클라우드플레어 “상반기 디도스 2320만건, 초대형 공격 519% 급증”

클라우드플레어(Cloudflare)는 올해 상반기 자사 네트워크에서 2320만건의 네트워크 계층 분산서비스거부(DDoS, 디도스) 공격을 완화했다고 13일 밝혔다. 초당 1테라비트(Tbps)를 넘는 대규모 공격은 상반기 935건으로 집계됐으며 2분기에는 1분기보다 519% 증가했다.

클라우드플레어의 위협 인텔리전스 조직 ‘클라우드포스 원(Cloudforce One)’은 이날 ‘2026년 상반기 DDoS 위협 보고서’를 공개했다. 이번 보고서는 올해 1월부터 6월까지 클라우드플레어 네트워크에서 관측한 데이터를 분석했다. 회사가 분기 단위로 내던 디도스 위협 보고서를 반기 단위로 통합한 것은 이번이 처음이다.

상반기 클라우드플레어가 완화한 네트워크 계층 디도스 공격은 시간당 약 5343건, 하루 약 12만8000건에 해당한다. 같은 기간 차단한 하이퍼텍스트 전송 프로토콜(HTTP) DDoS 요청은 29조6400억건으로 집계됐다. 공격 활동은 4월 정점을 기록했다. 당시 HTTP DDoS 요청은 6조4600억건, 공격 트래픽은 165페타바이트(PB)에 달했다.

특히 대규모 공격의 증가세가 두드러졌다. 클라우드플레어는 초당 1Tbps, 초당 10억패킷(Bpps), 초당 100만요청(Mrps) 가운데 하나를 넘는 공격을 ‘대규모 볼류메트릭 디도스’로 분류한다. 2분기에만 1Tbps를 초과한 네트워크 계층 공격 805건을 완화했다. 1분기 대비 6배 이상 늘어난 규모다.

전체 공격은 대체로 짧게 끝났다. 상반기 네트워크 계층 DDoS 공격의 90.60%는 10분 이내에 종료됐다. 공격 규모도 96.62%가 500Mbps 미만이었다. 다만 클라우드플레어는 짧은 공격도 네트워크 장비와 애플리케이션에 장애를 일으킬 수 있다고 분석했다. 회사가 앞서 관측한 대규모 공격 가운데는 시작부터 종료까지 35초에 불과한 사례도 있었다.

공격 방식에도 변화가 나타났다. 도메인이름시스템(DNS)을 이용한 공격은 상반기 전체 네트워크 계층 공격의 34.3%를 차지했다. DNS 폭주 공격이 차지하는 비중은 1분기 25.7%에서 2분기 40.0%로 증가했다.

DNS 폭주는 다수의 장비에서 대량의 DNS 요청을 보내 서버의 처리 용량을 소진시키는 방식이다. DNS 서버가 정상적인 요청에 응답하지 못하도록 만들어 해당 서버에 의존하는 웹사이트와 서비스의 접속을 방해한다.

연결 없는 경량 디렉터리 접근 프로토콜(CLDAP)을 악용한 공격도 증가했다. 2분기 CLDAP 폭주 공격은 전 분기보다 580% 늘어 세 번째로 많이 관측된 네트워크 공격 방식이 됐다. 공격자는 외부에 노출된 서버에 출발지 인터넷주소(IP)를 피해자의 주소로 위조한 소량의 요청을 보낸다. 서버가 원래 요청보다 훨씬 큰 응답을 피해자에게 보내도록 만드는 반사·증폭 방식이다.

공격 대상에서는 미디어·제작·출판 분야가 상반기 두 분기 모두 1위를 기록했다. 이 분야를 대상으로 클라우드플레어가 완화한 요청은 전체 HTTP 디도스 요청의 14.2%를 차지했다. 2위 업종보다 약 4배 높은 비중이다. 정부 부문은 1분기 29위에서 2분기 9위로 20계단 상승했다. 클라우드플레어는 이란과 우크라이나 관련 지정학적 긴장과 주요 국제 행사를 둘러싼 관심이 공격 대상 변화와 맞물렸다고 분석했다.

지역별로는 2분기 중국을 겨냥한 HTTP 디도스 요청이 전 세계의 22.4%로 가장 많았다. 미국은 18.8%로 뒤를 이었다. 공격 트래픽의 출발지를 기준으로 보면 상반기 브라질이 14.9%로 가장 높은 비중을 차지했고 미국은 13.4%였다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network