DDoS攻撃とは｜31.4Tbpsの新記録とCloudflareが見た2026年の脅威地図

「たった35秒」——2025年12月、史上最大規模となる31.4TbpsのDDoS攻撃が観測されましたが、攻撃が続いたのはわずか35秒でした。人間の担当者がアラートに気づいた頃には、もう終わっている。それでも被害は残ります。DDoS攻撃は今、規模・頻度ともに過去最高を更新し続けています。Cloudflareが2026年上半期に公開した最新データをもとに、何が起きているのかを整理します。

DDoS攻撃とは：サービスを「止める」ための攻撃

Webアプリケーションの脆弱性を突く攻撃が「鍵をこじ開けて中に入る」攻撃だとすれば、DDoS攻撃は「入り口に人を殺到させて誰も入れなくする」攻撃に近いイメージです。侵入や情報窃取を伴わない分、対策の優先度が下がりがちですが、ECサイトの売上機会の喪失やSaaSのSLA違反など、事業への直接的な打撃は決して小さくありません。

過去最大31.4Tbps、されどわずか35秒

DDoS攻撃の規模を表す代表的な指標が、1秒間に送りつけられる通信量を示す「Tbps（テラビット毎秒）」です。2025年12月、IoT機器を乗っ取って構成される「Aisuruボットネット」が、史上最大となる31.4Tbpsの攻撃を記録しました。2025年の1年間だけで、記録は3.8Tbpsから31.4Tbpsへと更新されており、わずか14カ月ほどで規模が8倍以上に拡大したことになります¹。

Cloudflareが見た2026年上半期：1時間に5,343件

大手CDN事業者Cloudflareは、自社ネットワークで観測したDDoS攻撃の脅威動向を四半期ごとにまとめた「DDoS Threat Report」を公開しています。2026年上半期（1〜6月）版によれば、同社は期間中に2,320万件のネットワーク層DDoS攻撃と、29.64兆件のHTTP DDoSリクエストを緩和しました²。

「1Tbps超」「1秒あたり10億パケット超（Bpps）」「1秒あたり100万リクエスト超（Mrps）」のいずれかに達する攻撃は「ハイパーボリューメトリック攻撃」と呼ばれ、2026年第2四半期だけで805件観測されました。これは第1四半期の6倍を超える急増です²。

攻撃手法の変化：ボットネットの洪水から「反射・増幅」へ

DDoS攻撃の手口は年々変化しています。かつて主流だったのは、乗っ取った大量の機器から直接パケットを送りつける「ボットネットによる洪水」でしたが、2026年上半期は、DNSサーバーなど既存の仕組みを悪用して通信量を何倍にも「増幅」させる反射攻撃が中心になっています。

2026年上半期は、DNSフラッドとDNS増幅を合わせた「DNSベースの攻撃」がネットワーク層攻撃全体の34.3%を占め、なかでもDNSフラッド単体の比率は四半期で25.7%から40.0%へと拡大しました。さらに、Active Directoryのディレクトリサービスを狙う「CLDAPフラッド」は四半期で+580%も急増し、第2四半期には第3位の攻撃手法に躍り出ています²。

誰が狙われ、誰が攻撃しているのか

Cloudflareのレポートは、攻撃の背景に地政学的な出来事があることも示しています。2026年2月28日、イスラエルと米国がイランに対する軍事作戦「Operation Epic Fury」を開始すると、72時間以内に16カ国・110組織に対する149件のハクティビストによるDDoS攻撃の主張が確認され、標的組織の47.8%が政府機関に集中しました。この影響で政府セクターへの攻撃シェアは第1四半期の29位から第2四半期には9位まで急上昇しています²。

トルコはNATOアンカラ首脳会議（2026年6月〜7月）を前後して攻撃シェアが倍増し、最も攻撃された国の3位に浮上しました。世界各地の紛争・政治イベントが、そのままDDoS攻撃の標的分布を動かしていることがうかがえます²。

個人・企業がとれる現実的な対策

DDoS攻撃、特にハイパーボリューメトリック攻撃を自社のサーバーだけで受け止めるのは、大企業であってもほぼ不可能です。多くの攻撃が10分以内に終わることを踏まえると、「検知してから人手で対応する」体制では原理的に間に合いません。

アプリケーション層でのレート制限は、DDoS攻撃そのものを止めるものではありませんが、APIの乱用や総当たり攻撃と合わせて防御の一層として機能します。具体的な実装方法はレート制限をPythonで実装するの記事で扱っています。また、攻撃発生時の組織的な対応体制についてはインシデント対応やSOC（セキュリティオペレーションセンター）の記事、クラウド利用時の基本的な防御はクラウドセキュリティの基本の記事もあわせてご覧ください。

まとめ

• DDoS攻撃は大量の通信で標的のサービスを止める攻撃で、2025年12月には史上最大の31.4Tbps攻撃が発生したが、わずか35秒で終了した
• Cloudflareは2026年上半期に1Tbps超の攻撃を935件緩和し、Q1からQ2で+519%急増。1時間あたり平均5,343件のDDoS攻撃を観測している
• 攻撃手法はボットネットによる直接的な洪水から、DNSフラッド（34.3%）やCLDAPフラッド（+580%）のような反射・増幅攻撃へシフトしている
• 攻撃は地政学的な出来事と連動しており、Operation Epic Furyの際は72時間で16カ国110組織が標的になった一方、国際的な取り締まりOperation PowerOFFのような対抗策も進んでいる
• 攻撃の9割以上が10分以内に終わるため、常時稼働の自動緩和サービスと、レート制限・インシデント対応計画を組み合わせた備えが現実的な対策になる

もう少し詳しく（背景）

DDoS攻撃対策が難しいのは、防御側が「平常時のコスト」と「攻撃時の耐性」のトレードオフを常に抱えている点にあります。ハイパーボリューメトリック攻撃に耐えられるだけの帯域やサーバーを自社だけで常時確保しておくのは、コスト的にほぼ現実的ではありません。Cloudflareのような事業者が「無料・無制限のDDoS防御」を掲げられるのは、多数の顧客の攻撃トラフィックを1つの巨大な分散ネットワーク（500Tbps規模）で受け止めることで、個々の企業が単独で持つには非現実的な余剰キャパシティを、共同利用の形で提供できるからです。

もう一つの構造的な問題が、反射・増幅攻撃の「踏み台」にされる側の無自覚さです。CLDAPフラッドやDNS増幅は、攻撃者自身のインフラを直接使うのではなく、世界中に存在する設定不備のあるサーバー（オープンリゾルバや、外部から到達可能なActive Directoryサーバーなど）を無断で「増幅器」として利用します。自社のサーバーが攻撃を受けていなくても、知らないうちに他社への攻撃に加担してしまうリスクがあるということです。IoT機器やネットワーク機器の初期設定を見直し、不要な公開サービスを塞ぐという地味な作業が、巡り巡って社会全体のDDoS耐性を左右しています。

Footnotes

1. Stingrai「DDoS Statistics 2026: The 31.4 Tbps Record and Aisuru Botnet」による。2025年12月、IoTボットネット「Aisuru」により史上最大となる31.4TbpsのDDoS攻撃が観測され、わずか35秒で終了したと報告されている。同年の記録は3.8Tbpsから31.4Tbpsへと約14カ月で更新された。 ↩

2. Cloudflare「DDoS Threat Report H1 2026」（2026年8月11日公開）による。2026年上半期に2,320万件のネットワーク層DDoS攻撃・29.64兆件のHTTP DDoSリクエストを緩和し、1Tbps超の攻撃935件（Q1→Q2で+519%）、ハイパーボリューメトリック攻撃（Q2に805件、前四半期比6倍超）を観測。ネットワーク層攻撃の96.62%が500Mbps未満、90.60%が10分未満で終息。DNSベースの攻撃が34.3%（DNSフラッドは25.7%→40.0%に拡大）、CLDAPフラッドが+580%で第3位の攻撃手法に。Operation Epic Fury関連で16カ国110組織に149件のハクティビスト攻撃、政府セクターの攻撃シェアが29位→9位に上昇。中国が最も攻撃された国・地域（Q2シェア22.4%）、ブラジルが攻撃元シェア首位（H1で14.9%、Q2で21.4%）。Operation PowerOFFは21カ国が連携し、DDoS代行サービス利用者7.5万人超を対象に53ドメイン閉鎖、捜索令状25件、逮捕4人。 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸