Cloudflare meldt dat aanvallers in het derde kwartaal van 2026 bijzonder actief waren met network-layer DDoS. In totaal werden 18,2 miljoen L3-aanvallen (network layer) automatisch afgevangen. Dat klinkt als een technische statistiek, maar het vertaalt zich naar een heel concreet beeld: vrijwel continu verkeer dat probeert een dienst te verstoren.
Waar eerdere pieken vooral opgingen aan volume, zien we nu ook een duidelijke verschuiving in aanvalsvormen. Kortdurende aanvallen nemen toe, terwijl extreem grote aanvallen minder vaak voorkomen. Voor organisaties betekent dit: uw verdediging moet niet alleen ‘groot’ kunnen schalen, maar ook snel en gedetailleerd kunnen reageren op varianten die kort opstarten en weer verdwijnen.
18,2 miljoen L3-aanvallen in Q3 2026
Volgens Cloudflare kwamen er in Q3 ongeveer 197.400 network-layer aanvallen per dag voorbij. Dat komt neer op gemiddeld één aanval elke 0,44 seconden. Daarnaast rapporteert het bedrijf dat er in dezelfde periode 14,4 biljoen HTTP DDoS requests werden gezien, naast de L3-aanvallen.
Ter vergelijking: in Q2 werden 13,2 miljoen L3-aanvallen genoteerd en in Q1 10,0 miljoen. De stijging is dus geen kleine fluctuatie, maar een duidelijke trend omhoog.
Booster- en stresserdiensten drijven de aantallen op
Cloudflare koppelt de toename aan DDoS-for-hire booter- of stresserdiensten. Zulke diensten verlagen de drempel om aanvallen uit te voeren, waardoor meer partijen sneller en vaker kunnen proberen. In de rapportage gaat het niet alleen om ‘meer aanvallen’, maar ook om het type aanval: vaak kort, gericht en voldoende om systemen onder druk te zetten.
Een opvallende subtrend is dat short-burst, low-bandwidth aanvallen toenamen. Cloudflare noemt hierbij aanvallen die minder dan 10 minuten duren en met een bandbreedte van rond 1 Gbps. Deze categorie steeg volgens de threat intelligence-gegevens met 208%.
Minder hyper-volumetrische DDoS, meer varianten
Niet alle cijfers wijzen dezelfde kant op. Cloudflare ziet namelijk een daling van hyper-volumetrische aanvallen boven 1 Tbps. Die daling bedraagt 69% ten opzichte van het vorige kwartaal: van 805 aanvallen in Q2 naar 251 in Q3.
Als verklaring noemt Cloudflare dat er eerder acties zijn geweest tegen diensten en actoren. In de berichtgeving worden namen genoemd van partijen die eerder in maart onder de aandacht kwamen van wetshandhaving, waardoor het landschap tijdelijk lijkt te veranderen.
Maar de dreiging is daarmee niet weg. Cloudflare waarschuwt juist voor het opduiken van nieuwe varianten, waaronder Dysphoria en Evooo1Bot. Dat betekent voor verdedigers: houd rekening met nieuwe methodes, niet alleen met bekende signatures.
CLDAP-fluods dalen, DNS-amplificatie groeit
Naast aantallen zijn er ook verschuivingen in technieken. Cloudflare meldt dat Connectionless Lightweight Directory Access Protocol (CLDAP) floods afnemen. Daartegenover staat een duidelijke groei van DNS-amplificatie: dat type aanval steeg met 215%.
DNS-amplificatie vertegenwoordigt daarmee 3,43% van alle network-layer aanvallen. Dat lijkt op het eerste gezicht relatief klein, maar het kan in de praktijk alsnog grote impact hebben, zeker wanneer DNS-verkeer wordt gebruikt om bandbreedte en verwerking te overspoelen.
Welke sectoren en landen het vaakst geraakt worden
Cloudflare geeft ook context over waar de druk het hoogst is. In de rapportage worden als meest doelgerichte sectoren genoemd: media, productie en publishing, informatie-technology en services, gokken en casino’s, computersoftware en telecomproviders.
Qua geografische spreiding komen volgens het overzicht de VS, China, Indonesië, het Verenigd Koninkrijk en Türkiye naar voren als meest aangevallen landen. Verder komen Canada en Israël in de top 10, met in de verklaring aanvallen die zich richten op de detailhandel, telecom en marketing in Canada.
Het patroon laat vooral zien dat aanvallen op schaal plaatsvinden en dat regionale sectoren specifieke aantrekkingskracht kunnen hebben. Voor organisaties is dat een reden om niet alleen naar ‘land van herkomst’ te kijken, maar vooral naar uw eigen blootstelling: welke services zijn publiek, welke protocollen zijn kwetsbaar voor amplificatie en hoe snel herkent u afwijkingen?
Wat kun je nu doen tegen network-layer DDoS?
Op basis van dit soort cijfers is de belangrijkste conclusie niet dat aanvallen ‘onvermijdelijk’ zijn, maar dat uw aanpak mee moet bewegen met het type aanval. Kortdurende bursts kunnen een andere responsstrategie vragen dan langdurige aanvallen met constant volume.
- Prioriteer mitigatie op L3-verkeer: als defense alleen op applicatieniveau zit, mist u mogelijk de vroege signalen van network-layer varianten.
- Werk met detectie op gedrag: omdat aanvallen snel variëren, helpt het om te letten op afwijkende patronen (zoals burst-kenmerken) in plaats van uitsluitend op vaste regels.
- Let extra op DNS- en directory-gerelateerde vectoren: met de groei van DNS-amplificatie is het slim om te controleren hoe DNS-verkeer wordt afgehandeld en gefilterd.
- Test escalatieprocedures: bij frequentie van ‘aanval elk moment’ wil je weten wie ingrijpt, welke checks worden gedaan en hoe snel je capaciteit opschaalt.
Als je wilt verdiepen in praktische remediatie en het verbeteren van responseprocessen, kan dit artikel helpen: Veilige security-remediatie: Observe, Prove, Act.
Waarom dit ook raakt aan cloud- en AI-incidenten
Hoewel Cloudflare in dit rapport specifiek focust op DDoS op de network layer, is de bredere les dat aanvallers steeds vaker meerdere sporen combineren: beschikbaarheidsaanvallen kunnen tegelijk worden ingezet om teams te overbelasten of om andere activiteiten te camoufleren. Dat is relevant in een omgeving waar meer systemen en automatisering tegelijk draaien.
In eerdere berichtgeving op deze site is ook beschreven hoe misbruik van publieke koppelingen en sessies tot inhoudelijke schade kan leiden. Ter vergelijking: Aangevallen via gedeelde ChatGPT-link: code in sessie. Het onderwerp is anders, maar het uitgangspunt (snelheid en schaal van aanvallen) is hetzelfde.
Conclusie: mitigatie moet nu én morgen kloppen
Cloudflare’s Q3-rapport laat zien dat network-layer DDoS in rap tempo vaker voorkomt. De aantallen groeien, short-burst aanvallen nemen toe en DNS-amplificatie wordt prominenter. Tegelijk daalt het aantal hyper-volumetrische aanvallen, wat erop wijst dat het speelveld in beweging blijft.
Voor beveiligingsteams is dit het moment om mitigatie niet alleen te baseren op ‘grote’ incidenten, maar ook op snelle detectie en respons op nieuwe varianten. Wie zijn L3-verdediging, escalatie en filterstrategie op tijd op orde heeft, staat beter voorbereid op de volgende aanvalsgolf.
Bron: https://thehackernews.com/2026/10/cloudflare-reports-182-million-network.html
