cloudflare2026년 8월 11일

Cloudflare DDoS 위협 보고서 2026년 상반기: DNS 플러드와 지정학적 긴장으로 새로운 물결이 일며 1Tbps 공격 급증 (새 탭에서 열림)

Cloudflare의 2026년 상반기 DDoS 보고서는 공격 규모가 급격히 커지는 동시에, 공격 방식이 봇넷 기반 대량 트래픽에서 DNS·CLDAP 같은 반사·증폭 공격으로 이동하고 있다고 분석한다. 상반기에만 네트워크 계층 공격 2,320만 건과 HTTP DDoS 요청 29조 6,400억 건이 차단됐으며, 1Tbps 초과 공격은 935건에 달했다. 공격 대부분은 짧고 자동화되어 발생하므로 수동 대응이 아닌 상시 자동화 방어가 필수라는 것이 보고서의 결론이다. ## 2026년 상반기 DDoS 규모 - Cloudflare는 2026년 1~6월 동안 다음 공격을 완화했다. - 네트워크 계층 DDoS: 2,320만 건 - HTTP DDoS 요청: 29조 6,400억 건 - 시간당 약 5,343건, 하루 약 12만 8,000건의 네트워크 계층 공격이 발생했다. - 2026년 4월에는 공격량이 정점에 도달했다. - HTTP 요청 6조 4,600억 건 - 네트워크 트래픽 165PB - 이후 공격량이 감소한 것은 21개국이 참여한 Operation PowerOFF의 영향일 가능성이 있다. - DDoS 대행 서비스 이용자 7만 5,000명 이상 대상 - 도메인 53개 폐쇄 - 수색영장 25건 발부 - 4명 체포 ## 초대형 공격의 급증 - 1Tbps, 10억 패킷/초(Bpps), 100만 요청/초(Mrps)를 초과하는 공격을 초대형 DDoS로 분류한다. - 상반기 1Tbps 초과 네트워크 공격은 총 935건이었다. - 특히 2분기에는 805건이 발생해 전 분기보다 6배 이상 증가했다. - 1Tbps를 넘는 공격은 대규모 인터넷 인프라까지 압박할 수 있는 수준이다. ## 대부분은 작고 짧지만 충분히 치명적 - 네트워크 계층 공격의 96.62%는 500Mbps 미만이었다. - 90.60%는 10분 이내에 종료됐다. - 그러나 “작은 공격”도 일반적인 서비스에는 치명적일 수 있다. - 100Mbps: 서버나 웹사이트를 마비시킬 수 있는 수준 - 100Gbps: 보호되지 않은 대부분의 데이터센터를 오프라인으로 만들 수 있는 수준 - 1Tbps 이상: 주요 인터넷 인프라까지 위협하는 초대형 공격 - 공격자는 대역폭과 패킷 속도를 조합해 네트워크 장비 또는 회선 용량의 약점을 노린다. - 공격 시간이 수십 초에 불과한 경우도 있어, 보안 담당자가 경보를 확인한 뒤 수동으로 대응하는 방식은 현실적으로 늦다. - 짧은 공격도 라우팅 불안정, TCP 재전송, 애플리케이션 타임아웃, 하위 서비스 장애 같은 장기적인 후속 피해를 유발할 수 있다. ## 공격 산업: 미디어와 정부 부문 ### 미디어·출판 산업의 지속적인 표적화 - Media, Production & Publishing 부문은 1·2분기 모두 가장 많이 공격받은 산업이었다. - 전체 완화 HTTP DDoS 요청의 14.2%를 차지해 2위 산업보다 약 4배 많았다. - 이란과 우크라이나 전쟁 관련 보도, 월드컵 등 국제적 관심이 집중된 사건이 공격 증가에 영향을 준 것으로 분석된다. ### Operation Epic Fury 이후 정부 공격 증가 - 2026년 2월 28일 이스라엘과 미국이 이란 지도부 및 인프라를 대상으로 Operation Epic Fury를 시작했다. - 이후 72시간 동안 16개국 110개 조직을 대상으로 한 핵티비스트 DDoS 공격 주장이 149건 보고됐다. - 표적 조직의 약 47.8%가 정부 부문이었다. - 정부 부문은 공격 비중 순위가 1분기 29위에서 2분기 9위로 급상승했다. ## 공격받은 국가 및 지역 - 2분기 기준 가장 많이 공격받은 국가는 중국으로, 전 세계 HTTP DDoS 요청의 22.4%를 차지했다. - 미국은 18.8%로 2위를 유지했다. - 튀르키예는 공격 비중이 두 배 이상 증가하며 3위로 올라섰다. - 이 증가는 2026년 앙카라 NATO 정상회의를 앞두고 보안 당국이 대규모 단속을 진행한 시기와 겹쳤다. ## 공격 발생지 국가 - 브라질이 미국을 제치고 상반기 DDoS 트래픽의 최대 발생지로 나타났다. - 브라질: 14.9% - 미국: 13.4% - 브라질은 2분기에만 전체 완화 DDoS 요청의 21.4%를 차지했다. - 인도네시아는 두 분기 모두 3위를 기록하며 주요 DDoS 발생지로 남았다. ## 공격 벡터의 변화 ### DNS Flood와 DNS Amplification의 확대 - DNS 기반 공격은 상반기 네트워크 계층 공격의 34.3%를 차지했다. - DNS Flood는 봇넷이 피해자의 권한 있는 DNS 서버에 대량 질의를 보내 처리 용량을 고갈시킨다. - DNS가 마비되면 해당 도메인에 의존하는 웹사이트와 서비스가 함께 영향을 받는다. - DNS Amplification은 위조된 출발지 IP를 사용해 개방형 DNS 리졸버에 작은 질의를 보내고, 더 큰 응답이 피해자에게 전달되도록 만드는 반사·증폭 공격이다. - DNS Flood 비중은 1분기 25.7%에서 2분기 40.0%로 상승했다. ### CLDAP 증폭 공격의 폭증 - CLDAP Flood는 노출된 Active Directory LDAP-over-UDP 엔드포인트를 악용하는 반사·증폭 공격이다. - 2분기에 전 분기 대비 580% 증가했다. - 그 결과 CLDAP Flood는 2분기 네트워크 계층 공격 벡터 중 3위가 됐다. - 이는 공격 중심이 단순한 봇넷 트래픽 폭주에서, 개방형 서비스와 프로토콜의 증폭 특성을 악용하는 방식으로 이동하고 있음을 보여준다. ## 실용적인 대응 방향 - 공격이 짧고 빠르게 끝나므로 수동·온디맨드 대응만으로는 부족하다. - DNS 인프라, 네트워크 회선, 애플리케이션 계층을 모두 포함하는 상시 자동화 방어가 필요하다. - CLDAP·DNS 등 반사·증폭에 악용될 수 있는 인터넷 노출 서비스를 점검하고, 불필요한 UDP 서비스와 개방형 리졸버를 차단해야 한다. - 공격 직후에도 재전송, 타임아웃, 라우팅 불안정 등 후속 장애를 확인해야 한다.

ddoscloudflarenetwork-securitydns+3

cloudflare2026년 6월 18일

프로젝트 갈릴레오 12주년 기념 (새 탭에서 열림)

Cloudflare의 Project Galileo는 표현의 자유와 민주주의를 지키는 시민사회 조직이 권력이나 공격 때문에 온라인에서 퇴출되지 않도록 무료 보안 서비스를 제공하는 프로그램이다. 출범 12년째인 2026년에는 120개국 3,400개 이상의 웹사이트를 지원하며, 시민사회 대상 사이버공격이 일반 인터넷 사용자보다 더 빈번하고 강도 높다는 연례 보고서를 처음 발표했다. Cloudflare는 저렴하고 단순한 보안 접근성, 공격과 인터넷 차단에 대한 투명성, AI 및 포스트퀀텀 보안의 기본 적용을 앞으로의 과제로 제시했다. ## Project Galileo의 역할과 성장 - Cloudflare가 12년 전 시작한 공익 프로그램으로, 언론인·인권 옹호자·비영리단체 등에 무료 사이버보안 서비스를 제공한다. - 현재 120개국 3,400개 이상의 웹사이트가 참여하고 있다. - Cloudflare 네트워크는 125개국 335개 이상의 도시에 분포하며, 전체 웹의 20% 이상을 처리한다. - 이 광범위한 네트워크 덕분에 시민사회 조직에 대한 공격과 일반 고객 대상 공격을 비교할 수 있었다. - 프로그램 참여 신청은 59개 시민사회 파트너가 심사·승인하며, 파트너들은 하루에도 여러 건의 신청을 검토한다. ## 시민사회 대상 사이버공격의 주요 추세 - **DDoS 공격** - 시민사회 조직에 가장 흔한 위협이었다. - 단시간 공격보다 지속 시간이 긴 것이 특징이며, 일부 공격은 며칠 또는 몇 주간 이어졌다. - **웹사이트 취약점 공격** - 시민사회 단체를 대상으로 한 취약점 악용 시도가 일반 Cloudflare 고객보다 7배 이상 많았다. - 특히 미디어 조직이 불균형적으로 큰 피해를 입었다. - **망명 중인 언론인에 대한 악성 트래픽** - 망명 상태에서 활동하는 언론인은 전체 언론 조직보다 거의 4배 높은 악성 트래픽에 노출됐다. - **피싱 이메일** - Cloudflare가 시민사회 조직을 대상으로 처리한 이메일 중 거의 10%에 잠재적인 피싱 콘텐츠가 포함됐다. - 공격은 탐사보도 발표나 공개 캠페인처럼 조직의 활동이 중요한 시점에 집중되는 경향을 보였다. ## 연례 위협 보고서와 사례 연구 - Cloudflare는 시민사회 대상 사이버공격을 다루는 종합 보고서를 처음 공개했다. - 앞으로 매년 보고서를 발간해 공격 유형과 강도의 변화를 장기적으로 비교할 계획이다. - 보고서는 시민사회 단체뿐 아니라 정책 입안자와 일반 대중이 사이버공격을 이해하고 대응하는 자료로 활용되도록 작성됐다. - 정량 데이터에 더해 16개 Project Galileo 참여 조직의 보안 요구를 다룬 사례 연구도 공개했다. - 사례 연구 대상에는 다음과 같은 조직이 포함된다. - 디지털 권리·표현의 자유 단체인 SHARE Foundation - 실종·유실 반려동물 플랫폼 Hledaczvirat - 핵무기와 비확산 문제를 연구하는 Iran Watch - 핵 위험·기후변화·기술을 다루는 Bulletin of Atomic Scientists - 전쟁범죄 증거를 보존하는 Ukraine War Archive - 빈곤·보건·기후 데이터를 제공하는 Our World in Data - 탐사보도 네트워크 OCCRP - 중국의 검열과 인권을 다루는 China Digital Times - 해양 생태계를 보호하는 Sea Shepherd Brazil 등 ## 보안 접근성을 높이기 위한 과제 - 모든 사람이 이용할 수 있는 단순하고 저렴한 사이버보안 도구가 필요하다고 강조했다. - 사이버공격과 인터넷 차단에 대한 투명성을 확대해야 한다고 제안했다. - AI 기반 위협과 포스트퀀텀 환경에 대비한 보호 기능을 보안 도구에 기본값으로 포함해야 한다고 밝혔다. - 시민사회 조직은 공익 활동의 특성상 공격 시점과 목적이 명확한 경우가 많으므로, 일반적인 보안 도구뿐 아니라 지속적인 모니터링과 대응 체계가 필요하다. ## 지역 파트너십 확대 - Project Galileo는 파트너 조직을 통해 각 지역의 시민사회 단체를 발굴하고 신청을 심사한다. - 기존 협력은 이메일 보안과 공공학교 인터넷 측정 같은 새로운 사업으로 확장됐다. - Protect.ngo와는 시민사회 조직을 위한 이메일 보안 사업을 진행했다. - UNICEF의 Giga 프로젝트와는 공립학교의 인터넷 연결 상태 측정을 지원했다. - 북미와 유럽 이외 지역의 조직을 더 많이 지원하기 위해 Costa Rica·Taiwan RightsCon 등 지역 행사에도 참여했다. - 아시아·태평양 지역에서는 EngageMedia와 OpenCulture Foundation을 새 파트너로 맞이했다. - 올해는 AI 크롤러로부터 지역 언론 콘텐츠를 보호하는 신규 서비스와 연계해 언론인 지원 조직에 초점을 맞췄다. - 새 파트너로 International Center for Journalists와 Media Cluster Norway 등이 소개됐다. 제공된 글은 세 번째 파트너 설명이 끝나기 전에 중단되어 있다. Project Galileo의 사례는 시민사회 조직의 보안이 단순한 기술 문제가 아니라 표현의 자유와 공공 참여를 유지하기 위한 기반임을 보여준다. 특히 언론·인권 단체는 공격이 집중되는 시점과 장기화되는 DDoS에 대비해 웹 방화벽, DDoS 방어, 이메일 피싱 대응, 취약점 관리 체계를 기본적으로 갖추는 것이 바람직하다.

ddosaipost-quantum-cryptographycybersecurity+3

cloudflare2026년 3월 3일

2026 Cloudflare 위 (새 탭에서 열림)

2026년의 사이버 위협 지형은 단순한 기술적 정교함을 넘어 결과 중심의 '효율성 측정(MOE, Measure of Effectiveness)'을 최우선시하는 산업화된 구조로 진화했습니다. 공격자들은 이제 막대한 비용이 드는 제로데이 취약점 대신 탈취된 세션 토큰이나 신뢰받는 클라우드 도구를 활용하여 방어망을 교묘히 우회하고 있습니다. 이번 보고서는 이러한 고신뢰 기반 착취 모델과 AI 기반의 고속화된 공격 전략에 대응하기 위한 전략적 로드맵을 제시합니다. ### 공격의 새로운 기준: 효율성 측정(MOE)의 부상 * 현대의 공격자들은 복잡하고 값비싼 일회성 해킹 기법보다는 최소한의 노력으로 최대의 결과를 얻을 수 있는 '처리량(Throughput)' 중심의 MOE 지표를 따릅니다. * 공격자들은 비싼 제로데이 취약점을 찾는 대신, 이미 인증된 세션 토큰을 탈취하거나 평판이 좋은 클라우드 인프라(LotX)를 활용해 탐지를 피하면서 전달률을 높이는 경제적 선택을 합니다. * AI는 민감 데이터의 연결 고리를 식별하는 작업을 자동화하여, 공격자가 가장 짧은 시간 내에 임무를 완수할 수 있는 연속적인 시스템을 구축하도록 돕습니다. ### 2026년의 8대 핵심 보안 트렌드 * **AI 기반 고속 운영**: 생성형 AI를 활용한 실시간 네트워크 매핑과 공격 코드 개발, 딥페이크 제작이 보편화되면서 숙련도가 낮은 공격자도 고영향도 작전을 수행할 수 있게 되었습니다. * **국가 주도 인프라 침투**: 중국 기반 공격 그룹인 Salt Typhoon과 Linen Typhoon 등은 장기적인 지정학적 우위를 점하기 위해 북미의 통신, 정부, IT 서비스 인프라에 사전 침투해 거점을 마련하고 있습니다. * **SaaS 통합 리스크 확장**: 과도한 권한이 부여된 서드파티 API 연동(Salesloft 사례 등)을 통해 단일 접점의 침투가 수백 개의 기업 환경으로 확산되는 연쇄 피해가 발생하고 있습니다. * **신뢰 기반 도구의 무기화**: 구글 캘린더, 드롭박스, 깃허브 등 합법적인 SaaS 및 IaaS 도구를 악용해 명령 및 제어(C2) 트래픽을 정상적인 기업 활동처럼 위장합니다. * **딥페이크 위장 취업**: 북한의 국가 주도 해커들이 딥페이크와 허위 신분으로 서구 기업에 원격 IT 인력으로 위장 취업하여 첩보 활동과 불법 수익 창출을 병행하고 있습니다. * **다중 인증(MFA) 무력화**: LummaC2와 같은 정보 탈취 도구를 사용해 활성 세션 토큰을 직접 수확함으로써, 기존의 다중 인증 절차를 건너뛰고 바로 사후 인증 단계로 진입합니다. * **브랜드 위장 피싱**: 메일 서버의 발신자 재검증 허점을 노린 피싱 봇들이 신뢰도 높은 브랜드로 위장해 사용자 편지함에 직접 침투하는 사례가 늘고 있습니다. * **초대형 DDoS 공격**: Aisuru와 같은 대규모 봇넷을 이용한 하이퍼 볼륨 DDoS 공격이 기록을 경신하며, 인간이 대응할 수 있는 시간적 여유를 완전히 박탈하고 있습니다. ### 클라우드 서비스의 'Living off the Land' 전략 * 공격자들은 자체 악성 서버를 운영하는 대신 구글 드라이브, MS 팀즈, 아마존 S3와 같은 합법적인 클라우드 생태계를 활용하는 'Living off anything-as-a-service' 전략을 구사합니다. * Amazon SES나 SendGrid와 같이 대량 메일 발송을 위해 설계된 서비스를 악용하여 정교한 피싱 및 멀웨어를 유포함으로써 기존 스팸 필터를 효과적으로 우회합니다. * 이러한 방식은 신뢰받는 서비스의 외피를 입고 수행되기에 정상적인 기업 트래픽과 구분이 거의 불가능하며, 공격 인프라의 확장성과 신뢰성을 동시에 확보해 줍니다. 조직은 더 이상 고전적인 경계 보안이나 단순 기술적 방어에만 의존해서는 안 됩니다. 공격자들의 MOE 중심 전략을 이해하고, 신뢰받는 SaaS 도구에 대한 가시성 확보 및 세션 토큰 보호와 같은 'ID 중심 보안' 체계로의 근본적인 전환이 필요합니다.

ddosaidatabase-designsaas+3

figma2022년 12월 14일

리니어가 디도스 공격을 (새 탭에서 열림)

Linear는 2022년 10월 홈페이지가 DDoS 공격으로 마비되자, 단순히 서비스를 복구하는 데 그치지 않고 Figma 디자인 파일 자체를 임시 홈페이지로 활용했다. 이 즉흥적인 대응은 공격 중에도 사용자에게 브랜드와 리디자인을 보여주는 창구가 되었고, 결과적으로 위기를 창의적인 홍보와 커뮤니티 이벤트로 전환했다. 글은 빠른 장애 대응과 대담한 아이디어, 그리고 축적된 디자인 작업물이 위기 상황에서 새로운 가치를 만들 수 있음을 보여준다. ## 출시 직전까지 이어진 대규모 디자인 작업 - Linear 팀은 새 홈페이지를 준비하며 수개월 동안 다양한 디자인 방향을 탐색했다. - 하나의 Figma 파일에 수많은 프레임, 대형 이미지, 아이디어, 반복 작업 결과물이 축적됐다. - 파일이 너무 커져 브라우저 메모리의 약 64.3%를 사용한다는 경고가 표시될 정도였다. - 출시 직전까지도 작업이 이어졌지만, 최종 결과물은 온라인에서 좋은 반응을 얻으며 큰 관심을 끌었다. - Paco Coursey는 출시 며칠 전 이 거대한 Figma 파일을 공개할지 디자이너 Edgar Ambartsoumian에게 묻는 게시물을 올렸다. ## 홈페이지를 마비시킨 DDoS 공격 - DDoS는 대량의 인터넷 트래픽으로 서버나 네트워크를 압도해 정상적인 서비스를 방해하는 공격이다. - 홈페이지 리디자인 다음 날 Linear 사이트가 다운되자, 팀은 처음에는 새 배포나 디자인 변경에 문제가 생겼다고 추측했다. - 조사 결과 원인은 비교적 흔한 유형의 DDoS 공격으로 확인됐다. - 장애 대응의 최우선 목표는 사용자가 Linear 앱에 다시 접근하도록 만드는 것이었다. - 팀은 사이트의 하위 페이지 방문자를 로그인 페이지로 직접 보내 앱 접근을 우선 복구했다. - 그러나 소셜미디어에서 화제가 된 새 랜딩 페이지를 보러 온 방문자들은 홈페이지 대신 로그인 화면만 보게 됐다. ## Figma 파일을 임시 홈페이지로 활용한 발상 - Jori Lallo는 홈페이지 대신 Figma 디자인 파일을 공개하자는 아이디어를 제안했다. - Paco는 즉시 실행 가능하다고 판단했지만, Edgar와 일부 팀원은 처음에는 다소 주저했다. - Jori는 “그냥 믿어 달라”며 아이디어를 밀어붙였다. - 결과적으로 완성된 웹사이트가 아닌 제작 과정의 Figma 파일을 공개해, 공격으로 사라진 홈페이지를 대체했다. - 파일에는 최종 디자인뿐 아니라 수개월 동안의 탐색과 반복 과정도 담겨 있어 방문자에게 제작 비하인드까지 보여줄 수 있었다. ## 장애를 브랜드 경험으로 바꾼 대응 - 일반적인 장애 대응은 서비스 복구와 원인 차단에 집중하지만, Linear 팀은 사용자가 무엇을 보게 될지까지 고려했다. - 로그인 페이지로만 연결하면 기능 접근은 가능하지만, 새 홈페이지를 기대한 방문자 경험은 크게 떨어진다는 점을 인식했다. - Figma 파일 공개는 공격으로 인한 공백을 채우면서도 Linear의 디자인 문화와 작업 방식을 직접 보여주는 방법이 됐다. - 예상치 못한 상황에서 팀의 빠른 의사결정과 디자인 자산이 결합해 온라인에서 큰 화제를 만들었다. - 이 사건은 단순한 보안 사고가 아니라, 커뮤니티가 함께 참여하는 일종의 Figma 이벤트로 발전했다. ## 실용적인 시사점 - 장애 상황에서는 기술적 복구뿐 아니라 사용자가 마주할 대체 경험도 설계해야 한다. - 평소 축적해 둔 디자인 파일, 문서, 작업 기록은 위기 때 커뮤니케이션 자산으로 활용할 수 있다. - 완벽한 대안을 기다리기보다 안전하고 실행 가능한 임시 해결책을 빠르게 시도하는 것이 효과적일 수 있다. - 단, Figma 파일 공개와 같은 대응은 내부 정보나 민감한 자산이 포함되지 않았는지 먼저 검토해야 한다.

ddosfigmaincident-responseweb-application-security+1