A Cloudflare publicou a mais recente edição do seu relatório trimestral sobre negação de serviço distribuída e os números confirmam uma mudança de escala no problema: os ataques de dimensão extrema deixaram de ser exceções raras para se tornarem um acontecimento quase diário. Segundo o relatório, a empresa mitigou 935 ataques de camada de rede acima de 1 Tbps no primeiro semestre de 2026, com um aumento de 519% entre o primeiro e o segundo trimestre. Este salto surge poucos meses depois de a mesma empresa ter divulgado o maior ataque DDoS publicamente conhecido até à data, que atingiu 31,4 Tbps e durou apenas 35 segundos. Para quem gere serviços online em Portugal, a leitura prática é direta: soluções que dependem de intervenção humana ou de encaminhamento manual de tráfego chegam tarde.
Resposta rápida: A Cloudflare afirma ter mitigado 935 ataques DDoS de camada de rede superiores a 1 Tbps no primeiro semestre de 2026, com uma subida de 519% de um trimestre para o outro. O centro de gravidade dos vetores deslocou-se para reflexão e amplificação, com o DNS a representar 34,3% da atividade de camada de rede. A recomendação da própria empresa é reavaliar estratégias baseadas em appliances locais ou centros de limpeza acionados a pedido, porque a maioria destes ataques termina em minutos — ou segundos. Em Portugal, organizações abrangidas pelo novo regime de cibersegurança devem garantir capacidade de deteção automática e procedimentos de notificação prontos a usar.
O que dizem os números do primeiro semestre de 2026
Trata-se de da 25.ª edição da série, a primeira publicada em formato semestral: em vez de relatórios separados para o primeiro e o segundo trimestres, a empresa juntou a cobertura de janeiro a junho de 2026 num único volume, elaborado pela Cloudforce One. A escala global é relevante: a meio do ano, a Cloudflare já tinha mitigado 23,2 milhões de ataques de camada de rede e 29,64 bilhões de pedidos HTTP maliciosos, o equivalente a cerca de 5343 ataques de camada de rede por hora ou aproximadamente 128 mil por dia.
Houve também uma alteração clara de tática. O eixo dos vetores deslocou-se das inundações geradas por botnets para técnicas de reflexão e amplificação: os ataques baseados em DNS representaram 34,3% de toda a atividade de camada de rede no semestre, com as inundações DNS a subir de 25,7% para 40,0% dos ataques de camada de rede entre trimestres, enquanto as inundações CLDAP cresceram 580% e passaram a ser o terceiro vetor mais usado no segundo trimestre. O CLDAP é uma variante do LDAP que funciona sobre UDP e não exige handshake, o que permite falsificar o endereço de origem e explorá-lo como vetor de reflexão — uma característica que o torna atrativo para amplificar tráfego.
Importa contrariar uma leitura simplista: a maioria dos ataques continua pequena e curta. Segundo a Cloudflare, 96,62% dos ataques de camada de rede ficaram abaixo de um limiar reduzido de largura de banda e 90,6% terminaram em menos de 10 minutos, embora os ataques com mais de três horas tenham subido de 0,387% no primeiro trimestre para 0,828% no segundo. Nota de transparência: as coberturas disponíveis divergem sobre o limiar exato dessa percentagem, pelo que aqui não se fixa um valor em Mbps.
Geopolítica: quando um conflito se traduz em tráfego
Um dos aspetos mais interessantes do relatório é a correlação entre acontecimentos internacionais e picos de atividade. A Cloudflare descreve que, a 28 de fevereiro de 2026, após o início da operação militar designada «Epic Fury» contra a liderança e infraestruturas do Irão, em 72 horas foram registadas 149 reivindicações de ataques DDoS por grupos hacktivistas contra 110 organizações distintas em 16 países, com cerca de 47,8% das organizações visadas a pertencerem ao setor governamental.
O efeito refletiu-se nas classificações setoriais. O setor de Media, Produção e Publicação foi o mais atacado nos dois trimestres, com 14,2% de todos os pedidos HTTP DDoS mitigados, num contexto de cobertura noticiosa sobre o Irão, a Ucrânia e o Campeonato do Mundo; a Turquia subiu ao terceiro lugar entre os países mais atacados, no enquadramento da cimeira da NATO em Ancara, e o setor governamental saltou da 29.ª para a 9.ª posição, o maior movimento setorial de 2026 até agora. Em termos de volume, abril de 2026 foi o mês de maior atividade, com um pico de 6,46 bilhões de pedidos e 165 petabytes de tráfego.
Quanto a origens e destinos, leituras do relatório publicadas por meios especializados indicam que o Brasil ultrapassou os Estados Unidos como principal país de origem de tráfego DDoS no semestre (14,9% contra 13,4%), enquanto a China terminou o período como localização mais atacada, absorvendo 22,4% dos pedidos HTTP DDoS globais no segundo trimestre, seguida pelos Estados Unidos com 18,8%.
O antecedente: o recorde de 31,4 Tbps e a botnet Aisuru-Kimwolf
O contexto imediato deste crescimento foi estabelecido no final de 2025. No relatório do quarto trimestre de 2025, a Cloudflare descreveu um bombardeamento sem precedentes atribuído à botnet Aisuru-Kimwolf, batizado como campanha «The Night Before Christmas», que visou clientes, o painel de gestão e a própria infraestrutura da empresa com ataques HTTP acima de 200 milhões de pedidos por segundo, semanas depois de um ataque recorde de 31,4 Tbps. Os valores máximos registados durante essa campanha foram de 9 mil milhões de pacotes por segundo, 24 Tbps e 205 milhões de pedidos por segundo.
No conjunto do ano, os ataques DDoS cresceram 121% em 2025, com uma média de 5376 ataques mitigados automaticamente por hora, e a dimensão dos ataques aumentou mais de 700% face aos grandes ataques observados no final de 2024, tendo o maior atingido 31,4 Tbps em apenas 35 segundos. Relatos de investigadores associam a capacidade desta rede a dispositivos comprometidos de consumo, em particular equipamentos Android de televisão, com estimativas de controlo entre um e quatro milhões de dispositivos a nível global.
| Indicador | 2025 (4.º trimestre / ano) | 1.º semestre de 2026 |
|---|---|---|
| Maior ataque divulgado | 31,4 Tbps, com 35 segundos de duração | 935 ataques acima de 1 Tbps no semestre |
| Volume total mitigado | 47,1 milhões de ataques em 2025 (+121%) | 23,2 milhões de ataques de camada de rede |
| Ritmo médio | 5376 ataques por hora | ≈5343 por hora (≈128 mil/dia) |
| Vetor dominante | Inundações de botnets (Aisuru-Kimwolf) | Reflexão/amplificação: DNS (34,3%) e CLDAP |
Medidas de mitigação recomendadas
A conclusão operacional dos relatórios é consistente e vale para organizações de qualquer dimensão:
- Proteção sempre ativa em vez de reativa — o relatório sugere que organizações que dependem de appliances de mitigação locais ou de centros de limpeza acionados a pedido reavaliem a sua estratégia de defesa. Um ataque de 35 segundos termina antes de qualquer escalamento manual.
- Reduzir a exposição de serviços amplificáveis — auditar servidores
DNSrecursivos abertos, serviçosCLDAP/LDAPexpostos na Internet e outros protocolos UDP acessíveis publicamente, para não ser parte do problema. - Filtragem anti-spoofing na rede — aplicar validação de endereços de origem no perímetro, prática essencial contra vetores de reflexão.
- Higiene de dispositivos IoT — atualizar firmware, alterar credenciais por omissão e evitar expor caixas de TV, gravadores e câmaras diretamente à Internet, dado o papel destes equipamentos nas botnets de maior dimensão.
- Partilha de informação — a Cloudflare disponibiliza um feed gratuito de ameaças de botnets DDoS, com mais de 800 redes a colaborar na identificação e no bloqueio de endereços IP abusivos.
- Testar o plano de resposta — validar contactos com o operador de trânsito, capacidade de mudança de rotas e monitorização com granularidade de segundos, não de minutos.
Porque é que isto importa em Portugal
O DDoS não é uma ameaça abstrata no ciberespaço nacional. O Centro Nacional de Cibersegurança (CNCS) tem sinalizado a sua relevância: na 6.ª edição do relatório «Riscos & Conflitos», a análise aponta para um aumento significativo dos incidentes em 2024, num ano marcado por casos de grande impacto que incluíram ransomware, indisponibilidades por falha crítica e ataques de negação de serviço distribuída, além de fugas de credenciais de entidades da Administração Pública e de operadores de serviços essenciais. O mesmo documento indica que os grupos hacktivistas, maioritariamente de matriz pró-russa, atuaram no ciberespaço nacional sobretudo através de ações disruptivas como ataques DDoS — exatamente o padrão que a Cloudflare associa a eventos geopolíticos.
Para as organizações abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a disponibilidade dos serviços é matéria de conformidade, e não apenas de continuidade de negócio: exige gestão de risco documentada, medidas técnicas proporcionais e notificação de incidentes significativos ao CNCS/CERT.PT em prazos curtos. Um ataque que sature a ligação de uma clínica, de um município ou de um operador logístico pode obrigar a acionar esses procedimentos — e a demonstrar que existiam controlos adequados.
Há ainda a dimensão de proteção de dados. O RGPD trata a disponibilidade e a resiliência dos sistemas como parte da segurança do tratamento, pelo que uma indisponibilidade prolongada que impeça o acesso a dados pessoais — por exemplo, registos clínicos ou processos de utentes — pode configurar um incidente com relevância para a CNPD, não apenas um problema de infraestrutura. Para PME, a mensagem é pragmática: contratar mitigação distribuída e automática é hoje mais barato do que absorver um ataque de escala terabit com equipamento no local.
Perguntas frequentes
O que é um ataque DDoS hipervolumétrico?
É um ataque de negação de serviço distribuída de dimensão extrema, tipicamente medido em terabits por segundo ou em milhares de milhões de pacotes por segundo. A Cloudflare mitigou 935 ataques de camada de rede acima de 1 Tbps no primeiro semestre de 2026, com um crescimento de 519% entre o primeiro e o segundo trimestre.
Qual foi o maior ataque DDoS conhecido publicamente?
Segundo a Cloudflare, o maior ataque divulgado publicamente atingiu 31,4 Tbps e durou cerca de 35 segundos, tendo sido detetado e bloqueado automaticamente no final de 2025. Foi associado à botnet Aisuru-Kimwolf, responsável também pela campanha «The Night Before Christmas».
Porque estão os ataques a usar mais DNS e CLDAP?
Porque a reflexão e a amplificação permitem gerar grandes volumes de tráfego com poucos recursos, aproveitando serviços mal configurados e expostos na Internet. No primeiro semestre de 2026, os ataques baseados em DNS representaram 34,3% da atividade de camada de rede e as inundações CLDAP cresceram 580% de um trimestre para o outro.
A minha PME precisa de proteção DDoS dedicada?
Se o negócio depende de serviços online, sim. A maioria dos ataques é pequena e curta, o que significa que basta pouca largura de banda para saturar uma ligação modesta, e as defesas acionadas manualmente chegam tarde. Proteção distribuída e sempre ativa, aliada à higiene de dispositivos e serviços expostos, é a abordagem recomendada.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Cloudflare (Cloudforce One) e pelo Centro Nacional de Cibersegurança.