【ITニュース解説】Cloudflare Counts 18.2 Million DDoS Attacks in Q3 2026, and 96% Ended Under Ten Minutes

ウェブサービスを運営する上で避けられない脅威の一つに、分散型サービス拒否攻撃、通称DDoS攻撃がある。これは、世界中の多数のコンピューターから一斉に大量のトラフィックを送りつけることで、標的となるウェブサイトやオンラインサービスの帯域幅を使い果たしたり、サーバーのリソース（CPUや接続処理能力）を枯渇させたりして、正規のユーザーがサービスを利用できなくする攻撃だ。まるで、一斉に電話をかけることで、特定の電話回線をパンクさせるような状況を想像すると分かりやすいだろう。

セキュリティ企業のCloudflareが発行した2026年第3四半期のDDoS脅威レポートは、このような攻撃の最新の動向を詳細に報告している。この期間、Cloudflareのネットワーク上では実に1820万件ものネットワーク層DDoS攻撃と、14.4兆件ものHTTP DDoSリクエストが確認された。これは、1時間に約8,226件、つまり0.44秒に1回のペースでDDoS攻撃が発生していたことを意味する。Cloudflareのシステムは、この膨大な量の攻撃トラフィック、具体的にはネットワーク層で272.6ペタバイト、HTTP層で95.1ペタバイトものデータを緩和したという。これらの数字は、インターネットがいかに絶え間ない攻撃にさらされているか、そしてそれらを防御するための大規模なインフラがいかに重要であるかを物語っている。

このレポートで特に注目すべきは、DDoS攻撃の「形」が変化している点だ。短時間で終わる小規模な攻撃が大幅に増加している。具体的には、10分未満で終了し、1ギガビット/秒（Gbps）未満の帯域幅を使う攻撃が、前年同期比で208%も増加した。ネットワーク層攻撃の96%が10分以内に、98%が1 Gbps未満で終わっていた。これは、DDoS攻撃をサービスとして提供する「DDoS-for-hire」（いわゆるブーターサービス）が普及していることを示唆している。これらのサービスは安価で手軽に利用できるため、短時間で反復的な小規模攻撃が多発する傾向にある。攻撃対象としては、コンピューターソフトウェア、ギャンブル・カジノ、情報技術・サービス、通信、消費者サービスといった、ビジネス上の利益やサービス稼働率が重要な産業が上位を占めている。

一方で、1テラビット/秒（Tbps）を超えるような超大規模なDDoS攻撃の件数は、前四半期の805件から251件へと約69%も減少した。これは、2026年の初めに法執行機関が大規模なIoTボットネット（Aisuru、KimWolf、JackSkid、Mossadなど）を摘発したことが影響している可能性がある。ボットネットとは、攻撃者が遠隔操作できる多数の感染コンピューターのネットワークのことだ。しかし、この減少は一時的なもので、DysphoriaやEvooo1Botといった新しいボットネットの亜種も登場しており、攻撃のエコシステムは常に変化し続けている。大規模攻撃の減少と小規模攻撃の増加は、防御側にとって「より多くの数の、より小さな攻撃」への対応が必要になっていることを意味する。

攻撃の手法（ベクター）にも変化が見られた。これまで急増していたCLDAPフラッド攻撃が99.5%も激減し、0.05%にまで減少した。代わりに、DNS増幅攻撃が215%増加して3.43%を占め、その他のUDPフラッド攻撃も14.06%から31.31%へと増加している。これらの増幅攻撃は、「リフレクション」と「増幅」という共通のパターンを利用する。これは、攻撃者が偽の送信元アドレスを使って、公開されているDNSリゾルバやドメインコントローラーに小さなクエリを送りつけ、その結果として、はるかに大きな応答が被害者へと送られるという仕組みだ。このような攻撃を防ぐ最も安価で効果的な方法は、外部からの再帰的なクエリに応答してしまう「オープンリゾルバ」を閉じ、設定を適切にすることだ。

さらに、IoTデバイスを標的とするMiraiクラスのDDoS攻撃も引き続き大きな存在感を示した。8月にはMiraiによる緩和トラフィックが57.23ペタバイトに達し、これはネットワーク層で緩和された全バイト数の46.5%に相当する。最長で49.7時間も継続するMirai攻撃も確認された。Miraiボットネットは、主にセキュリティが不十分なIoTデバイス（監視カメラ、ルーターなど）を乗っ取って構築される。古いポートが開いたままになっていたり、ファームウェアが更新されていなかったりするデバイスは Miraiのスキャン対象となるため、ファームウェアのパッチ適用や不要なポートの閉鎖が重要な対策となる。

攻撃の地理的および産業的なターゲットも変化している。国別では、カナダが16位から6位に急上昇し、イスラエルも7つ順位を上げて10位に入った。アメリカが1位を奪還し、インドネシアが3位に浮上している。業界別では、メディア・制作・出版が依然として1位だが、そのシェアはQ2の約4分の1に減少。インターネット関連サービス、消費者サービス、アダルトエンターテイメントなどもトップ10に入った。これらの順位変動は、その地域のビジネスや政治的な出来事と密接に関連しており、特定の小売チェーンが争議中に狙われたり、通信会社が料金値上げを擁護している最中に攻撃されたりするケースが見られる。これは、技術的なリスクが、時事問題やビジネス動向と不可分であることを示している。

DDoS攻撃の形態が短時間・小規模へと変化していることは、防御側の対応プロセスに大きな影響を与える。レポートによると、96%の攻撃は、セキュリティ担当者がアラートを読み終えるよりも早く終了してしまう。これは、人間が手動で監視し、判断し、対応するという従来のワークフローが、もはや有効ではないことを明確に示している。DDoS対策は、人間が介在することなく、自動的に発動するポリシーに基づいて行われる必要がある。このポリシーは、事前に定義され、正当なトラフィックを誤ってブロックしないように十分に調整されたものでなければならない。Cloudflareが提供する自動DDoS防御システムのように、人間が関与せずとも攻撃を検知し緩和できる仕組みが、現代のDDoS攻撃には不可欠なのだ。

システムエンジニアを目指す初心者が、このレポートから得るべき教訓は多い。まず、ウェブサービスを構築・運用する際には、DDoS攻撃が常時発生していることを前提にする必要がある。そして、手動での対応では間に合わないため、自動化された防御策を計画に組み込むことが極めて重要だ。具体的な対策としては、以下の点が挙げられる。

第一に、各ルートやホスト名ごとに緩和にかかる時間を測定し、特に攻撃されやすいログイン、パスワードリセット、検索、決済、データベースへの問い合わせといった重要なエンドポイントには、特に注意を払うべきだ。サイト全体の平均値だけでは、特定の狙われたルートのリスクを見落とす可能性がある。

第二に、金銭的なコストがかかるルートには、レート制限（一定時間内のリクエスト数を制限する）や同時実行数の予算を設定すること。これにより、攻撃によるサーバーリソースの枯渇や課金への影響を最小限に抑えられる。

第三に、エッジでの防御を通過してくる可能性のあるトラフィックを考慮し、オリジンサーバー（実際のコンテンツが置かれているサーバー）の処理能力を適切に設計すること。たとえ1Gbpsの攻撃であっても、防御のないオリジンサーバーにとっては致命的な負荷になりうる。

第四に、たとえ短時間で終わる攻撃であっても、それをインシデントとして記録し、サービスへの影響や対応結果を文書に残すこと。これにより、将来の対策やシステム改善に役立てることができる。

これらの対策は、高度なセキュリティチームがなくても実施可能なものが多い。コストのかかるルートへのレート制限、自動で実行される緩和ポリシー、そして攻撃試行回数と成功回数を表示するダッシュボード。これらを組み合わせることで、多くのDDoS攻撃からサービスを保護できる。インフラ監視システムからのシンプルなアラートも有効で、大量のトラフィックが突然発生した際に、それが異常な攻撃であると迅速に認識できるような体制を整えることが重要だ。今日のDDoS攻撃は、かつてないほど頻繁かつ巧妙になっており、その対策は、すべてのシステムエンジニアにとって避けては通れない課題となっている。