Blog

2026 DDoS tehdit raporu, yılın ilk yarısında siber saldırı dünyasında yaşanan büyük dönüşümü gözler önüne seriyor. Küresel ölçekte hizmet veren bir CDN ve güvenlik sağlayıcısının telemetri verilerine dayanan rapor; 1 Tbps üzeri hiper-hacimsel saldırıların rekor seviyeye ulaştığını, DNS tabanlı saldırıların en yaygın vektör hâline geldiğini ve jeopolitik gerilimlerin saldırı hedeflerini doğrudan şekillendirdiğini ortaya koyuyor. Rapora göre yalnızca ilk altı ayda 23,2 milyon ağ katmanı saldırısı ve 29,64 trilyon HTTP isteği engellendi. Bu rakamlar, saatte ortalama 5.343 DDoS saldırısına karşılık geliyor.

2026’nın İlk Yarısında Rakamlar Neler Söylüyor?

Ocak ile Haziran 2026 arasını kapsayan dönemde DDoS saldırılarının hem sayısı hem de hacmi dikkat çekici biçimde arttı. Rapor, yalnızca ağ katmanında 23,2 milyon saldırının engellendiğini, HTTP tabanlı saldırılarda ise 29,64 trilyon isteğin filtrelendiğini gösteriyor. Bu veriler, günde yaklaşık 128 bin saldırı anlamına geliyor. Saldırıların yoğunluğu yıl içinde dalgalı bir seyir izledi; özellikle Nisan 2026, hem istek hacmi hem de veri trafiği açısından zirve ay oldu. Nisan ayında 6,46 trilyon HTTP isteği ve 165 petabaytlık veri akışı engellendi. Bu miktar, büyük video platformlarının tek bir günde işlediği veriye yakın bir büyüklüğe işaret ediyor.

Nisan ayındaki zirvenin ardından saldırı hacminde gözle görülür bir düşüş yaşandı. Bu düşüşte, 21 ülkenin katılımıyla gerçekleştirilen ve 75 binden fazla DDoS kiralama kullanıcısını hedef alan uluslararası bir kolluk operasyonunun etkili olduğu değerlendiriliyor. Operasyon kapsamında 53 alan adı kapatılırken, 25 arama emri çıkarıldı ve dört kişi gözaltına alındı. Bu tür operasyonlar, botnet altyapılarının geçici de olsa zayıflamasına ve saldırı hacminin azalmasına katkı sağlıyor.

Hiper-Hacimsel Saldırılar Neden Bu Kadar Arttı?

Raporun en çarpıcı bulgularından biri, 1 Tbps üzeri bant genişliğine ulaşan hiper-hacimsel saldırılardaki artış. İlk yarıyılın tamamında 935 adet 1 Tbps üzeri ağ katmanı saldırısı engellenirken, bu saldırıların büyük bölümü ikinci çeyrekte yoğunlaştı. İkinci çeyrekte tek başına 805 saldırının engellenmesi, bir önceki çeyreğe göre yaklaşık %519’luk bir artışa denk geliyor. Hiper-hacimsel saldırılar; saniyede 1 terabit bant genişliği, saniyede 1 milyar paket veya saniyede 1 milyon istek eşiğini aşan saldırılar olarak tanımlanıyor.

Bu büyüklükteki saldırılar, yalnızca hedef web sitesini değil, aynı veri merkezini kullanan diğer hizmetleri de etkisiz hâle getirebiliyor. Özellikle bulut tabanlı uygulamalar ve e-ticaret siteleri, bu tür saldırılarda dakikalar içinde erişilemez hâle gelebiliyor. Saldırganların artık daha büyük botnet ağlarına ve daha güçlü amplifikasyon yöntemlerine erişebildiği görülüyor. Bu nedenle, VPS hosting hizmeti kullanan işletmelerin bile koruma katmanlarını gözden geçirmesi gerekiyor.

Saldırı Vektörleri Değişiyor: DNS Flood ve CLDAP

2026’nın ilk yarısında saldırı vektörlerinin dağılımında belirgin bir kayma yaşandı. Botnet kaynaklı doğrudan taşkın saldırılarının yerini, yansıtma ve amplifikasyon teknikleri aldı. DNS tabanlı saldırılar, ağ katmanı aktivitelerinin %34,3’ünü oluşturarak en büyük vektör grubu hâline geldi. DNS Flood saldırılarının payı ise ilk çeyrekte %25,7 iken ikinci çeyrekte %40,0’a yükseldi.

DNS Flood ve DNS Amplification Arasındaki Fark

DNS Flood ve DNS Amplification sıklıkla karıştırılsa da çalışma prensipleri farklıdır. DNS Flood, bir botnet ağının doğrudan hedefin yetkili DNS sunucularına yoğun istek göndermesiyle gerçekleşir. Amaç, DNS sunucularının sorgu kapasitesini tüketerek alan adının çözümlenmesini engellemektir. Bu durumda, o alan adına bağlı tüm servisler erişilemez hâle gelir. DNS Amplification ise sahte IP adresleriyle açık DNS çözümleyicilerine küçük sorgular gönderilmesini ve bu sorgulara verilen büyük yanıtların hedefe yönlendirilmesini içerir. Özellikle ANY sorguları, amplifikasyon oranını ciddi biçimde artırır.

CLDAP Saldırıları %580 Arttı

İkinci çeyreğin en dikkat çeken vektörü ise CLDAP oldu. Connectionless Lightweight Directory Access Protocol yani CLDAP, LDAP protokolünün UDP üzerinden çalışan bağlantısız bir varyantıdır. Genellikle Active Directory ortamlarında dizin sorgulamak için kullanılır. UDP tabanlı olması nedeniyle el sıkışma gerektirmez ve kaynak IP adresinin sahtelenmesine olanak tanır. Saldırganlar, genel erişime açık etki alanı denetleyicilerine UDP 389 portu üzerinden küçük sahte sorgular gönderir. Sunucular, bu sorgulara orijinal sorgudan onlarca hatta yüzlerce kat büyük yanıtlarla karşılık verir. Bu sayede hedef, devasa bir trafikle boğulur. Raporda CLDAP saldırılarının çeyreklik bazda %580 arttığı ve ikinci çeyrekte en çok kullanılan üçüncü vektör konumuna yükseldiği belirtiliyor.

Saldırıların Süresi ve Boyutu: Kısa Ama Yıkıcı

Hiper-hacimsel saldırılardaki artışa rağmen, raporun ortaya koyduğu en önemli gerçeklerden biri saldırıların büyük bölümünün kısa ve düşük hacimli olması. İlk yarıyılda engellenen ağ katmanı saldırılarının %96,62’si 500 Mbps altında kalırken, %90,60’ı 10 dakikadan kısa sürdü. Ancak uzmanlar, “küçük” kavramının göreceli olduğuna dikkat çekiyor. 100 Mbps’lik bir saldırı, ortalama bir web sunucusunu çökertmeye yetebiliyor. 100 Gbps’lik bir saldırı, korumasız veri merkezlerini büyük ölçüde devre dışı bırakabiliyor. 1 Tbps üzerindeki saldırılar ise yalnızca büyük internet altyapılarını bile zorlayabilecek kapasiteye sahip.

Saldırganlar bazen farklı katmanları birleştiriyor: yüksek paket hızı ile düşük bant genişliği veya tam tersi. Bu yaklaşım, ağ ekipmanları ile bant genişliği kapasitesindeki farklı zayıflıkları aynı anda hedef almayı amaçlıyor. Dahası, rekor büyüklükteki bazı saldırıların yalnızca 35 saniye sürdüğü gözlemlendi. Bu süre, bir güvenlik analistinin uyarı alıp müdahale etmesi için yeterli değil. Manuel müdahale ve talep üzerine koruma çözümleri bu noktada işlevsiz kalıyor. Kısa süren saldırının etkileri ise uzun vadeli olabiliyor; yönlendirme istikrarsızlıkları, TCP yeniden iletimleri ve uygulama zaman aşımları, hizmetin saatlerce hatta günlerce aksamasına neden olabiliyor. Bu nedenle sürekli çalışan otomatik koruma sistemleri artık bir lüks değil, zorunluluk hâline geldi. Özellikle sınırsız hosting paketleri tercih eden küçük işletmelerin bile bu gerçeği göz önünde bulundurması ve DDoS koruması sunan altyapıları değerlendirmesi gerekiyor.

Sonuç olarak 2026 DDoS tehdit raporu, yalnızca saldırı sayılarındaki artışı değil, aynı zamanda saldırganların taktiklerindeki değişimi de net biçimde ortaya koyuyor. DNS tabanlı saldırıların ve hiper-hacimsel taşkınların öne çıktığı bu dönemde, işletmelerin otomatik ve sürekli koruma hizmetlerine yönelmesi kritik önem taşıyor. Raporun gösterdiği tablo, güvenlik önlemlerinin artık yalnızca büyük kurumlar için değil, her ölçekteki internet hizmeti için vazgeçilmez olduğunu açıkça kanıtlıyor.