Le nombre d'attaques DDoS a bondi de 140,7 % en neuf mois en 2026

Le nombre d'attaques DDoS sur les neuf premiers mois de 2026 a augmenté de 140,7 % par rapport à la même période de 2025. Cela correspond à une multiplication par 2,4 environ : là où l'on recensait 100 attaques il y a un an, on en compte désormais environ 241. L'information vient de CNews. Dans l'extrait accessible de l'article, le nom de la société d'analyse est tronqué : la méthode de comptage et les valeurs absolues devront donc être vérifiées dans le rapport original.

Ce que l'on sait, et ce que l'on ignore encore

Les faits tiennent en quelques lignes. Deux fenêtres identiques sont comparées : janvier–septembre 2025 et 2026. Ce qui est mesuré, c'est bien le nombre d'attaques, et non leur puissance ni le volume total de trafic. La nuance est importante. Une hausse du nombre d'attaques peut signifier que les attaquants lancent désormais de nombreuses vagues courtes et peu coûteuses plutôt que de rares attaques massives. Elle peut aussi signifier que les systèmes qui détectent ces incidents sont devenus plus sensibles.

Le texte accessible ne contient ni puissance de crête en Tbit/s, ni durée moyenne, ni ventilation par secteur ou par type d'attaque. Sans ces éléments, difficile de dire de quoi il s'agit : de bruit volumétrique que les fournisseurs absorbent en amont, ou d'attaques au niveau applicatif qui frappent des services précis.

• Période : janvier–septembre 2026 contre janvier–septembre 2025.
• Hausse du nombre d'attaques : +140,7 %.
• Facteur de multiplication : environ ×2,4.
• Publication : CNews, 13 octobre 2026.
• Non communiqué dans l'extrait : puissance de crête, durée, répartition par secteur, régions.

D'où peut venir une telle hausse ?

Ce qui suit relève de l'hypothèse, pas des conclusions du rapport. Première piste : l'outil lui-même est devenu moins cher. Le marché du DDoS en tant que service fonctionne depuis longtemps par abonnement, et les botnets de caméras, de routeurs et d'autres objets connectés se renouvellent plus vite qu'on ne les nettoie. Deuxième piste : le seuil d'entrée a baissé. La génération de scripts et l'automatisation des tâches routinières à l'aide de modèles de langage font gagner du temps, même à des opérateurs peu aguerris. Le fragment ne fournit aucune donnée directe sur la part de telles attaques, mais la direction paraît logique.

La troisième hypothèse concerne les cibles. De plus en plus d'entreprises reposent sur des API et des services cloud. Pour les plateformes d'IA, une attaque applicative est particulièrement dangereuse : chaque requête adressée au modèle mobilise du temps de calcul sur GPU. Des milliers de requêtes « quasi humaines » par seconde peuvent mettre à genoux un service qui encaisserait sans broncher le même flux sur une simple page statique. Et la facture arrive en double : celle de l'indisponibilité et celle des ressources gaspillées.

Ce qu'il faut vérifier dès maintenant dans votre défense

Commencez par identifier précisément contre quel type d'attaque vous êtes protégé. Un contrat avec un fournisseur de protection contre le trafic volumétrique ne couvre pas les attaques L7 visant la connexion, la recherche ou un endpoint d'inférence. Ces points d'entrée exigent des limites de requêtes par clé et par utilisateur, une analyse du comportement du client et des files d'attente distinctes pour les opérations lourdes.

Ensuite, calculez le coût d'une requête. Si une requête au modèle consomme une fraction notable de seconde de GPU, l'accès non authentifié doit être soit fermé, soit strictement limité. Le cache des réponses types et le refus immédiat en cas de surcharge fonctionnent bien : mieux vaut renvoyer une erreur à une partie des utilisateurs que de faire tomber tout le monde.

Enfin, faites des exercices. Vérifiez qui bascule le trafic vers le filtrage et en combien de minutes, si l'équipe dispose de contacts chez le fournisseur, et si le plan tient lorsque l'attaque coïncide avec une release ou un pic de ventes. Le chiffre de +140,7 % parle avant tout de fréquence. Or, quand la fréquence est élevée, ce qui compte n'est pas une protection « au cas où », mais une procédure rodée.