클라우드플레어(Cloudflare)가 공개한 2026년 3분기 DDoS(분산서비스거부) 위협 보고서는 사이버 공격의 지형이 근본적으로 바뀌고 있음을 보여준다. 회사의 위협 정보팀인 '클라우드포스 원(Cloudforce One)'이 자사 네트워크 데이터를 분석한 결과다.

가장 두드러진 변화는 공격 규모의 양극화다. 10분 미만에 끝나고 대역폭 1Gbps 미만인 단기간·저용량 공격이 208% 폭증한 반면, 1Tbps를 넘는 초대형 공격은 69% 급감했다. 클라우드플레어는 상반기 805건에서 3분기 251건으로 내려앉은 초대형 공격을 두고 "초기 2026년 법 집행 활동의 영향"이라고 분석했다. 미국 법무부가 1월~3월 아이사루(Aisuru), 킴울프(KimWolf), 잭스키드(JackSkid), 모사드(Mossad) 등 4대 IoT(사물인터넷) 봇넷을 적발·격퇴한 결과다.

다만 IoT 봇넷은 여전히 진화 중이다. 3분기 중 디스포리아(Dysphoria), 에부투봇(Evooo1Bot) 같은 신종 변종이 출현했다. 마이라이(Mirai) 계열 공격이 당월 57.23PB를 차단했으며, 8월 16일·19일·23일·25일에는 각각 3PB를 초과하는 대규모 공격이 발생했다. 가장 오래 지속된 공격은 8월 19일부터 21일까지 49.7시간을 끌었다.

공격 수법의 급격한 전환

공격 기법의 변화는 더욱 급진적이다. CLDAP(연결리스 경량 디렉터리 접근 프로토콜) 공격이 99.5% 붕괴했다. 상반기에 580% 급증했던 CLDAP는 3분기에 전체 공격의 0.05%로 추락했다. CLDAP는 공개 도메인 컨트롤러(UDP 389 포트)를 속여 위조된 대역폭으로 표적을 타격하는 반사-증폭 방식으로 작동했는데, 공격자들이 갑자기 이 기법을 버린 것이다.

대신 DNS 증폭 공격이 215% 급증, 일반 UDP 플러드는 122% 증가했다. DNS는 작은 쿼리로 거대한 응답을 이끌어내는 원리로 CLDAP와 비슷하다. UDP 플러드는 표적 서버에 대량의 UDP 패킷을 전송해 처리 리소스를 소진하는 기법이다. 3분기 기준 UDP 플러드가 전체 네트워크 계층 공격의 31.31%를 차지했다.

공격 대상의 급격한 확대

산업별·지역별 공격 분포도 크게 달라졌다. 미국이 중국을 제치고 가장 공격을 많이 받는 국가로 돌아섰다. 캐나다는 16위에서 6위로, 이스라엘은 10위로 급상승했다. 캐나다는 수출입 분쟁과 맞물리면서 소매·통신·서비스 제공자 부문이 표적이 되었다. 이스라엘은 9월 중순 의회 선거 관련 논란 시기에 DDoS 활동이 집중되었다.

산업 측면에선 미디어·출판 부문의 지배력이 급락했다. 2분기 대비 4분 1 수준으로 내려앉았다. 대신 인터넷 인프라(6위), 소비자 서비스(8위), 성인 오락(9위)으로 공격 범위가 분산되었다.

규모의 의미

클라우드플레어는 Q3 전역에서 1820만 건의 네트워크 계층 DDoS 공격과 14.4조 건의 HTTP DDoS 요청을 자동 차단했다. 이는 시간당 약 8,226건, 초당 0.44초마다 1건의 공격에 해당한다. 일일 평균 19만 7,400건이다.

차단된 트래픽은 네트워크 계층 272.6PB, HTTP 계층 95.1PB였다.

산업적 함의

공격 수법의 빠른 전환과 신종 봇넷의 연속 등장은 공격자의 적응 능력이 강화되고 있음을 시사한다. 초대형 공격은 줄었지만, 소형·다중 공격으로 분산함으로써 적응 생존한다. DNS 플러드 같은 오래된 수법이 재부상하는 것도 기본으로 돌아가는 전략 변화를 보여준다.

국내 기업들도 이 추세에 주목할 필요가 있다. 한국은 IT 인프라 선진국으로 DDoS 표적 위험이 항상 높으며, 벤처·게임·금융사들이 특히 취약하다. 작고 많은 공격 증가는 기존의 초대형 공격 방어 정책만으로는 부족하고, 빠른 탐지와 분산 차단 체계의 강화가 필수적임을 의미한다.