A Cloudflare divulgou o relatório de ameaças DDoS relativo ao primeiro semestre de 2026 e os números confirmam que a negação de serviço distribuída deixou de ser um evento excecional para se tornar ruído de fundo permanente na Internet. Segundo o relatório, a empresa mitigou 23,2 milhões de ataques DDoS à camada de rede e 29,64 trilhões de pedidos HTTP maliciosos no primeiro semestre do ano — dados apresentados na conferência Black Hat e publicados no blogue da empresa a 12 de agosto de 2026. Mais relevante do que o volume total é a mudança de escala e de técnica: os ataques acima de 1 Tbps multiplicaram-se e o centro de gravidade dos vetores deslocou-se para o DNS e para a amplificação.
Resposta rápida: A Cloudflare afirma ter mitigado 23,2 milhões de ataques DDoS de camada de rede entre janeiro e junho de 2026, incluindo 935 acima de 1 Tbps. A maioria dos ataques continua a ser curta e de baixo caudal, mas mesmo esses derrubam servidores sem proteção. Para PME e organizações portuguesas, a recomendação prática é ter mitigação automática sempre ativa (não por pedido), proteger o DNS autoritativo e testar o plano de resposta a indisponibilidades, incluindo as obrigações de notificação previstas no novo regime nacional de cibersegurança.
Os números do primeiro semestre de 2026
Trata-se da 25.ª edição do relatório de ameaças DDoS da Cloudflare e da primeira edição semestral da série: em vez de publicar relatórios separados para o primeiro e o segundo trimestres de 2026, a empresa juntou a cobertura de janeiro a junho num único volume. A análise é produzida pela Cloudforce One, a organização de threat intelligence da Cloudflare, com base nos dados observados na rede da empresa.
Traduzido em ritmo operacional, o volume total é difícil de conciliar com resposta humana: os 23,2 milhões de ataques de camada de rede e os 29,64 trilhões de pedidos HTTP DDoS correspondem a cerca de 5.343 ataques por hora, ou aproximadamente 128 mil por dia. O número trimestral subiu de 10,04 milhões no primeiro trimestre para 13,17 milhões no segundo, um aumento de 31,2%.
| Indicador (H1 2026) | Valor reportado |
|---|---|
| Ataques de camada de rede mitigados | 23,2 milhões |
| Pedidos HTTP DDoS mitigados | 29,64 trilhões |
| Ataques acima de 1 Tbps | 935 (130 no Q1; 805 no Q2) |
| Variação trimestral dos ataques >1 Tbps | +519% |
| Peso dos ataques baseados em DNS | 34,3% da atividade de camada de rede |
O “clube do 1 Tbps” deixou de ser exclusivo
A Cloudflare descreve o crescimento do chamado “clube do 1 Tbps”: foram mitigados 935 ataques de camada de rede acima de 1 Tbps no primeiro semestre de 2026, com uma subida de 519% entre o primeiro e o segundo trimestre. Desses 935, 805 concentraram-se apenas no segundo trimestre, contra 130 no trimestre anterior.
O crescimento não se limita ao topo da tabela. Os ataques entre 500 Gbps e 1 Tbps aumentaram 143%, enquanto os situados entre 100 e 500 Gbps subiram 105%. Para contexto de definições, a Cloudflare classifica como hipervolumétricos os ataques que excedem 1 Tbps, mil milhões de pacotes por segundo ou um milhão de pedidos por segundo.
De floods de botnet para reflexão e amplificação
A mudança técnica mais significativa está nos vetores. O centro de gravidade deslocou-se dos floods diretos de botnet para técnicas de reflexão e amplificação: os ataques baseados em DNS representaram 34,3% de toda a atividade de camada de rede no semestre, com os DNS Floods a subir de 25,7% para 40,0% dos ataques entre trimestres, e os CLDAP Floods a crescerem 580% num trimestre, tornando-se o terceiro vetor mais usado no Q2.
A distinção é operacionalmente importante. Num flood de DNS, o atacante sobrecarrega a infraestrutura de DNS autoritativo com grandes volumes de consultas, podendo impedir a resolução do domínio e o acesso aos serviços que dele dependem; na amplificação de DNS, o atacante abusa de resolvers abertos e endereços de origem falsificados para transformar pedidos pequenos em respostas muito maiores dirigidas à vítima. Nos ataques de amplificação, sistemas expostos publicamente são explorados para converter pedidos relativamente pequenos em volumes de tráfego muito superiores contra o alvo. Ou seja: quem tem servidores DNS ou serviços legados expostos pode ser simultaneamente vítima e instrumento involuntário de um ataque.
Geopolítica, media e setor público no centro do alvo
O relatório liga picos de atividade a acontecimentos concretos. Segundo a Cloudflare, a 28 de fevereiro de 2026 Israel e os Estados Unidos lançaram a operação militar designada Epic Fury e, em 72 horas, investigadores de segurança registaram 149 reivindicações de ataques DDoS hacktivistas contra 110 organizações distintas em 16 países, com cerca de 47,8% das organizações visadas a pertencerem ao setor governamental. O setor de media, produção e edição foi o mais atacado em ambos os trimestres, com 14,2% de todos os pedidos HTTP DDoS mitigados, num período de cobertura intensa do Irão, da Ucrânia e do Mundial de futebol.
Há ainda deslocações na origem do tráfego malicioso: o Brasil ultrapassou os Estados Unidos como principal origem do tráfego de pedidos DDoS no semestre, com 14,9% do tráfego mitigado contra 13,4% dos EUA, mantendo-se a Indonésia em terceiro lugar em ambos os trimestres. Em termos de volume, a empresa indica que abril de 2026 foi o mês de pico, com 6,46 trilhões de pedidos e 165 petabytes.
| Data | Acontecimento relevante |
|---|---|
| Novembro de 2025 | Ataque recorde de 31,4 Tbps, com 35 segundos de duração, mitigado automaticamente pela Cloudflare |
| 19 de dezembro de 2025 | Início da campanha “The Night Before Christmas”, atribuída ao botnet Aisuru/Kimwolf |
| 28 de fevereiro de 2026 | Operação militar Epic Fury; seguem-se 149 reivindicações hacktivistas em 72 horas |
| 13 de abril de 2026 | Semana de ação da Operação PowerOFF contra serviços de DDoS-a-pedido |
| Abril de 2026 | Mês de pico do semestre em atividade e volume DDoS |
| 12 de agosto de 2026 | Publicação do relatório semestral de ameaças DDoS da Cloudflare |
O teto subiu: 31,4 Tbps em 35 segundos
O limite superior destes ataques tem subido rapidamente. O botnet AISURU/Kimwolf foi associado a um ataque recorde que atingiu 31,4 Tbps e durou apenas 35 segundos, incidente ocorrido em novembro de 2025 e integrado num aumento de ataques HTTP DDoS hipervolumétricos no final desse ano, todos detetados e mitigados automaticamente. A mesma infraestrutura esteve por trás da campanha internamente designada “The Night Before Christmas”, que visou clientes da Cloudflare e também o painel e a infraestrutura da própria empresa com ataques HTTP acima de 200 milhões de pedidos por segundo. A Cloudflare descreve o Aisuru-Kimwolf como um conjunto massivo de dispositivos infetados, sobretudo televisores Android, estimado entre um e quatro milhões de máquinas, capaz de derrubar soluções legadas de proteção e até de afetar a conectividade de países inteiros.
Porque é que os ataques “pequenos” continuam a ser o maior risco para PME
Este é o ponto que interessa a quem gere um site institucional, uma loja online ou um portal de serviços. A Cloudflare observa que, apesar do crescimento hipervolumétrico, o ataque mediano do semestre continuou curto e pequeno, com 96,62% dos ataques de camada de rede abaixo de 500 Mbps e 90,60% a terminar em menos de 10 minutos — sublinhando que “pequeno” é relativo, porque a maioria das propriedades na Internet não resistiria sequer a esses ataques, e que 100 Mbps bastam para saturar um servidor ou website.
A curta duração tem uma consequência prática: quando o alerta chega ao analista de segurança, o ataque já terminou, o que torna a mitigação manual e as soluções ativadas a pedido demasiado lentas para esta realidade. Ainda assim, os efeitos secundários prolongam-se além do ataque. A empresa nota que mesmo uma rajada curta pode desencadear instabilidade de encaminhamento, retransmissões TCP, timeouts aplicacionais e degradação de serviços a jusante que levam horas ou dias a resolver, concluindo que a proteção automática e permanente é uma necessidade e não uma conveniência.
Medidas concretas de mitigação
- Optar por mitigação always-on e automática, em vez de ativação manual ou on-demand, dado que a janela útil de resposta humana é praticamente inexistente.
- Reforçar a resiliência do DNS autoritativo (redundância, anycast, limitação de taxa), o vetor que dominou a atividade de camada de rede no semestre.
- Não expor serviços passíveis de abuso em reflexão/amplificação, como
CLDAP(porta 389/UDP),NTP,SSDP,memcachedou resolvers DNS abertos à Internet. - Proteger o endereço IP de origem: se a infraestrutura real for descoberta, o atacante contorna a proteção na periferia.
- Definir e ensaiar limites de taxa, páginas de erro degradadas e circuitos de comunicação com clientes, para reduzir o impacto reputacional de indisponibilidades.
- Higienizar dispositivos IoT e routers da própria organização, incluindo equipamentos de baixo custo sem atualizações, que alimentam botnets como o Aisuru/Kimwolf.
- Registar métricas de disponibilidade e evidências técnicas do incidente, essenciais para as notificações legais e para a análise posterior.
Mercado de DDoS-a-pedido sob pressão policial
Parte deste ecossistema é comercial e de baixo custo. A Europol indica que, a 13 de abril de 2026, 21 países juntaram esforços numa semana de ação coordenada com medidas de repressão e prevenção contra mais de 75 mil utilizadores de serviços de DDoS-a-pedido. Segundo a Europol, as ações incluíram mais de 75 mil mensagens de aviso a utilizadores identificados, quatro detenções, 25 mandados de busca e a desativação de 53 domínios ligados a serviços de booter. A análise dos sistemas apreendidos expôs mais de três milhões de contas de utilizador associadas a estes serviços. Portugal figura entre os países parceiros da Operação PowerOFF, coordenada pelo Centro Europeu de Cibercriminalidade da Europol e pela J-CAT.
Porque é que isto importa em Portugal
O DDoS não é uma ameaça abstrata no contexto nacional. O CNCS considerou os ataques de negação de serviço distribuída uma ameaça relevante no ciberespaço de interesse nacional devido ao seu impacto e associou esta tipologia à atividade de grupos hacktivistas, e dados do CERT.PT relativos aos incidentes mais relevantes apontaram um tempo médio de indisponibilidade de oito horas causado por estes ataques em 2024. O relatório do CNCS destacou ainda um crescimento expressivo dos incidentes em 2024, com ênfase em ransomware, DDoS e fugas de credenciais, e identificou cibercriminosos, atores estatais e hacktivistas como os agentes de ameaça mais relevantes.
Do lado legal, a disponibilidade é agora matéria de conformidade. As entidades abrangidas pelo Regime Jurídico da Cibersegurança, que transpõe a diretiva NIS2, têm de gerir riscos, registar-se e notificar incidentes significativos — e uma indisponibilidade prolongada de serviços essenciais entra nesse perímetro. O CNCS assinalou, no boletim do seu Observatório de junho de 2026, que com a publicação do Regulamento n.º 756/2026 começaram a contar vários prazos legais para as entidades públicas e privadas no âmbito do regime nacional. Quando um ataque de disponibilidade coincide com acesso indevido ou perda de dados pessoais, acresce o dever de avaliação ao abrigo do RGPD, com eventual notificação à CNPD. Para PME, a leitura é simples: proteção automática permanente, DNS resiliente e um plano de indisponibilidade testado valem mais do que qualquer promessa de reação em tempo real.
Perguntas frequentes
Quantos ataques DDoS mitigou a Cloudflare no primeiro semestre de 2026?
A empresa reporta 23,2 milhões de ataques de camada de rede e 29,64 trilhões de pedidos HTTP DDoS entre janeiro e junho de 2026, o equivalente a cerca de 5.343 ataques por hora.
Os ataques muito grandes são a maior ameaça para uma PME?
Não necessariamente. A Cloudflare indica que 96,62% dos ataques de camada de rede ficaram abaixo de 500 Mbps e que um ataque de 100 Mbps já é suficiente para saturar um servidor ou site sem proteção adequada.
Porque é que os ataques ao DNS ganharam peso?
Os ataques baseados em DNS representaram 34,3% da atividade de camada de rede no semestre. Saturar o DNS autoritativo impede a resolução do domínio, derrubando na prática todos os serviços que dependem dele, e a amplificação permite gerar grandes volumes com poucos recursos.
Um ataque DDoS tem de ser notificado em Portugal?
Depende da entidade e do impacto. As organizações abrangidas pelo Regime Jurídico da Cibersegurança têm deveres de notificação de incidentes significativos ao CNCS; se houver dados pessoais afetados, pode acrescer a notificação à CNPD ao abrigo do RGPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Cloudflare (Cloudforce One), pela Europol e pelo Centro Nacional de Cibersegurança.