Résumé

  • NETSCOUT compare 1 095 attaques ayant franchi l’un des seuils de 1 Tbit/s ou 1 Gpps au premier semestre 2026 à 79 au premier semestre 2025. Le calcul de +1 286 % est cohérent, mais porte uniquement sur ce groupe d’événements observés.
  • Il ne permet pas de conclure que le trafic, les dommages, les victimes, les dépenses de protection ou les revenus du secteur ont augmenté dans la même proportion. Le débit binaire et le débit de paquets sont deux contraintes différentes, que l’infographie regroupe sans publier leur ventilation.
  • Les pages publiques de NETSCOUT ne donnent pas le même total pour le premier semestre 2026 : la page du rapport indique plus de 9,1 millions d’attaques, l’infographie en affiche 9 146 021 et la page Global Highlights en montre 4 267 744. Aucune explication n’y réconcilie ces chiffres.

Le pourcentage dépend d’un seuil très précis

La hausse annoncée se vérifie : (1 095 − 79) / 79 × 100 donne environ 1 286 %. Le nombre de cas dans la période récente représente près de 13,9 fois le total de la période comparable. Cette arithmétique ne signifie pas que l’ensemble des attaques DDoS a été multiplié par 13,9, ni que chaque réseau a connu la même évolution. Elle porte sur les attaques qui ont franchi l’un de deux seuils définis par NETSCOUT.

La base de comparaison compte aussi. Soixante-dix-neuf événements constituent un dénominateur réduit : quelques dizaines de cas supplémentaires modifient fortement le taux en pourcentage. Les 1 095 franchissements restent un signal important dans la télémétrie d’ATLAS, mais le taux de croissance ne peut pas être étendu à toutes les attaques ou à tous les opérateurs.

Les deux seuils ne décrivent pas la même charge. Un térabit par seconde mesure un débit de données. Un milliard de paquets par seconde mesure le rythme de traitement des paquets. Un flot de petits paquets peut mettre à l’épreuve les équipements différemment d’un flux très volumineux. L’infographie assemble les deux catégories dans le même total et ne précise pas combien d’attaques ont franchi uniquement le seuil en Tbit/s, uniquement celui en Gpps, ou les deux. Elle ne décrit pas non plus la règle de dédoublonnage des événements qui franchissent les deux seuils.

Rapporté aux 181 jours du premier semestre, le total équivaut à environ 6,0 attaques qualifiantes par jour, contre 0,44 un an auparavant. Il s’agit d’une moyenne arithmétique, pas d’un calendrier d’incidents. Elle ne montre ni les journées de concentration, ni les événements simultanés, ni la présence de ces attaques sur le réseau d’un acheteur donné.

Franchir un seuil ne signifie pas provoquer une panne

Une attaque de forte capacité peut être absorbée par les défenses en place. À l’inverse, un événement inférieur aux deux seuils peut perturber un service en épuisant l’état des connexions ou les ressources d’une application. La page du rapport rappelle elle-même qu’une saturation de lien n’est pas nécessaire pour interrompre un service et que des flux répartis sur plusieurs destinations peuvent échapper aux seuils par hôte. Ces observations invitent à regarder au-delà du pic de débit ; elles ne prouvent pas que les 1 095 attaques ont causé 1 095 interruptions.

NETSCOUT indique que les attaques directes représentaient 64,40 % des attaques observées au premier semestre, et que la part des attaques d’une minute ou moins est passée de 1,6 % au second semestre 2025 à 3,1 % au premier semestre 2026. La société ne publie pas ces deux mesures pour le seul groupe des 1 095 attaques. On ne peut donc pas affirmer que les événements ayant franchi les seuils étaient tous courts ou directs.

Le rapport recommande aux fournisseurs d’accès et opérateurs une capacité de mitigation dédiée en bordure de réseau, une réponse sélective et une marge pour les attaques simultanées. Il présente la protection locale et la mitigation dans le cloud comme des couches complémentaires. Ce sont des options d’architecture à évaluer, mais elles sont aussi promues par une entreprise qui vend des produits de renseignement et de protection DDoS. Cet intérêt commercial mérite d’être rendu visible ; il ne démontre pas que les mesures sont fausses.

L’infographie propose également une échelle d’abonnements DDoS-for-hire allant de zéro à plusieurs dizaines de milliers de dollars par mois, et indique que les attaques sont vendues selon la prestation plutôt qu’au volume. Ce visuel ne documente ni offres représentatives, ni transactions, ni conditions tarifaires. Il ne donne pas davantage les prix des services de protection. Il ne constitue donc pas une estimation du marché accessible aux fournisseurs de défense.

Pour décider, l’opérateur doit revenir à ses propres chemins réseau

Un examen de capacité commence par les points d’entrée du trafic et les services situés derrière chaque liaison. L’opérateur doit connaître le débit binaire disponible sur l’interface concernée et le débit de paquets que son dispositif de mitigation peut inspecter et filtrer. Il doit aussi savoir quelle quantité de trafic légitime sera renvoyée, quel service amont ou cloud peut absorber un débordement et dans quel délai ce relais devient disponible.

Le choix ne se réduit pas à la capacité nominale d’un équipement. Une détection permanente en bordure peut traiter certains événements sur place ; une plateforme de nettoyage dans le cloud peut absorber un flux plus réparti ou un débordement ; une combinaison des deux ajoute des interfaces, des essais et des procédures de coordination. La bonne architecture dépend du réseau, des engagements de service, de la latence tolérée, du nombre d’événements simultanés, de la capacité déjà installée et du coût des faux positifs. Le total global de NETSCOUT ne décrit aucune de ces conditions pour un acheteur particulier.

Pour un achat, les indicateurs les plus utiles portent sur les résultats : temps de détection et de mitigation, trafic légitime écarté, maintien des services pendant plusieurs événements, capacité réellement engagée, prix du débordement et qualité du rapport post-incident. Les contrats doivent préciser qui fournit le trafic nettoyé, quelles capacités sont garanties et comment les dépassements sont facturés. Sans ces éléments, une hausse des attaques au-dessus d’un seuil crée un motif d’examen, pas un montant à inscrire au budget.

Le total général affiché n’est pas réconcilié

La comparaison 1 095/79 est distincte d’un écart concernant le volume total. La page du rapport de NETSCOUT évoque plus de 9,1 millions d’attaques en janvier-juin 2026 ; l’infographie en précise 9 146 021. Or la page Global Highlights, qui affiche le même intervalle janvier-juin 2026, indique 4 267 744 attaques et une variation de 14,13 % sur six mois. Les pages publiques consultées ne précisent pas pourquoi les totaux diffèrent.

L’écart ne relève pas d’un simple arrondi. Il pourrait découler de définitions, d’un périmètre, d’une mise à jour ou d’un autre traitement des données ; aucune de ces hypothèses n’est confirmée par les pages. Il faut donc laisser l’écart ouvert et ne pas calculer une croissance globale à partir d’un total choisi arbitrairement. Cette incohérence rend la définition des mesures importante pour toute comparaison entre périodes. Elle ne modifie pas, à elle seule, le décompte distinct de 1 095 attaques au-dessus des seuils.

La lecture défendable est plus étroite que le pourcentage : NETSCOUT a observé beaucoup plus de franchissements de seuils élevés au premier semestre 2026 que pendant la période comparable de 2025. Un opérateur peut s’en servir pour tester son propre dispositif. Pour prévoir les dépenses ou mesurer la taille du marché, il faut encore connaître les incidents touchant les clients, l’efficacité de la mitigation, les contrats, les prix et les revenus des fournisseurs.

Sources publiques