan worden vertaald. Dat maakt DNS tot een aantrekkelijk doelwit. Eén succesvolle aanval kan bovendien meerdere onderliggende diensten tegelijk treffen.
Reflectie en versterking
Naast rechtstreekse DNS-floods ziet Cloudflare een verschuiving richting reflectie- en versterkingsaanvallen. Daarbij sturen aanvallers kleine verzoeken naar systemen op internet, maar vervalsen zij het IP-adres van de afzender. Het systeem dat het verzoek ontvangt, denkt daardoor dat het verzoek afkomstig is van het slachtoffer en stuurt zijn antwoord daarheen.
Wanneer het antwoord aanzienlijk groter is dan het oorspronkelijke verzoek ontstaat bovendien een versterkingseffect. Met relatief weinig eigen verkeer kan de aanvaller zo een veel grotere hoeveelheid netwerkverkeer richting het slachtoffer genereren. DNS kan hiervoor worden misbruikt wanneer verkeerd geconfigureerde of open DNS-resolvers vanaf internet bereikbaar zijn.
Het voordeel voor de aanvaller is duidelijk: de infrastructuur van andere organisaties wordt gebruikt om de aanval uit te voeren en tegelijkertijd wordt de herkomst van het oorspronkelijke verkeer moeilijker zichtbaar.
CLDAP-aanvallen groeien met 580 procent
Cloudflare signaleert daarnaast een sterke stijging van aanvallen waarbij CLDAP wordt misbruikt. Het aantal CLDAP-floods nam in het tweede kwartaal met 580 procent toe. Daarmee was het volgens Cloudflare in Q2 de op twee na meest gebruikte aanvalsvector op de netwerklaag. CLDAP staat voor Connectionless Lightweight Directory Access Protocol en kan worden gezien als een verbindingsloze variant van LDAP. Het protocol maakt gebruik van UDP.
Juist dat laatste maakt misbruik voor reflectieaanvallen mogelijk. UDP vereist namelijk geen verbinding of handshake voordat gegevens worden verstuurd. Daardoor kan een aanvaller relatief eenvoudig het bron-IP-adres van een verzoek vervalsen. Bij een CLDAP-versterkingsaanval worden kleine verzoeken naar vanaf internet bereikbare directoryservers gestuurd, bijvoorbeeld via UDP-poort 389. Als bronadres gebruikt de aanvaller het IP-adres van het beoogde slachtoffer.
De directoryserver stuurt vervolgens zijn antwoord naar dat slachtoffer. Omdat deze antwoorden tientallen tot soms honderden keren groter kunnen zijn dan het oorspronkelijke verzoek, ontstaat een versterkingseffect. Voor organisaties betekent dit dat niet alleen bescherming van de eigen infrastructuur belangrijk is. Verkeerd geconfigureerde systemen kunnen onbedoeld worden ingezet om aanvallen op anderen uit te voeren.
Geopolitiek steeds zichtbaarder in DDoS-verkeer
DDoS-aanvallen zijn bovendien steeds duidelijker verweven met geopolitieke gebeurtenissen. Cloudflare ziet volgens het rapport een rechtstreeks verband tussen internationale conflicten en veranderingen in de sectoren en landen die het vaakst worden aangevallen.
De sector media, productie en uitgeverij was in beide kwartalen de meest aangevallen branche binnen de statistieken van Cloudflare. Deze sector was goed voor 14,2 procent van de door Cloudflare bestreden HTTP-DDoS-aanvallen, bijna vier keer zoveel als de nummer twee. Cloudflare legt daarbij een verband met onder andere berichtgeving over de conflicten rond Iran en Oekraïne en met de aandacht voor het WK voetbal.
Mediaorganisaties zijn in geopolitieke conflicten aantrekkelijke doelwitten voor hacktivistische groeperingen. Een succesvolle DDoS-aanval hoeft daarbij geen gegevens te stelen of systemen permanent te beschadigen. Alleen het tijdelijk ontoegankelijk maken van nieuwsvoorzieningen kan al een politiek of propagandistisch doel dienen.
Overheidsorganisaties plotseling veel vaker aangevallen
Een andere opvallende verschuiving betreft overheden. Cloudflare zag deze sector tussen het eerste en tweede kwartaal twintig plaatsen stijgen in de ranglijst van meest aangevallen sectoren: van nummer 29 naar nummer 9. Die stijging viel samen met Operatie Epic Fury, die op 28 februari 2026 begon. Cloudflare verwijst naar onderzoek waarin binnen 72 uur 149 DDoS-aanvallen door hacktivisten tegen 110 organisaties in zestien landen werden waargenomen. Bijna de helft van de getroffen organisaties behoorde tot de overheid.
Dergelijke cijfers laten zien hoe snel digitale aanvallen tegenwoordig kunnen volgen op ontwikkelingen in de fysieke wereld. Een militair conflict, politieke bijeenkomst of andere belangrijke gebeurtenis kan vrijwel onmiddellijk leiden tot extra activiteit van hacktivisten en andere aanvallers. Voor overheden, mediaorganisaties en bedrijven die betrokken zijn bij kritieke infrastructuur betekent dit dat threat intelligence steeds nadrukkelijker ook geopolitieke ontwikkelingen moet meenemen.
China en Verenigde Staten belangrijkste doelwitten
Geografisch gezien was China aan het einde van het eerste halfjaar het belangrijkste doelwit binnen de Cloudflare-data. In het tweede kwartaal was het land goed voor 22,4 procent van de door Cloudflare waargenomen HTTP-DDoS-aanvallen. De Verenigde Staten stonden met 18,8 procent op de tweede plaats. Turkije klom naar nummer drie nadat zijn aandeel in het wereldwijde aanvalsverkeer meer dan verdubbelde. Cloudflare brengt deze ontwikkeling onder meer in verband met de aanloop naar de NAVO-top van 2026 in Ankara.
Opvallend genoeg komt aanvalsverkeer niet noodzakelijk uit dezelfde landen als waar de aanvallers zich bevinden. Botnets bestaan immers uit gecompromitteerde servers, routers, IoT-apparaten en andere systemen verspreid over de hele wereld. Volgens Cloudflare was Brazilië in de eerste helft van 2026 het belangrijkste herkomstland van DDoS-verkeer. Het was goed voor 14,9 procent, tegenover 13,4 procent vanuit de Verenigde Staten. In het tweede kwartaal steeg het Braziliaanse aandeel zelfs tot 21,4 procent. Indonesië bleef op de derde plaats staan.
Daarbij is het belangrijk dergelijke cijfers niet te interpreteren alsof aanvallers daadwerkelijk vanuit deze landen opereren. Het gaat om de geografische locatie van systemen waarvan het aanvalsverkeer afkomstig is. Die systemen kunnen onderdeel zijn van een botnet zonder dat de eigenaar weet dat ze voor een aanval worden gebruikt.
DDoS wordt een continu beschikbaarheidsvraagstuk
Voor CIO’s, CISO’s en infrastructuurteams is misschien wel de belangrijkste conclusie uit het rapport dat DDoS steeds minder als een incidenteel securityprobleem kan worden beschouwd. Het gaat in toenemende mate om een structureel beschikbaarheidsrisico. De combinatie van extreem grote aanvallen, zeer korte aanvalsgolven en verschillende technische aanvalsvectoren maakt het lastig om pas maatregelen te nemen zodra een aanval wordt vastgesteld. De infrastructuur moet al vooraf zijn ingericht op automatische detectie en filtering.
Daarbij verdient ook de afhankelijkheid van DNS nadrukkelijk aandacht. Een organisatie kan haar applicaties over verschillende cloudomgevingen en datacenters verspreiden en toch volledig onbereikbaar worden wanneer de DNS-infrastructuur een single point of failure vormt. Hetzelfde geldt voor netwerkapparatuur. Een internetverbinding kan voldoende bandbreedte hebben terwijl een firewall, router of load balancer het aantal pakketten per seconde niet aankan.
DDoS-resilience vraagt daardoor om een bredere beoordeling van de volledige keten: DNS, netwerkverbindingen, routers, firewalls, load balancers, cloudplatforms, applicaties en de koppelingen tussen deze componenten.
Geen tijd meer om tijdens een aanval een plan te maken
Vooral de korte duur van moderne DDoS-aanvallen verandert daarbij de manier waarop organisaties zich moeten voorbereiden. Wanneer een aanval binnen minder dan een minuut zijn maximale omvang bereikt en alweer voorbij kan zijn, bestaat er feitelijk geen ruimte meer om tijdens het incident te besluiten welke maatregelen nodig zijn.
Detectieregels, verkeersfilters, capaciteitsgrenzen, escalatieprocedures en eventuele samenwerking met internet- of DDoS-providers moeten vooraf zijn ingericht en getest. Dat geldt ook voor failover. Een organisatie kan beschikken over meerdere verbindingen of datacenters, maar wanneer failover pas handmatig wordt geactiveerd nadat een storing is geconstateerd, kan zo’n voorziening bij een aanval van enkele tientallen seconden nauwelijks effectief zijn.
De ontwikkeling sluit daarmee aan bij een bredere verandering binhttps://blog.cloudflare.com/nl-nl/ddos-threat-report-2026-h1/nen cybersecurity: snelheid wordt een steeds belangrijkere factor. Niet alleen moeten organisaties weten wat zij tegen een aanval kunnen doen, het antwoord moet ook snel genoeg beschikbaar zijn om nog effect te hebben. De cijfers die Cloudflare over de eerste zes maanden van 2026 publiceert, maken duidelijk hoe klein dat tijdvenster inmiddels kan zijn.
