Cloudflare hôm thứ Ba cho biết họ đã giảm thiểu 7,3 triệu cuộc tấn công từ chối dịch vụ phân tán (DDoS) trong quý 2 năm 2025, một sự sụt giảm đáng kể so với 20,5 triệu cuộc tấn công DDoS mà họ đã chống đỡ trong quý trước.

"Nhìn chung, trong quý 2 năm 2025, các cuộc tấn công DDoS siêu lớn đã tăng vọt", Omer Yoachimik và Jorge Pacheco cho biết. "Cloudflare đã chặn hơn 6.500 cuộc tấn công DDoS siêu lớn, trung bình có tới 71 cuộc mỗi ngày".

Trong quý 1 năm 2025, công ty cho biết một chiến dịch kéo dài 18 ngày liên tục chống lại cơ sở hạ tầng của chính họ và các cơ sở hạ tầng quan trọng khác được Cloudflare bảo vệ đã gây ra 13,5 triệu trong số các cuộc tấn công được ghi nhận trong khoảng thời gian đó. Tổng cộng, Cloudflare đã chặn gần 28 triệu cuộc tấn công DDoS, vượt qua số lượng cuộc tấn công mà họ đã giảm thiểu trong cả năm 2024.

Điểm đáng chú ý trong các cuộc tấn công của quý 2 năm 2025 là một cuộc tấn công DDoS kinh hoàng đạt đỉnh 7,3 terabit mỗi giây (Tbps) và 4,8 tỷ gói mỗi giây (Bpps) trong vòng 45 giây.

Các đợt tăng lưu lượng lớn như thế này thường gây chú ý nhưng điều thường bị bỏ qua là cách kẻ tấn công hiện đang kết hợp chúng với các cuộc thăm dò nhỏ hơn, có mục tiêu. Thay vì chỉ áp đảo hệ thống bằng vũ lực, chúng kết hợp các cuộc tấn công quy mô lớn với các cuộc quét âm thầm để tìm ra điểm yếu và lách qua các hệ thống phòng thủ được xây dựng để chặn những mối đe dọa rõ ràng.

Các xu hướng tấn công

Các cuộc tấn công DDoS Lớp 3/Lớp 4 (L3/4) giảm 81% so với quý trước xuống còn 3,2 triệu, trong khi các cuộc tấn công HTTP DDoS tăng 9% lên 4,1 triệu. Hơn 70% các cuộc tấn công HTTP DDoS bắt nguồn từ các botnet đã biết. Các vector tấn công L3/4 phổ biến nhất là các cuộc tấn công lũ lụt được thực hiện qua giao thức DNS, TCP SYN và UDP.

Các nhà cung cấp dịch vụ viễn thông và nhà mạng nằm trong số những đối tượng bị nhắm mục tiêu nhiều nhất, tiếp theo là các lĩnh vực Internet, dịch vụ CNTT, trò chơi và cờ bạc.

Trung Quốc, Brazil, Đức, Ấn Độ, Hàn Quốc, Thổ Nhĩ Kỳ, Hong Kong, Việt Nam, Nga và Azerbaijan nổi lên là những địa điểm bị tấn công nhiều nhất dựa trên quốc gia thanh toán của khách hàng Cloudflare. Indonesia, Singapore, Hong Kong, Argentina và Ukraine là năm nguồn hàng đầu của các cuộc tấn công DDoS.

Công ty cơ sở hạ tầng web và bảo mật cũng tiết lộ rằng số lượng các cuộc tấn công DDoS siêu lớn vượt quá 100 triệu gói mỗi giây (pps) đã tăng 592% so với quý trước.

Tấn công DDoS tống tiền và mối đe dọa DemonBot

Một khía cạnh quan trọng khác là sự gia tăng 68% trong các cuộc tấn công DDoS tống tiền, xảy ra khi các tác nhân độc hại cố gắng tống tiền một tổ chức bằng cách đe dọa tấn công DDoS. Nó cũng bao gồm các kịch bản mà các cuộc tấn công được thực hiện và một khoản tiền chuộc được yêu cầu để ngăn chặn việc tái diễn.

"Mặc dù phần lớn các cuộc tấn công DDoS có quy mô nhỏ, nhưng các cuộc tấn công DDoS siêu lớn đang gia tăng về quy mô và tần suất", Cloudflare cho biết. "Sáu trong số 100 cuộc tấn công HTTP DDoS vượt quá 1 triệu yêu cầu mỗi giây (rps), và 5 trong số 10.000 cuộc tấn công DDoS L3/4 vượt quá 1 Tbps, mức tăng 1.150% so với quý trước".

Công ty cũng đã kêu gọi chú ý đến một biến thể botnet có tên DemonBot lây nhiễm các hệ thống dựa trên Linux, chủ yếu là các thiết bị IoT không an toàn, thông qua các cổng mở hoặc thông tin đăng nhập yếu để biến chúng thành một botnet DDoS có thể thực hiện các cuộc tấn công lũ lụt UDP, TCP và lớp ứng dụng.

"Các cuộc tấn công thường được điều khiển bằng lệnh và kiểm soát (C2) và có thể tạo ra lưu lượng lớn đáng kể, thường nhắm vào các dịch vụ trò chơi, lưu trữ hoặc doanh nghiệp", công ty nói thêm. "Để tránh lây nhiễm, hãy tận dụng phần mềm chống vi-rút và lọc miền".

Các vector lây nhiễm như những gì DemonBot khai thác làm nổi bật những thách thức rộng lớn hơn với việc tiếp xúc IoT không an toàn, thông tin đăng nhập SSH yếu và firmware lỗi thời những chủ đề phổ biến trong sự gia tăng botnet DDoS.

Các chiến lược tấn công liên quan, như phản chiếu TCP, khuếch đại DNS và né tránh lớp bùng nổ, ngày càng được thảo luận trong các báo cáo về mối đe dọa lớp ứng dụng và phân tích bảo mật API của Cloudflare.

Thu Uyên