Cloudflare báo cáo tấn công DDoS H1 2026: Số vụ vượt 1 Tbps tăng 519%, chuyển hướng sang tấn công DNS và nhắm mục tiêu địa chính trị

Báo cáo Mối đe dọa DDoS thứ 25 của Cloudflare trong nửa đầu năm 2026 đã ghi nhận một sự leo thang đáng kinh ngạc về quy mô và mức độ tinh vi của các cuộc tấn công từ chối dịch vụ phân tán (DDoS). Báo cáo nhấn mạnh sự gia tăng đột biến 519% so với quý trước của các cuộc tấn công vượt quá 1 terabit mỗi giây (Tbps), sự thay đổi cơ bản từ tấn công bằng botnet sang các kỹ thuật phản xạ/khuếch đại, và việc nhắm mục tiêu địa chính trị dữ dội vào các tổ chức truyền thông liên quan đến các cuộc chiến ở Ukraine, Iran cũng như FIFA World Cup . Cloudflare đã giảm thiểu kỷ lục 23,2 triệu cuộc tấn công DDoS lớp mạng và 29,64 nghìn tỷ yêu cầu DDoS HTTP trong sáu tháng đầu năm 2026 .

Câu lạc bộ 1 Tbps mở rộng

Phát hiện nổi bật nhất là sự bùng nổ số lượng các cuộc tấn công siêu khối lượng lớn. Cloudflare đã giảm thiểu 935 cuộc tấn công DDoS lớp mạng vượt quá 1 Tbps trong nửa đầu năm 2026, so với chỉ 219 vụ trong quý 4 năm 2025 . Sự tăng trưởng tăng tốc mạnh từ quý 1 sang quý 2: 130 vụ tấn công trên 1 Tbps được ghi nhận trong quý 1, tăng lên 805 vụ trong quý 2 — tăng gấp sáu lần . Một số nguồn khác mô tả đây là mức tăng gấp năm lần giữa hai quý . Nhìn chung, số vụ tấn công 1 Tbps đã tăng 519% theo quý . Cloudflare lưu ý rằng các tin tặc hiện có thể thực hiện các cuộc tấn công ở quy mô này "với nhịp độ hàng trăm vụ mỗi quý" .

Bất chấp sự gia tăng của các cuộc tấn công lớn nhất, năm 2026 không thiết lập các kỷ lục mới về quy mô của từng cuộc tấn công riêng lẻ. Kỷ lục đó thuộc về năm 2025, khi mức cao nhất tăng từ 5,6 Tbps vào tháng 1 lên 31,4 Tbps vào tháng 12 . Trong nửa đầu năm 2026, tháng 4 là đỉnh điểm với Cloudflare ghi nhận mức tối đa 6,46 Tbps .

Sự thay đổi trong vector tấn công: DNS và CLDAP thống trị

Báo cáo ghi nhận một sự thay đổi rõ rệt về trọng tâm của các vector tấn công, chuyển từ tấn công bằng botnet sang các kỹ thuật phản xạ và khuếch đại . Các cuộc tấn công dựa trên DNS — bao gồm cả DNS Flood và DNS Amplification — đã trở thành vector chiếm ưu thế, chiếm 34,3% tổng số hoạt động lớp mạng trong nửa đầu năm 2026 . Riêng DNS Floods đã tăng từ 25,7% lên 40,0% các cuộc tấn công lớp mạng theo quý . CLDAP Floods tăng vọt 580% theo quý, trở thành vector phổ biến thứ ba trong quý 2 . Bản tóm tắt của Cloudflare lưu ý rằng các cuộc tấn công này "được thúc đẩy mạnh mẽ bởi các vector phản xạ DNS và CLDAP" .

Ngoài các cuộc tấn công khối lượng lớn, báo cáo cũng cảnh báo về sự gia tăng của các cuộc tấn công lớp 7 (Layer 7) chính xác. Các cuộc tấn công này không tạo ra tín hiệu khối lượng, khiến chúng vô hình trước các logic phát hiện được điều chỉnh cho băng thông và tốc độ gói tin. Kết quả là, các API vẫn là bề mặt không được bảo vệ thường xuyên, với các quy tắc giới hạn tốc độ bị cấu hình sai hoặc không có, và phạm vi bảo vệ WAF không đầy đủ khiến các điểm cuối bị lộ .

Mục tiêu địa chính trị: Truyền thông dưới làn đạn

Các xung đột địa chính trị đã định hình mạnh mẽ các mô hình nhắm mục tiêu trong nửa đầu năm 2026. Các cuộc chiến đang diễn ra ở Ukraine và Iran, cùng với FIFA World Cup, đã thúc đẩy một làn sóng các cuộc tấn công DDoS có động cơ địa chính trị nhằm vào các tổ chức truyền thông . Lĩnh vực truyền thông, sản xuất và xuất bản là ngành bị nhắm mục tiêu nhiều nhất, chiếm 14,2% tổng số các cuộc tấn công DDoS được phát động kể từ ngày 1 tháng 1 . Trong sáu tháng đầu năm, lĩnh vực này đã hứng chịu số vụ tấn công gần gấp bốn lần so với ngành đứng thứ hai . Bối cảnh địa chính trị thay đổi đã định hình lại triệt để quốc gia và ngành nghề nào thường xuyên bị nhắm mục tiêu nhất .

Khối lượng tấn công tổng thể kỷ lục

Mạng lưới của Cloudflare đã giảm thiểu 23,2 triệu cuộc tấn công DDoS lớp mạng trong nửa đầu năm 2026 — tương đương với khoảng 5.343 vụ tấn công mỗi giờ, hay khoảng 128.000 vụ mỗi ngày . Ngoài ra, công ty đã xử lý 29,64 nghìn tỷ yêu cầu DDoS HTTP trong cùng kỳ . Những con số này tiếp nối xu hướng tăng trưởng hàng năm; trong suốt năm 2025, Cloudflare đã quan sát thấy 47,1 triệu cuộc tấn công DDoS, với các cuộc tấn công lớp mạng tăng hơn gấp ba lần so với năm trước .

Tác động của thực thi pháp luật

Mặc dù báo cáo và các bài viết về nó có đề cập đến thực thi pháp luật trong bối cảnh rộng hơn của các mối đe dọa mạng, các nguồn có sẵn không cung cấp chi tiết cụ thể về các hành động thực thi pháp luật hoặc tác động của chúng đối với các xu hướng DDoS trong nửa đầu năm 2026. Trọng tâm chính của báo cáo là về khối lượng tấn công, vector và các động lực địa chính trị.

Những điểm chính

• Các cuộc tấn công DDoS siêu khối lượng đang trở nên phổ biến: 935 vụ vượt quá 1 Tbps trong nửa đầu năm 2026, với mức tăng 519% theo quý.
• Tin tặc đã chuyển từ tấn công botnet sang các vector phản xạ/khuếch đại DNS và CLDAP, hiện chiếm ưu thế trong hoạt động lớp mạng.
• Các sự kiện địa chính trị — đặc biệt là chiến tranh ở Ukraine và Iran cùng FIFA World Cup — đang thúc đẩy việc nhắm mục tiêu dữ dội vào các tổ chức truyền thông.
• Khối lượng tấn công tổng thể vẫn ở mức kỷ lục, với 23,2 triệu cuộc tấn công lớp mạng và 29,64 nghìn tỷ yêu cầu DDoS HTTP được giảm thiểu trong sáu tháng.
• Các nguồn có sẵn không nêu chi tiết các tác động cụ thể của việc thực thi pháp luật đối với xu hướng DDoS trong giai đoạn này.