Plus de 9,1 millions d’attaques en six mois, et des offensives au-delà du térabit qui bondissent de 1 286 % sur un an : le dernier rapport de NETSCOUT décrit une menace plus massive, plus brève et plus difficile à repérer. Les protections installées une fois pour toutes, et jamais vraiment éprouvées, sont mises à rude épreuve. Simon Bonin, expert cybersécurité chez IMS Networks, défend une protection comprise, testée et réglée application par application.
Il fut un temps où une attaque à 1 Tbps relevait de l’exploit. Ce temps est révolu. Entre janvier et juin 2026, NETSCOUT a recensé plus de 9,1 millions d’attaques DDoS dans 209 pays et territoires, et celles qui dépassent 1 Tbps ou 1 Gpps ont progressé de 1 286 % d’une année sur l’autre. “Les incidents de grande capacité ne sont plus des anomalies, mais sont désormais monnaie courante”, tranche Hardik Modi, VP Engineering, DDoS Solutions, and ASERT Threat Intelligence Team chez NETSCOUT.
L’IPv6, longtemps resté en marge, entre à son tour dans la cour des grands. NETSCOUT y a observé sa première attaque au-delà de 1 Tbps, tandis que le nombre d’attaques IPv6 nécessitant une atténuation active a grimpé de plus de 300 % sur un an. Et ce, alors même que leur part dans le total est restée globalement stable. Autrement dit, le protocole n’attire pas davantage les assaillants, mais leurs offensives y frappent plus fort.
Plus courtes, plus diffuses, plus difficiles à démasquer
Le volume n’est qu’une partie du problème. Les méthodes dites « direct path » représentent désormais 64 % des attaques observées et gagnent du terrain pour le troisième semestre consécutif. Le « carpet bombing », qui arrose de larges plages d’adresses, passe de 3,97 % à 4,54 %. Quant aux attaques sortantes dépassant 1 Tbps ou 1 Gpps, elles ont eu de réelles répercussions opérationnelles chez les opérateurs. Le rapport résume ce risque en trois dimensions : davantage de trafic à inspecter, davantage de points où déployer l’atténuation, et une part croissante d’attaques qui perturbent les services sans jamais saturer une liaison.
Le chronomètre, lui, s’emballe. La proportion d’attaques d’une minute ou moins a quasiment doublé depuis le second semestre 2023. Ces salves éclair éprouvent les tables de connexion, les backends applicatifs et les résolveurs DNS, et trahissent l’influence des plateformes de DDoS à la demande, qui raccourcissent considérablement le chemin vers le passage à l’acte. Dernier signal, et non des moindres : en croisant le suivi des réseaux de proxys résidentiels avec sa télémétrie DDoS, l’équipe ASERT de NETSCOUT a identifié des proxys résidentiels participant à des attaques. Le trafic malveillant peut ainsi émaner d’adresses IP grand public, bien plus délicates à distinguer du trafic légitime. Face à cette sophistication, Hardik Modi juge les contrôles réseau traditionnels « trop généraux » et plaide pour des mesures d’atténuation “plus précises et sélectives”.
L’airbag que personne n’a jamais testé
Précision, sélectivité : c’est précisément là que le bât blesse. Simon Bonin, expert cybersécurité chez IMS Networks, observe que de nombreuses entreprises considèrent leur protection anti-DDoS, souvent glissée dans un bundle réseau ou sécurité, comme un dispositif « plug & play ». Une sorte d’airbag, présent au cas où, dont on ignore à peu près tout du fonctionnement réel. Un pari confortable au quotidien, beaucoup moins le jour de la crise.
Pour reprendre la main, l’expert recommande de commencer par deux ou trois ateliers techniques dès le déploiement, afin de cartographier les flux : quelles applications sont exposées, quels types de trafic circulent, lesquels regrouper ou isoler, quels modules leur associer. Vient ensuite une phase de « simulation » de sept à quatorze jours, pour débusquer les faux positifs, retrouver des applications oubliées ou repérer des flux qui mériteraient d’être séparés. Les surprises ne sont pas rares. Simon Bonin cite le cas d’une application censée avoir été décommissionnée et pourtant toujours utilisée. Le chantier anti-DDoS se mue alors en véritable exercice de connaissance du système d’information.
La mise en protection, menée de façon coordonnée avec le client, n’est pas une fin en soi. Pour Simon Bonin, les protections robustes sont celles qui ont été testées à plusieurs reprises puis améliorées, une démarche encore peu répandue même si le stress test préoccupe de plus en plus les responsables sécurité des grands groupes. Les entreprises régulièrement ciblées disposent d’un retour d’expérience grandeur nature. Les autres doivent passer par la simulation pour révéler leurs angles morts.
Et lorsque l’attaque a bien eu lieu, il faut la disséquer. Simon Bonin prend l’exemple d’un serveur DNS tombé au combat : sur le papier, il devait encaisser 6 000 requêtes par seconde, mais il n’en était peut-être pas capable, ou recevait en parallèle du trafic d’un second opérateur. Abaisser le seuil permet alors de bloquer plus tôt, au plus près de ce que le serveur supporte réellement. Dans d’autres cas, il faudra activer un module laissé en sommeil par crainte des faux positifs. Certaines organisations optent pour un module en simulation au quotidien, qui bascule automatiquement en protection, avec une politique volontairement durcie, dès que les volumes deviennent inhabituels. Tout se joue sur la criticité des applications. Sur tel service, l’entreprise acceptera qu’une petite part de trafic légitime soit rejetée pendant l’attaque pour préserver la disponibilité globale. Sur tel autre, aucun faux positif ne sera toléré. La GeoIP peut aussi entrer en scène, par exemple pour n’autoriser temporairement que des adresses IP françaises.
La bataille se joue à la seconde
Reste un indicateur trop souvent négligé selon l’expert : le « time to mitigate », soit le délai entre le début de l’attaque et le moment où le trafic est effectivement nettoyé. Dans une architecture inline, l’équipement est en permanence sur le chemin du trafic, à l’entrée du backbone opérateur. Il voit tout, tout de suite, et peut réagir en quelques secondes face à des pics volumétriques importants. D’autres architectures reposent sur une détection suivie d’une redirection vers un centre de scrubbing, avec des délais que certaines solutions annoncent à une ou deux minutes.
Un écart qui change tout face aux attaques « hit and run ». Simon Bonin décrit le scénario : un pic extrêmement violent de trente secondes fait tomber ou redémarrer un firewall, puis l’offensive reprend dix ou quinze minutes plus tard. Si la mitigation démarre au bout d’une minute, le pic est déjà passé, et l’équipement a encaissé le choc. Rapportée à la montée en puissance des attaques d’une minute ou moins relevée par NETSCOUT, la démonstration fait mouche.
La capacité ne peut donc plus être pensée sans la vitesse de réaction. Aucune entreprise ne peut absorber seule tous les volumes, rappelle Simon Bonin, et c’est à l’opérateur de dimensionner son infrastructure selon le nombre de clients protégés, le risque d’attaques simultanées et les volumes plausibles. Pour s’assurer qu’une solution protège vraiment, il faut savoir comment elle fonctionne, ce qu’elle voit, à quelle vitesse elle agit, ce qu’elle permet d’ajuster, et si son niveau de protection colle réellement à la criticité des services exposés. Bref, cesser de la traiter comme un airbag
