요약

  • NETSCOUT의 1,286% 수치는 2026년 상반기에 1 Tbps 또는 1 Gpps 기준을 통과한 1,095건의 공격을 2025년 상반기의 79건과 비교한 것이다. 공개된 산술은 일관되며, 이는 기준 통과 횟수를 설명할 뿐 트래픽, 서비스 중단, 피해 기업, 방어 지출 또는 시장 매출이 1,286% 증가했다는 뜻이 아니다.
  • 이 집계는 네트워크 운영자가 대역폭 노출과 패킷 처리 노출을 따로 점검할 이유를 제공한다. 하지만 특정 구매자의 서비스가 얼마나 자주 표적이 되었는지, 완화 대응이 어떻게 작동했는지, 추가 용량이 필요한지는 알려주지 못한다.
  • NETSCOUT의 현재 보고서 페이지는 해당 기간에 910만 건이 넘는 공격이 있었다고 밝히고 있고 인포그래픽은 9,146,021건을 제시하는 반면, 라이브 Global Highlights 페이지는 2026년 1~6월에 대해 별도의 공개 설명 없이 4,267,744건을 표시하고 있다. 이 불일치는 전체 총계에 관한 것으로, 별도로 보고된 1,095건의 기준 통과 집계에는 해당하지 않는다.

좁은 측정 단위를 지닌 큰 백분율

헤드라인 수치는 한 줄로 검증할 수 있다:(1,095 − 79) ÷ 79 = 12.86, 반올림하면 1,286% 증가이다. 새 집계는 기존 집계의 약 13.9배이다. NETSCOUT의 17호 인포그래픽은 이를 1 Tbps 또는 1 Gpps를 넘은 “공격”이라고 부른다. 그러나 DDoS 환경 전체가 13배 성장했다거나, 모든 운영자가 더 많은 공격을 겪었다거나, 공격이 13배 더 파괴적이 되었다고 주장하지는 않는다.

분모가 중요하다. 79건은 작은 전년 대비 기준이므로 기준 통과 횟수가 몇십 건만 늘어도 백분율은 크게 움직인다. 그럼에도 1,095건 관측은 여전히 유의미하다. 보고서는 매우 높은 용량의 공격 유형이 자사 텔레메트리에서 더 자주 나타났다고 설명한다. 그러나 그 백분율은 선정된 특정 집단의 변화를 표현한 것일 뿐, 보편적인 위험 배수가 아니다.

“또는(or)”이라는 단어도 중요하다. 초당 1테라비트는 데이터 전송 속도를 측정하고, 초당 10억 패킷은 패킷 처리 부하를 측정한다. 소형 패킷 플러드는 대역폭이 높은 스트림과 다른 부하를 줄 수 있다. 인포그래픽은 두 기준을 하나의 헤드라인 집계로 합치면서, 대역폭 기준만 넘은 공격, 패킷 속도 기준만 넘은 공격, 두 기준 모두 넘은 공격의 구분을 공개하지 않는다. 공개 요약은 두 기준을 모두 넘은 공격이 합산 집계에서 어떻게 처리되는지도 설명하지 않는다. 구매자는 이 단일 수치로 어느 한 차원의 규모를 산정할 수 없다.

단순 캘린더 평균으로 계산하면 181일간의 2026년 상반기에 하루 약 6.0건, 181일간의 2025년 상반기에는 하루 0.44건에 해당한다. 그러나 이 산술은 일별 시계열이 아니다. 사건이 고르게 분포했는지, 며칠에 집중되었는지, 동시에 발생했는지, 특정 고객 네트워크에서 관측되었는지는 전혀 말해주지 않는다. 인포그래픽의 “하루 여러 번”이라는 표현은 기간 집계의 요약일 뿐, 매일 여섯 건의 사건이 있었다는 주장이 아니다.

기준 통과는 서비스 장애가 아니다

이 집계는 NETSCOUT이 관측한 데이터에서의 공격을 기록한 것이다. 서비스를 잃은 기업의 수를 세는 것이 아니다. 사건이 속도 기준을 넘으면서도 보호된 네트워크를 압도하지 못할 수 있고, 어느 기준에도 못 미치는 사건이 여전히 연결 상태나 애플리케이션 용량을 소진시킬 수 있다. 보고서 페이지 자체가 링크가 포화되기 전에 서비스가 중단될 수 있으며, 여러 목적지로 분산된 트래픽은 호스트별 기준을 회피할 수 있다고 밝히고 있다. 이는 최대 대역폭만 볼 것이 아니라는 이유이지, 1,095건의 공격이 그에 상응하는 수의 장애를 일으켰다는 증거가 아니다.

같은 보고서 페이지는 직접 경로 방식이 관측된 공격의 64.40%를 차지했으며, 1분 이하로 지속된 공격의 비중이 2025년 하반기 1.6%에서 2026년 상반기 3.1%로 상승했다고 밝힌다. 이 수치들은 전체 관측 구성의 변화를 보여준다. NETSCOUT은 이 두 지표를 1,095건의 고용량 집단에 대해 별도로 분석하지 않는다. 두 지표를 서로 곱하거나, 하루 여섯 건의 고용량 공격이 모두 짧은 직접 경로 플러드였다고 말하는 것은 잘못된 것이다.

보고서의 시장 프레임은 권고 사항에서 드러난다. NETSCOUT은 서비스 제공자가 네트워크 에지에 전용 완화 용량, 선택적 대응, 동시 사건을 위한 여유를 갖추어야 한다고 말하며, 온프레미스 방어와 클라우드 기반 완화를 상호 보완적으로 설명한다. 이는 제공자나 기업이 평가할 만한 그럴듯한 설계 선택이다. 동시에 이는 DDoS 인텔리전스와 방어를 판매하는 회사의 권고이기도 하다. 이 상업적 입장은 관련 맥락이지, 텔레메트리가 거짓이라는 증거는 아니다.

인포그래픽은 또한 월 0원부터 다섯 자리 수까지 이르는 DDoS 대행 서비스 구독 사다리를 설명하며, 공격이 물량이 아니라 실행 건당 판매된다고 말한다. 이는 공격 공급 측면을 보고서가 어떻게 제시하는지에 대한 신호이지, 실제 집행된 가격에 대한 조사가 아니다. 대표적인 요금제, 거래, 조건을 하나도 언급하지 않으며, 방어자가 에지 용량, 클라우드 스크러빙, 서비스 수준 보장에 지불하는 비용에 대해서는 아무것도 말하지 않는다. 이 가격 사다리를 방어 솔루션 공급자가 얻을 수 있는 수익 풀로 바꿀 수는 없다.

구매자는 집계를 자신의 네트워크로 옮겨 해석해야 한다

통신사, 클라우드 운영자, 기업 입장에서 유용한 용량 점검은 트래픽이 어디로 유입되고 어떤 서비스가 각 링크 뒤에 있는지 파악하는 것에서 시작된다. 질문은 실용적이다. 해당 에지에서 지속 가능한 대역폭은 얼마인가? 완화 경로가 검사하고 필터링할 수 있는 패킷 속도는 얼마인가? 사건 중에 정상 트래픽을 얼마나 전달할 수 있는가? 어느 상류 또는 클라우드 서비스가 넘치는 트래픽을 흡수할 수 있고, 얼마나 빨리 연동할 수 있는가? 필터링을 강화할 때 정상 고객은 어떻게 보호되는가?

이 질문들은 단일 장비 등급 이상을 다룬다. 제공자는 자체 에지에서 상시 탐지를 운영하거나, 선별된 트래픽을 스크러빙 서비스로 보내거나, 원격 이관을 기다릴 수 없는 공격을 위해 로컬 장비를 유지할 수 있다. 기업은 볼류메트릭 공격은 상류 제공자에 의존하면서 애플리케이션 계층 방어는 서비스 근처에 유지할 수 있다. 최적의 조합은 네트워크 토폴로지, 고객 약정, 지연 허용도, 동시 수요, 기존 용량, 오탐 비용에 따라 달라진다. NETSCOUT의 기간 집계는 어떤 특정 구매자를 위한 이러한 조건도 밝히지 않는다.

따라서 조달에 필요한 지표는 글로벌 집계보다 서비스 결과에 가깝다. 구매자는 영향받은 인터페이스와 목적지, 각 사건의 지속 시간과 최대 bps 및 pps, 탐지 및 완화까지의 시간, 차단된 정상 트래픽의 양, 동시 공격 중에도 방어가 유지되었는지를 알아야 한다. 계약에는 그다음 누가 정상 트래픽을 제공하는지, 어느 용량이 약정되는지, 넘치는 트래픽이 어떻게 가격 책정되는지, 어느 대응 시간이 보장되는지, 사건 이후 어떤 증거가 제공되는지를 명시해야 한다.

이런 연계가 없다면 “기준 이상의 공격이 더 많았다”는 사실은 긴박감을 강화해 판매에 쓰일 수는 있어도 예산을 결정하지 못한다. 서비스가 단일 상류 경로에 의존하는지, 패킷 처리 한계가 문서화되어 있는지 점검할 근거는 될 수 있다. 그러나 제공자가 정해진 수의 추가 테라비트를 구매하거나, 공급자를 교체하거나, 복수 연도 클라우드 스크러빙 계약을 체결해야 한다는 것을 입증하지는 않는다.

더 넓은 공격 총계는 공개 화면에서 정합성이 확인되지 않는다

고용량 비교는 보고서의 더 넓은 공격 총계 불일치와는 별개이다. NETSCOUT의 17호 페이지는 ATLAS가 2026년 상반기에 910만 건이 넘는 공격을 기록했다고 밝힌다. 인포그래픽은 정확한 수치로 9,146,021건을 제시한다. 같은 2026년 1~6월 기간으로 표기된 라이브 Global Highlights 페이지는 4,267,744건과 이전 6개월 대비 14.13% 변화를 표시한다. 공개 페이지들은 표시된 총계가 왜 다른지 설명하지 않는다.

이 격차는 반올림으로 처리하기에는 너무 크다. 정의, 데이터 처리 경로, 페이지 갱신 또는 다른 범위 구분의 차이를 반영할 수 있지만, 검토한 공개 자료는 어느 것인지 밝히지 않는다. 이 가능성들은 정합성 확인이 아니다. 따라서 본 기사는 어느 쪽 총계로도 전체 DDoS 성장률을 계산하지 않는다. 이 불일치는 명시적으로 제시된 1,095 대 79의 고용량 집계에는 영향을 주지 않지만, 페이지나 기간을 넘어 총계를 비교하려는 이에게 보고 경계가 중요하다는 점을 보여준다.

이것이 신호와 시장 전망의 차이다. 기준 통과 집계는 운영자에게 NETSCOUT이 선정된 규모에서 더 많은 사건을 기록했다고 알려준다. 그러나 사건이 네트워크 간에 어떻게 분포했는지, 어떤 손실을 일으켰는지, 얼마나 성공적으로 완화되었는지, 방어 계약이 늘었는지는 보여주지 않는다. 구매자는 이 집계를 자신의 대비 상태를 시험할 계기로 삼을 수 있다. 시장 분석가는 DDoS 방어 시장이 1,286% 성장했다고 주장하기 전에 여전히 가격, 계약 활동, 배치 현황, 이용률 또는 공급자 매출이 필요하다.

공개 증거가 뒷받침하는 것

  • NETSCOUT의 17호 보고서 페이지는 2026년 상반기 기간, 910만 건 이상 헤드라인, 1,286% 기준 통과 주장, 64.40% 직접 경로 비중, 짧은 지속 시간 비교, 그리고 회사가 밝힌 완화 권고를 뒷받침한다.
  • 17호 공식 인포그래픽은 어느 기준이든 넘은 1,095건의 공격, 전년 대비 79건, 정확한 9,146,021건의 전체 총계, 그리고 보고서의 DDoS 대행 가격 사다리 그래픽을 제공한다.
  • NETSCOUT의 Global Highlights 페이지는 2026년 1~6월에 대해 4,267,744건을 표시한다. 17호 보고서 페이지나 인포그래픽과의 정합성 확인은 그곳에서 볼 수 없다.

방어 가능한 해석은 언론의 백분율보다 좁다: NETSCOUT은 2026년 상반기에 1년 전 같은 기간보다 훨씬 많은 고용량 기준 통과를 기록했다. 이는 더 나은 운영 질문을 던질 이유이다. 그것만으로 고객 피해의 집계도, 보안 지출 전망도 아니다.