TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
Cloudflare เผย DDoS Threat Report ประจำไตรมาส 3 ปี 2026 พบการโจมตีแบบสั้นและขนาดเล็กเพิ่มขึ้น 208% ขณะที่การโจมตีขนาดใหญ่เกิน 1 Tbps ลดลงเกือบ 69% ซึ่งอาจเป็นผลจากการที่หน่วยงานบังคับใช้กฎหมายทลาย IoT botnet รายใหญ่ 4 กลุ่มเมื่อต้นปี
รายงานฉบับนี้เป็นฉบับที่ 26 จัดทำโดย Cloudforce One ทีม Threat Intelligence ของ Cloudflare ครอบคลุมช่วงเดือนกรกฎาคมถึงกันยายน 2026 และกลับมาออกเป็นรายไตรมาสอีกครั้งหลังจากรวมข้อมูลครึ่งปีแรกไว้ในฉบับเดียว ในไตรมาสนี้ Cloudflare บล็อกการโจมตี DDoS ระดับ network-layer ได้ 18.2 ล้านครั้ง และ HTTP DDoS request อีก 14.4 ล้านล้านรายการ คิดเป็นการโจมตีระดับ network-layer เฉลี่ยราว 8,226 ครั้งต่อชั่วโมง หรือประมาณ 197,400 ครั้งต่อวัน (1 ครั้งทุก 0.44 วินาที) ปริมาณทราฟฟิกที่ถูกบล็อกรวม 272.6 PB ในระดับ network-layer และ 95.1 PB ในระดับ HTTP
การโจมตีที่สั้น มีขนาดไม่ใหญ่ แต่เกิดขึ้นจำนวนมาก ซึ่งเป็นรูปแบบเฉพาะของบริการ DDoS-for-hire หรือ booter เพิ่มขึ้นอย่างเห็นได้ชัด จำนวนการโจมตีระดับ network-layer เพิ่มขึ้น 208% เมื่อเทียบกับไตรมาสเดียวกันของปี 2025 โดย 96% จบลงภายใน 10 นาที และ 98% มีขนาดไม่ถึง 1 Gbps ซึ่งก็มากพอที่จะทำให้เซิร์ฟเวอร์หรือเว็บไซต์ใช้งานไม่ได้ เป้าหมายหลักของการโจมตีกลุ่มนี้คืออุตสาหกรรมซอฟต์แวร์ การพนันและคาสิโน และ IT ในทางกลับกัน hyper-volumetric attack ที่มีขนาดเกิน 1 Tbps ลดลงจาก 805 ครั้งใน Q2 เหลือ 251 ครั้ง ซึ่งเกิดขึ้นในช่วงเดียวกับที่หน่วยงานบังคับใช้กฎหมายทลาย IoT DDoS botnet รายใหญ่ 4 กลุ่ม ได้แก่ Aisuru, KimWolf, JackSkid และ Mossad เมื่อต้นปี 2026 อย่างไรก็ตาม IoT botnet ยังเป็นภัยคุกคามที่สร้างทราฟฟิกปริมาณสูงได้ต่อเนื่อง เพราะยังมีสายพันธุ์ใหม่อย่าง Dysphoria และ Evooo1Bot เกิดขึ้นมาเรื่อยๆ การบล็อกทราฟฟิกที่จัดเป็น Mirai สูงสุดในเดือนสิงหาคมที่ 57.23 PB คิดเป็น 46.5% ของปริมาณข้อมูลระดับ network-layer ที่ถูกบล็อกทั้งหมดใน Q3 ส่วนการโจมตีจาก Mirai ที่ยาวนานที่สุดในไตรมาสนี้กินเวลา 49.7 ชั่วโมง ระหว่างวันที่ 19-21 สิงหาคม
ด้านเทคนิคการโจมตี ผู้โจมตีเปลี่ยนรูปแบบ reflection และ amplification อย่างชัดเจน โดย CLDAP (Connectionless Lightweight Directory Access Protocol) ใช้วิธีปลอม IP ของเหยื่อส่ง query ขนาดเล็กไปยัง domain controller สาธารณะ (UDP 389) เพื่อให้ตอบกลับด้วยข้อมูลขนาดใหญ่ไปยังเป้าหมาย ซึ่ง CLDAP เคยเพิ่มขึ้นถึง 580% ในครึ่งปีแรก แต่ลดลง 99.5% เมื่อเทียบกับไตรมาสก่อน เหลือเพียง 0.05% ของการโจมตีทั้งหมดใน Q3 ขณะที่ DNS amplification ซึ่งใช้ open DNS resolver ในรูปแบบเดียวกันเพิ่มขึ้น 215% คิดเป็น 3.43% ของการโจมตีระดับ network-layer ส่วน UDP flood รูปแบบอื่นเพิ่มขึ้น 122% จาก 14.06% เป็น 31.31% เนื่องจาก UDP เป็นโปรโตคอลแบบ connectionless ผู้โจมตีจึงส่ง UDP packet จำนวนมากไปยังพอร์ตของเป้าหมาย บังคับให้ระบบต้องตรวจสอบว่ามีแอปพลิเคชันรอรับที่พอร์ตนั้นหรือไม่และตอบกลับจนสิ้นเปลืองทรัพยากรเครือข่ายและการประมวลผล
เป้าหมายการโจมตีกระจายตัวกว้างขึ้นทั้งในแง่อุตสาหกรรมและพื้นที่ แม้ Media, Production & Publishing จะยังเป็นอุตสาหกรรมที่ถูกโจมตีมากที่สุด แต่สัดส่วนลดลงเหลือราวหนึ่งในสี่ของ Q2 ขณะที่ Internet ขยับจากนอก 10 อันดับแรกขึ้นมาอยู่อันดับ 6 ตามด้วย Consumer Services อันดับ 8 และ Adult Entertainment อันดับ 9 ในส่วนของพื้นที่ สหรัฐฯ กลับมาเป็นประเทศที่ถูกโจมตีมากที่สุดแทนจีนซึ่งตกไปอยู่อันดับ 2 และอินโดนีเซียขึ้นมาอยู่อันดับ 3 ที่ 2.93% ของการโจมตีทั้งหมด แคนาดาขยับจากอันดับ 16 ขึ้นมาอยู่อันดับ 6 จากการโจมตีอุตสาหกรรม Retail, Telecommunications, Service providers & carriers และ Marketing & advertising ในช่วงที่มีข้อพิพาททางการค้า ส่วนอิสราเอลขยับขึ้น 7 อันดับมาอยู่อันดับ 10 จากการโจมตี DDoS ต่อเนื่องในช่วงกลางเดือนกันยายน
Cloudflare ระบุว่าการโจมตีส่วนใหญ่จบลงก่อนที่นักวิเคราะห์จะเห็นการแจ้งเตือนด้วยซ้ำ และการโจมตีเกิน 1 Tbps ยังเกิดขึ้นในระดับหลักร้อยครั้งต่อไตรมาส ระบบตรวจจับและบล็อกการโจมตีจึงต้องทำงานได้อัตโนมัติโดยไม่ต้องรอคน นอกจากนี้ Cloudflare ยังเปิดให้ผู้ให้บริการ Hosting, Cloud และ ISP ใช้ DDoS Botnet Threat Feed ได้ฟรี เพื่อระบุและปิด IP address หรือบัญชีที่ใช้เปิดการโจมตี ซึ่งปัจจุบันมีเครือข่ายทั่วโลกสมัครใช้งานแล้วกว่า 800 เครือข่าย ผู้ที่ต้องการติดตามแนวโน้มการโจมตีแบบต่อเนื่องสามารถดูข้อมูลได้ที่ Cloudflare Radar
ที่มา: https://blog.cloudflare.com/ddos-threat-report-2026-q3/
