Serangan Distributed Denial of Service (DDoS) terus berkembang, baik dari sisi skala maupun teknik yang digunakan. Pada paruh pertama 2026, Cloudflare mencatat peningkatan tajam pada serangan berkapasitas sangat besar, pergeseran menuju teknik reflection dan amplification, serta pengaruh berbagai peristiwa geopolitik terhadap pola serangan di sejumlah sektor dan wilayah.
Melalui Cloudflare DDoS Threat Report H1 2026, Cloudforce One, organisasi Threat Intelligence Cloudflare, menganalisis perkembangan lanskap ancaman DDoS berdasarkan data dari jaringan global Cloudflare. Untuk pertama kalinya, laporan ini menggabungkan data kuartal pertama dan kedua 2026 dalam satu edisi yang mencakup periode Januari hingga Juni 2026.
Hasilnya menunjukkan bahwa ancaman DDoS tidak hanya semakin besar, tetapi juga semakin beragam. Selama enam bulan pertama 2026, Cloudflare telah memitigasi 23,2 juta serangan DDoS pada network layer dan 29,64 triliun permintaan HTTP DDoS. Angka tersebut setara dengan sekitar 5.343 serangan DDoS network layer setiap jam, atau sekitar 128.000 serangan setiap hari.
Sorotan Utama DDoS pada Paruh Utama 2026
Beberapa perkembangan utama menjadi perhatian dalam laporan DDoS H1 2026.
Pertama, jumlah serangan dengan volume lebih dari 1 Tbps meningkat secara signifikan. Cloudflare memitigasi total 935 serangan network-layer DDoS yang melampaui 1 Tbps selama paruh pertama 2026. Jumlah tersebut mengalami lonjakan sebesar 519% secara kuartal ke kuartal (QoQ) dari Q1 ke Q2.
Kedua, terjadi perubahan pada teknik serangan yang paling banyak digunakan. Jika sebelumnya serangan berbasis botnet menjadi perhatian utama, kini teknik reflection dan amplification semakin dominan. Serangan berbasis DNS menyumbang 34,3% dari seluruh aktivitas DDoS pada network layer selama H1 2026. Sementara itu, DNS Flood meningkat dari 25,7% menjadi 40% dari seluruh serangan network layer secara QoQ.
Ketiga, faktor geopolitik dan berbagai peristiwa global turut memengaruhi lanskap DDoS. Sektor Media, Production & Publishing menjadi industri yang paling banyak diserang pada kedua kuartal, dengan kontribusi 14,2% dari seluruh HTTP DDoS request yang dimitigasi. Pada saat yang sama, sektor Government mengalami lonjakan peringkat terbesar sepanjang 2026 hingga periode tersebut, dari posisi #29 pada Q1 menjadi #9 pada Q2.
Lebih dari 5.300 Serangan DDoS Setiap Jam
Memasuki pertengahan tahun, skala serangan yang berhasil dimitigasi Cloudflare menunjukkan betapa masifnya aktivitas DDoS saat ini. Sepanjang Januari hingga Juni 2026, Cloudflare memitigasi 23,2 juta serangan DDoS pada network layer dan 29,64 triliun HTTP DDoS requests. Jika dirata-ratakan, terdapat sekitar 5.343 serangan DDoS network layer setiap jam, atau sekitar 128.000 serangan setiap hari.
Aktivitas serangan mencapai salah satu titik tertingginya pada April 2026, ketika volume mencapai 6,46 triliun request dan 165 petabyte (PB). Besarnya volume tersebut dapat memberikan gambaran mengenai skala trafik yang harus ditangani oleh sistem pertahanan DDoS modern.
Setelah April, jumlah request dan volume serangan mengalami penurunan. Salah satu kemungkinan faktor yang berkontribusi adalah Operation PowerOFF, operasi penegakan hukum internasional yang melibatkan 21 negara. Operasi tersebut menargetkan lebih dari 75.000 pengguna layanan DDoS-for-hire, menutup 53 domain, menerbitkan 25 surat penggeledahan, serta menghasilkan empat penangkapan.
Penurunan aktivitas setelah operasi tersebut menunjukkan bahwa upaya penegakan hukum dan penghapusan infrastruktur DDoS-for-hire dapat memberikan dampak terhadap ekosistem serangan.
Serangan Hyper-Volumetric Meningkat Lebih dari Enam Kali Lipat
Salah satu tren paling menonjol pada H1 2026 adalah meningkatnya serangan dengan volume yang sangat besar atau hyper-volumetric DDoS. Cloudflare mengategorikan serangan sebagai hyper-volumetric apabila melampaui salah satu dari tiga ambang batas berikut:
- 1 terabit per second (Tbps)
- 1 billion packets per second (Bpps)
- 1 million requests per second (Mrps)
Pada Q2 2026 saja, Cloudflare memitigasi 805 serangan network-layer yang melampaui 1 Tbps. Jumlah tersebut meningkat lebih dari enam kali lipat dibandingkan kuartal sebelumnya.
Peningkatan ini menunjukkan bahwa serangan DDoS berskala sangat besar bukan lagi kejadian yang jarang ditemukan. Infrastruktur internet kini harus menghadapi serangan yang mampu menghasilkan trafik dalam skala yang sebelumnya hanya diasosiasikan dengan kapasitas jaringan terbesar.
Serangan DDoS Bisa Berlangsung Singkat, tetapi Dampaknya Tidak
Meskipun serangan hyper-volumetric mengalami peningkatan, karakteristik mayoritas serangan DDoS yang dimitigasi Cloudflare sebenarnya masih relatif kecil dan berlangsung singkat.
Selama paruh pertama 2026, sebanyak 96,62% serangan network-layer berada di bawah 500 Mbps, sementara 90,60% serangan berakhir dalam waktu kurang dari 10 menit. Namun, istilah “kecil” perlu dilihat dalam konteks. Bagi banyak organisasi, serangan dengan volume tersebut tetap dapat menyebabkan gangguan serius.
Sebagai gambaran:
- Serangan 100 Mbps dapat cukup untuk membebani server atau website.
- Serangan 100 Gbps dapat membuat sebagian besar data center yang tidak terlindungi menjadi tidak tersedia.
- Serangan lebih dari 1 Tbps termasuk dalam kategori serangan terbesar yang pernah tercatat dan dapat memberikan tekanan signifikan bahkan terhadap infrastruktur internet berskala besar.
Penyerang juga dapat menggabungkan karakteristik serangan dari berbagai lapisan. Misalnya, serangan dapat memiliki jumlah paket yang sangat tinggi dalam satuan Mpps atau Gpps tetapi bandwidth yang relatif rendah dalam Gbps, atau sebaliknya. Strategi tersebut memungkinkan penyerang mengeksploitasi kelemahan yang berbeda, baik pada perangkat jaringan maupun kapasitas bandwidth.
Hal lain yang perlu diperhatikan adalah durasi serangan. Sebagian besar serangan DDoS berlangsung sangat singkat. Bahkan beberapa serangan hyper-volumetric terbesar yang pernah diamati Cloudflare hanya berlangsung dalam hitungan detik. Salah satunya tercatat berlangsung selama 35 detik.
Durasi yang sangat singkat tersebut membuat mitigasi manual menjadi tidak efektif. Ketika peringatan serangan diterima oleh seorang security analyst dan tindakan manual mulai dilakukan, serangan mungkin sudah selesai.
Namun, berakhirnya serangan tidak selalu berarti dampaknya juga berakhir. Serangan singkat dapat memicu ketidakstabilan routing, TCP retransmission, application timeout, serta degradasi layanan lain yang dapat membutuhkan waktu berjam-jam bahkan berhari-hari untuk sepenuhnya pulih.
Karena itu, dalam menghadapi pola ancaman seperti ini, perlindungan DDoS yang otomatis dan selalu aktif bukan lagi sekadar fitur tambahan, melainkan kebutuhan.
Sektor yang Paling Sering Menjadi Target Serangan
Geopolitik Turut Mengubah Lanskap Serangan DDoS
Peristiwa geopolitik juga menjadi salah satu faktor yang terlihat dalam pola serangan selama H1 2026. Pada 28 Februari 2026, Israel dan Amerika Serikat meluncurkan Operation Epic Fury, serangkaian serangan yang menargetkan kepemimpinan dan infrastruktur Iran.
Dalam waktu 72 jam setelah operasi tersebut dimulai, lanskap DDoS turut mengalami perubahan. Para peneliti keamanan mencatat 149 klaim serangan DDoS oleh kelompok hacktivist terhadap 110 organisasi berbeda di 16 negara. Hampir 47,8% dari seluruh organisasi yang menjadi target secara global berasal dari sektor Government.
Sejalan dengan berbagai laporan mengenai meningkatnya penargetan terhadap institusi pemerintah pada periode tersebut, sektor Government mengalami kenaikan signifikan dalam peringkat industri yang paling banyak diserang. Sektor ini berpindah dari peringkat #29 pada Q1 menjadi #9 pada Q2 berdasarkan proporsi HTTP DDoS requests yang berhasil dimitigasi.
Perubahan tersebut menjadi salah satu pergerakan peringkat industri terbesar yang tercatat sepanjang 2026 hingga periode laporan.
Media Menjadi Industri yang Paling Banyak Diserang
Di tengah konflik di Iran dan Ukraina serta tingginya perhatian global terhadap Piala Dunia 2026, sektor Media, Production & Publishing menjadi industri yang paling banyak diserang pada kedua kuartal. Sektor tersebut menyumbang 14,2% dari seluruh HTTP DDoS requests yang dimitigasi selama periode tersebut. Angka tersebut hampir empat kali lebih besar dibandingkan dengan industri yang berada di posisi kedua.
Tingginya aktivitas terhadap sektor media menunjukkan bagaimana perhatian publik terhadap suatu peristiwa global dapat berjalan beriringan dengan meningkatnya aktivitas serangan siber. Organisasi yang berperan dalam menyediakan informasi kepada masyarakat dapat menjadi target karena visibilitas dan relevansinya terhadap isu-isu yang sedang berlangsung.
Wilayah yang Paling Banyak Menjadi Target
Peta lokasi yang paling banyak menjadi target DDoS juga mengalami perubahan selama H1 2026. China mengakhiri paruh pertama tahun sebagai lokasi yang paling banyak menjadi target. Pada Q2, China menyumbang 22,4% dari seluruh HTTP DDoS requests secara global.
Amerika Serikat mempertahankan posisi kedua dengan kontribusi 18,8%.Sementara itu, Turki mengalami peningkatan serangan yang signifikan. Proporsi trafik serangan yang ditujukan ke Turki meningkat lebih dari dua kali lipat sehingga negara tersebut naik ke posisi ketiga lokasi yang paling banyak menjadi target pada Q2.
Lonjakan tersebut terjadi bersamaan dengan persiapan menuju 2026 Ankara NATO Summit yang berlangsung pada Juni hingga awal Juli. Pada periode tersebut, aparat keamanan Turki melakukan berbagai operasi di Ankara dan menangkap setidaknya 209 orang.
Korelasi antara peristiwa geopolitik dan peningkatan serangan kembali menunjukkan bahwa lanskap DDoS dapat dipengaruhi oleh perkembangan politik dan keamanan di dunia nyata.
Brazil Menjadi Sumber Serangan Terbesar, Indonesia Tetap di Posisi Ketiga
Tidak hanya lokasi korban yang berubah, negara asal trafik serangan juga menunjukkan perkembangan menarik. Pada paruh pertama 2026, Brazil mengambil posisi sebagai negara sumber serangan DDoS terbesar, mengungguli Amerika Serikat.
Brazil menyumbang sekitar 14,9% dari seluruh sumber serangan, sementara Amerika Serikat berada di angka 13,4%. Lonjakan tersebut terutama didorong oleh peningkatan signifikan pada Q2, ketika Brazil menjadi sumber bagi 21,4% dari seluruh trafik request DDoS yang dimitigasi.
Sementara itu, Indonesia tetap berada di posisi ketiga pada kedua kuartal. Posisi tersebut memperpanjang tren Indonesia sebagai salah satu dari tiga negara sumber serangan DDoS terbesar secara global dalam beberapa kuartal terakhir.
Vektor Serangan
DNS Flood Menjadi Salah Satu Vektor Serangan Dominan
Salah satu perubahan paling signifikan dalam teknik serangan DDoS pada H1 2026 adalah meningkatnya penggunaan serangan berbasis DNS. Secara keseluruhan, DNS Flood dan DNS Amplification menyumbang 34,3% dari seluruh serangan pada network layer selama paruh pertama 2026. Kedua teknik tersebut sama-sama memanfaatkan infrastruktur DNS, tetapi bekerja dengan mekanisme yang berbeda.
DNS Flood mengarahkan sejumlah besar request secara langsung kepada authoritative DNS server milik target dengan tujuan menghabiskan kapasitas server dalam memproses query. DNS sendiri dapat dianalogikan sebagai “buku telepon” internet yang menerjemahkan nama domain menjadi alamat IP. Ketika server DNS yang bertanggung jawab terhadap sebuah domain tidak mampu merespons request secara normal, berbagai layanan yang bergantung pada domain tersebut dapat ikut mengalami gangguan atau menjadi tidak dapat diakses.
Sementara itu, DNS Amplification memanfaatkan DNS resolver yang dapat diakses secara terbuka. Pelaku mengirimkan query berukuran kecil dengan alamat IP korban yang telah dipalsukan atau spoofed sebagai alamat sumber. Resolver kemudian mengirimkan respons yang ukurannya jauh lebih besar ke alamat korban. Dengan mekanisme tersebut, pelaku dapat menghasilkan trafik yang jauh lebih besar dibandingkan dengan trafik yang mereka kirimkan secara langsung.
DNS Flood sendiri menunjukkan peningkatan yang cukup besar dari satu kuartal ke kuartal berikutnya. Proporsinya meningkat dari 25,7% menjadi 40% dari seluruh serangan network layer, sehingga menjadi salah satu vektor serangan yang paling dominan sepanjang periode laporan.
CLDAP Flood Mengalami Lonjakan 580%
Selain serangan berbasis DNS, teknik reflection dan amplification lainnya juga mengalami peningkatan tajam. Salah satu yang paling menonjol adalah CLDAP Flood, yang mengalami peningkatan sebesar 580% secara QoQ dan menjadi vektor serangan terbesar ketiga pada Q2 2026.
CLDAP atau Connectionless Lightweight Directory Access Protocol merupakan varian dari LDAP atau Lightweight Directory Access Protocol, yang digunakan untuk melakukan query dan memodifikasi layanan direktori melalui jaringan IP. CLDAP bersifat connectionless karena menggunakan UDP, berbeda dengan LDAP yang menggunakan TCP. Karakteristik UDP ini membuatnya tidak memerlukan proses handshake sehingga alamat IP sumber lebih mudah dipalsukan dan protokol tersebut dapat disalahgunakan sebagai bagian dari serangan reflection.
Dalam serangan CLDAP Flood, pelaku mengirimkan query berukuran kecil dengan alamat IP korban yang telah dipalsukan kepada domain controller yang dapat diakses secara publik melalui UDP port 389. Server kemudian mengirimkan respons kepada alamat IP korban. Karena ukuran respons dapat mencapai puluhan hingga ratusan kali lebih besar daripada query awal, korban dapat menerima trafik dalam jumlah yang jauh lebih besar daripada trafik yang sebenarnya dikirimkan oleh pelaku.
Mekanisme tersebut memungkinkan penyerang memanfaatkan server pihak ketiga sebagai amplifier untuk memperbesar volume serangan. Peningkatan 580% yang tercatat pada Q2 menunjukkan bahwa teknik reflection berbasis CLDAP kembali menjadi pilihan yang menarik bagi pelaku serangan DDoS dan perlu diperhatikan oleh organisasi yang mengoperasikan layanan direktori maupun infrastruktur jaringan.
Memperkuat Pertahanan terhadap Ancaman DDoS
Peningkatan skala dan kompleksitas serangan DDoS menunjukkan pentingnya sistem pertahanan yang mampu bekerja secara otomatis dan terus-menerus. Cloudflare merancang jaringan globalnya untuk menyerap peningkatan trafik serangan semacam ini. Setiap layanan pada jaringan Cloudflare dilindungi oleh proteksi DDoS gratis dan tanpa batas penggunaan, yang berjalan di lebih dari 330 kota di seluruh dunia dengan dukungan kapasitas jaringan sebesar 500 Tbps.
Sistem tersebut dirancang untuk mendeteksi dan memitigasi serangan tanpa membutuhkan intervensi manusia secara langsung. Kemampuan ini menjadi semakin penting ketika serangan dengan kapasitas lebih dari 1 Tbps dapat terjadi secara rutin dan jumlahnya mencapai ratusan dalam satu kuartal. Dengan durasi serangan yang sering kali sangat singkat, sistem otomatis dapat memberikan respons jauh lebih cepat dibandingkan pendekatan yang mengandalkan proses manual.
Selain melindungi jaringan pelanggan, Cloudflare juga menyediakan DDoS Botnet Threat Feed for Service Providers secara gratis. Layanan ini membantu hosting provider, cloud computing platform, dan Internet Service Provider mengidentifikasi alamat IP maupun akun yang digunakan untuk meluncurkan serangan sehingga infrastruktur yang menyalahgunakan jaringan dapat diidentifikasi dan ditindak.
Hingga periode laporan, lebih dari 800 jaringan di seluruh dunia telah mendaftar untuk menggunakan threat feed tersebut. Kolaborasi ini memungkinkan berbagai pihak dalam ekosistem internet untuk saling berbagi informasi mengenai infrastruktur botnet dan membantu melakukan penghapusan node yang digunakan untuk meluncurkan serangan DDoS.
Kesimpulan
Laporan DDoS Cloudflare untuk paruh pertama 2026 menunjukkan bahwa ancaman DDoS terus berkembang dari sisi skala, teknik, target, sumber, maupun konteks yang melatarbelakanginya. Serangan hyper-volumetric dengan kapasitas lebih dari 1 Tbps mengalami peningkatan yang sangat signifikan, sementara teknik berbasis DNS Flood, DNS Amplification, dan CLDAP reflection semakin banyak digunakan oleh pelaku.
Di sisi lain, berbagai peristiwa geopolitik juga memberikan pengaruh terhadap siapa yang menjadi target serangan. Sektor Government mengalami peningkatan tajam selama periode Operation Epic Fury, sementara sektor Media, Production & Publishing tetap menjadi industri yang paling banyak diserang di tengah tingginya perhatian global terhadap konflik dan Piala Dunia 2026. Perubahan pada lokasi target dan negara sumber serangan juga menunjukkan bahwa lanskap DDoS terus bergerak mengikuti perkembangan ekosistem internet dan kondisi global.
Salah satu hal yang perlu menjadi perhatian adalah bahwa ukuran dan durasi serangan tidak selalu mencerminkan tingkat bahayanya. Serangan yang berlangsung hanya beberapa detik atau memiliki bandwidth di bawah 500 Mbps tetap dapat menyebabkan gangguan serius bagi organisasi yang tidak memiliki perlindungan memadai. Bahkan setelah trafik serangan berhenti, dampaknya dapat berlanjut melalui gangguan routing, TCP retransmission, application timeout, dan degradasi layanan lainnya.
Karena itu, menghadapi ancaman DDoS modern membutuhkan pendekatan yang tidak hanya berfokus pada kemampuan menyerap trafik dalam jumlah besar, tetapi juga pada deteksi otomatis, mitigasi secara real-time, visibilitas terhadap pola serangan, dan perlindungan yang selalu aktif. Dengan semakin singkatnya waktu yang tersedia untuk merespons serangan, kemampuan sistem untuk mengenali dan menangani serangan secara otomatis menjadi bagian penting dari strategi keamanan dan ketersediaan layanan.
Perkembangan sepanjang H1 2026 memperlihatkan bahwa DDoS bukan lagi sekadar persoalan seberapa besar trafik yang dapat dikirimkan oleh penyerang. Teknik serangan semakin beragam, serangan berskala terabit semakin sering muncul, dan berbagai peristiwa global dapat memengaruhi siapa yang menjadi target. Bagi organisasi yang semakin bergantung pada layanan digital, kemampuan untuk mempertahankan ketersediaan sistem ketika serangan terjadi menjadi bagian penting dari ketahanan infrastruktur digital.
Dengan lanskap ancaman yang terus berubah, perlindungan DDoS perlu dipandang sebagai bagian dari strategi keamanan yang berkelanjutan, bukan sekadar mekanisme darurat ketika serangan sudah terjadi. Pendekatan otomatis, visibilitas jaringan yang luas, serta kemampuan untuk merespons ancaman secara cepat akan semakin penting dalam menjaga layanan tetap tersedia di tengah meningkatnya skala dan kompleksitas serangan DDoS.
