สรุปสั้น
DDoS Threat Report คือ รายงานรายไตรมาสของทีม Cloudforce One บริษัท Cloudflare ที่สรุปการโจมตีแบบปฏิเสธการให้บริการ (DDoS) ที่เครือข่ายของบริษัทสกัดไว้ รายงานไตรมาส 3 ปี 2569 ที่เผยแพร่เมื่อ 29 ตุลาคม ระบุว่า Cloudflare สกัดการโจมตี DDoS ระดับเครือข่าย (L3) ได้ 18.2 ล้านครั้งและคำขอ HTTP DDoS อีก 14.4 ล้านล้านคำขอ เพิ่มขึ้นจาก 13.2 ล้านครั้งในไตรมาส 2 และ 10.0 ล้านครั้งในไตรมาส 1 คิดเป็นราว 8,226 ครั้งต่อชั่วโมง หรือ 1 ครั้งทุก 0.44 วินาที Cloudflare โยงการเพิ่มขึ้นนี้กับบริการรับจ้างยิง DDoS (booter หรือ stresser) ที่ปล่อยการโจมตีหลายแสนครั้ง
ลักษณะการโจมตีกำลังเปลี่ยน การโจมตีแบบระเบิดสั้นต่ำกว่า 10 นาทีและต่ำกว่า 1 Gbps เพิ่มขึ้น 208% ขณะที่การโจมตีขนาดยักษ์เกิน 1 Tbps ลดลง 69% จาก 805 ครั้งเหลือ 251 ครั้ง ซึ่งน่าจะเป็นผลจากการที่เจ้าหน้าที่ทลายบอตเน็ต AISURU, KimWolf, JackSkid และ Mossad เมื่อมีนาคม แต่ Cloudflare เตือนว่าภัยยังไม่หมด เพราะมีตัวแปรใหม่อย่าง Dysphoria และ Evooo1Bot เกิดขึ้น องค์กรจึงควรใช้ระบบสกัด DDoS แบบอัตโนมัติ เพราะการโจมตีสั้นจบก่อนคนจะตอบสนองทัน
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 31 ตุลาคม 2569 ว่า Cloudflare สกัดการโจมตีระดับเครือข่ายเฉลี่ย 197,400 ครั้งต่อวันในไตรมาส 3 แนวโน้มสำคัญอีกอย่าง คือ การโจมตีแบบ CLDAP flood ลดลง ขณะที่ DNS amplification เพิ่มขึ้น 215% คิดเป็น 3.43% ของการโจมตีระดับเครือข่ายทั้งหมด
ด้านเป้าหมาย อุตสาหกรรมที่ถูกโจมตีมากที่สุด ได้แก่ สื่อ การผลิตและสิ่งพิมพ์ ไอทีและบริการ การพนันและคาสิโน ซอฟต์แวร์คอมพิวเตอร์ และผู้ให้บริการโทรคมนาคม ส่วนประเทศที่ถูกโจมตีมากที่สุด คือ สหรัฐฯ จีน อินโดนีเซีย สหราชอาณาจักร และตุรกี แคนาดาและอิสราเอลเข้ามาอยู่ใน 10 อันดับแรก โดยแคนาดาถูกเล็งในภาคค้าปลีก โทรคมนาคม และการตลาด
ข้อจำกัดของหลักฐาน คือ ตัวเลขทั้งหมดมาจากทราฟฟิกที่ผ่านเครือข่ายของ Cloudflare เท่านั้น สะท้อนภาพที่ Cloudflare มองเห็น ไม่ใช่ทั้งอินเทอร์เน็ต และรายงานไม่ได้ระบุว่าการลดลงของการโจมตีขนาดยักษ์มาจากการทลายบอตเน็ตเพียงอย่างเดียว (Cloudflare ใช้คำว่า “น่าจะ”)
วิธีการโจมตี
DDoS รับจ้างระเบิดสั้น — บริการ booter หรือ stresser ขายการยิง DDoS ให้ใครก็ได้ในราคาถูก การโจมตีที่ได้มักสั้นและขนาดไม่ใหญ่ แต่จำนวนมหาศาล ความสั้นทำให้เหยื่อที่พึ่งการตอบสนองด้วยคนรับมือไม่ทัน เพราะการโจมตีจบก่อนทีมจะเริ่มทำงาน และยังพอทำให้บริการขนาดเล็กหรือเกมออนไลน์หลุดได้
DNS amplification เพิ่มขึ้น — ผู้โจมตีส่งคำขอ DNS ขนาดเล็กที่ปลอม IP ต้นทางเป็นของเหยื่อไปยังเซิร์ฟเวอร์ DNS ที่เปิดสาธารณะ เซิร์ฟเวอร์ตอบกลับด้วยข้อมูลที่ใหญ่กว่าหลายเท่าไปยังเหยื่อ ทำให้ผู้โจมตีขยายแบนด์วิดท์ได้ด้วยต้นทุนต่ำ ส่วน CLDAP ที่เคยใช้ขยายการโจมตีแบบเดียวกันกลับลดลง
บอตเน็ตขนาดยักษ์ลดแต่ไม่หาย — การโจมตีเกิน 1 Tbps ต้องใช้บอตเน็ตขนาดใหญ่อย่าง AISURU ที่สร้างจากอุปกรณ์ IoT ที่ถูกเจาะ เมื่อถูกทลาย จำนวนการโจมตีขนาดนี้จึงลดลง แต่ตัวแปรใหม่ Dysphoria และ Evooo1Bot กำลังเติบโตเข้ามาแทน
ผลกระทบ
กลุ่มที่ได้รับผลกระทบมากที่สุด คือ สื่อ ผู้เผยแพร่ บริษัทไอที คาสิโนออนไลน์ และผู้ให้บริการโทรคมนาคม ซึ่งรายได้ผูกกับการออนไลน์ตลอดเวลา การหลุดแม้ไม่กี่นาทีหมายถึงรายได้และความเชื่อมั่นที่หายไป อินโดนีเซียที่อยู่ในอันดับ 3 ของประเทศที่ถูกโจมตีมากที่สุดสะท้อนว่าการโจมตีไม่ได้กระจุกในตลาดตะวันตก
ตัวเลขที่เพิ่ม 38% จากไตรมาสก่อนแปลว่า DDoS ยังเป็นภัยที่เข้าถึงง่ายและถูก การลดลงของการโจมตีขนาดยักษ์เป็นข่าวดีจากการบังคับใช้กฎหมาย แต่ปริมาณการโจมตีขนาดเล็กที่เพิ่มขึ้นกลับเป็นภาระประจำวันขององค์กรที่ไม่มีระบบอัตโนมัติ
คำแนะนำ
- ใช้บริการสกัด DDoS แบบตลอดเวลา (always-on) ที่ตรวจและบล็อกอัตโนมัติ แทนการเปิดใช้เมื่อถูกโจมตี เพราะการโจมตีส่วนใหญ่จบภายใน 10 นาที
- ตรวจเซิร์ฟเวอร์ DNS ขององค์กรไม่ให้เป็น open resolver ที่ถูกใช้ขยายการโจมตี และเปิด response rate limiting
- ปิดบริการ CLDAP และบริการ UDP ที่ไม่จำเป็นจากอินเทอร์เน็ต
- ผู้ให้บริการเครือข่ายควรทำ ingress filtering ตาม BCP 38 เพื่อกันการปลอม IP ต้นทางที่ทำให้ amplification ได้ผล
- ตั้งเกณฑ์แจ้งเตือนสำหรับการโจมตีระเบิดสั้นที่เกิดซ้ำ เพราะอาจเป็นการทดสอบก่อนการโจมตีใหญ่หรือใช้เบี่ยงความสนใจจากการเจาะระบบ