클라우드플레어, 2026년 3분기 DDoS 위협 보고서 발표: 소규모 공격 급증, 대규모 공격 감소

공격 양상 및 대상 변화

클라우드플레어는 2026년 3분기 DDoS 위협 보고서를 통해 분산 서비스 거부(DDoS) 공격의 주요 양상과 대상에 상당한 변화가 있었음을 발표했다. 보고서에 따르면, 10분 미만 지속되고 1Gbps 미만의 대역폭을 사용하는 단시간 저대역폭 공격이 전년 동기 대비 208% 급증했다. 이러한 공격은 주로 컴퓨터 소프트웨어, 도박 및 카지노, 정보 기술 산업을 표적으로 삼았다.

공격 대상은 산업 및 지역 전반에 걸쳐 광범위하게 확대되었다. 미국이 중국을 제치고 가장 많은 공격을 받은 국가가 되었으며, 캐나다와 이스라엘은 각각 10단계와 7단계 상승하며 표적 공격이 급증했다. 산업별로는 미디어, 생산 및 출판 분야가 여전히 최다 공격 대상이었으나, 전체 비중은 2분기 대비 약 4분의 1 수준으로 줄었다. 대신 소비자 서비스, 인터넷 인프라, 성인 엔터테인먼트 등 다양한 산업으로 공격의 초점이 이동했다.

변화의 배경과 맥락

초고용량 공격의 감소는 2026년 초 법 집행 기관이 Aisuru, KimWolf, JackSkid, Mossad 등 4개의 주요 사물 인터넷(IoT) DDoS 봇넷을 해체한 조치와 관련이 있는 것으로 분석된다. 이러한 조치로 인해 대규모 봇넷 기반 공격의 수가 일시적으로 줄어든 것으로 보인다. 그러나 Dysphoria 및 Evooo1Bot과 같은 새로운 변종이 계속 출현하고 있어 IoT 기반 봇넷이 여전히 강력한 고용량 위협으로 남아있음을 시사한다.

CLDAP 공격의 급격한 감소는 공격자들이 해당 프로토콜의 취약점 악용에 대한 방어 강화에 대응하여 다른 연결 없는 프로토콜로 공격 방식을 전환했기 때문으로 풀이된다. DNS 증폭 및 일반 UDP 플러드 공격의 증가는 이러한 공격 벡터가 CLDAP와 유사하게 작은 위조 쿼리로 대규모 응답을 유도하거나, 대상의 네트워크 및 컴퓨팅 자원을 소모시키는 데 효과적이기 때문이다.

캐나다와 이스라엘에 대한 공격 증가는 지정학적 긴장, 무역 분쟁, 국내 정치적 사건 등 해당 국가들이 겪고 있는 혼란스러운 시기와 맞물려 있다. 특히 이스라엘의 경우 9월 중순 지속적인 DDoS 활동이 관찰되었으며, 이는 의회 선거와 유대 명절인 로쉬 하샤나를 앞두고 발생한 논쟁적인 결정들과 올해 이스라엘을 겨냥한 대규모 사이버 전쟁 급증과도 연관이 있다.

구체적인 공격 수치 및 동향

2026년 3분기 동안 클라우드플레어 네트워크는 1,820만 건의 네트워크 계층 DDoS 공격과 14조 4천억 건의 HTTP DDoS 요청을 자율적으로 완화했다. 이는 시간당 약 8,226건의 네트워크 계층 DDoS 공격, 즉 0.44초마다 한 번의 공격이 발생한 셈이다. 완화된 트래픽 총량은 네트워크 계층에서 272.6 PB, HTTP 계층에서 95.1 PB에 달한다.

단시간 저대역폭 공격의 경우, 완화된 공격의 96%가 10분 이내에 종료되었고, 98%는 1Gbps 미만의 대역폭을 사용했다. 이는 서버나 웹사이트를 압도하기에 충분한 수준이다. IoT 봇넷 중 미라이(Mirai) 분류 공격 완화량은 8월에 57.23 PB로 정점을 찍었으며, 이는 3분기 전체 네트워크 계층 완화 바이트의 46.5%를 차지한다. 특히 8월 16일, 19일, 23일, 25일에는 각각 3페타바이트를 초과하는 공격이 발생했다. 가장 길게 지속된 미라이 공격은 8월 19일부터 21일까지 49.7시간 동안 이어졌다.

공격 대상 지역 순위에서는 미국이 1위, 중국이 2위를 차지했으며, 인도네시아가 전체 공격의 2.93%를 차지하며 3위로 부상했다. 캐나다는 16위에서 6위로, 이스라엘은 17위에서 10위로 상승했다. 캐나다에 대한 공격은 소매, 통신, 서비스 제공업체 및 통신사, 마케팅 및 광고 산업을 중심으로 발생했다.

개발자 및 사용자에게 미치는 영향

이번 보고서는 '부터(booter)' 서비스와 같은 DDoS 공격 대행 서비스의 운영 방식인 단시간, 중간 범위, 다수 공격이 가속화되고 있음을 보여준다. 이는 웹사이트나 서비스 운영자들이 짧지만 빈번한 공격에 대비해야 함을 의미한다. 이러한 공격은 자동화된 방어 시스템 없이는 감지 및 완화가 어렵기 때문에, 실시간으로 위협을 탐지하고 대응할 수 있는 솔루션의 중요성이 더욱 커지고 있다.

클라우드플레어는 전 세계 330개 이상의 도시에 걸쳐 500 Tbps의 네트워크 용량을 기반으로 모든 서비스에 무료로 무제한 DDoS 보호 기능을 제공한다. 클라우드플레어의 시스템은 인간의 개입 없이 공격을 탐지하고 완화하도록 설계되어 있으며, 이는 대부분의 공격이 인간 분석가가 경고를 확인하기도 전에 종료되기 때문에 필수적이다. 또한, 가장 큰 공격은 여전히 분기당 수백 건의 빈도로 1Tbps를 초과한다.

호스팅 제공업체, 클라우드 컴퓨팅 플랫폼 및 인터넷 서비스 제공업체가 이러한 공격을 시작하는 악성 IP 주소 및 계정을 식별하고 차단할 수 있도록, 클라우드플레어는 DDoS 봇넷 위협 피드(DDoS Botnet Threat Feed)를 무료로 제공한다. 전 세계 800개 이상의 네트워크가 이 피드에 가입하여 봇넷 노드 제거를 위한 커뮤니티 협력을 강화하고 있다.

적용 조건 및 한계

클라우드플레어의 네트워크는 DDoS 위협의 이러한 성장을 흡수하도록 설계되었지만, 공격의 빈도와 규모는 여전히 상당하다. 보고서에 명시된 바와 같이, 대부분의 공격은 인간 분석가가 경고를 볼 수 있기 훨씬 전에 종료되며, 가장 큰 공격은 여전히 분기당 수백 건의 빈도로 1Tbps를 정기적으로 초과한다. 이는 자동화된 방어 시스템의 지속적인 발전과 확장이 필요함을 시사한다.

법 집행 기관의 노력으로 일부 대규모 IoT 봇넷이 해체되었음에도 불구하고, Dysphoria 및 Evooo1Bot과 같은 새로운 변종이 계속 출현하고 있어 IoT 기반 봇넷이 여전히 강력한 고용량 위협으로 남아있다는 점은 중요한 한계이다. 공격자들은 방어 기술의 발전에 맞춰 새로운 공격 벡터를 지속적으로 탐색하고 전환하므로, 방어 시스템 또한 끊임없이 진화해야 한다.

이 보고서는 클라우드플레어 네트워크에서 수집된 데이터를 기반으로 분석되었다. 클라우드플레어는 전 세계 웹 트래픽의 20% 이상을 보호하는 광범위한 네트워크를 통해 위협 인텔리전스를 제공하지만, 이는 전체 인터넷 위협 환경의 일부를 반영하는 것일 수 있다.