Resumo

  • A alta de 1.286% compara 1.095 ataques que superaram pelo menos um dos dois limites na primeira metade de 2026 com 79 na primeira metade de 2025. A aritmética publicada fecha; o indicador é uma contagem de cruzamentos de limite, não uma medida de tráfego, vítimas, indisponibilidade, gasto ou receita.
  • O número pode levar operadoras a revisar capacidade de banda e processamento de pacotes em separado. Não revela quantas vezes uma rede específica foi atacada, se a mitigação funcionou ou quanto um comprador deve investir.
  • As páginas da NETSCOUT divergem sobre o total mais amplo: a reportagem fala em mais de 9,1 milhões, o infográfico informa 9.146.021 e o painel Global Highlights mostra 4.267.744 para janeiro a junho de 2026. O material público não explica a diferença. Essa inconsistência diz respeito ao total geral, não à contagem distinta de 1.095.

Um percentual alto, mas uma unidade de medida estreita

A conta cabe em uma linha: (1.095 − 79) ÷ 79 × 100, cerca de 1.286%. O valor do semestre mais recente é aproximadamente 13,9 vezes o anterior. A edição 17 do infográfico da NETSCOUT descreve ataques que superaram 1 Tbps ou 1 Gpps. Isso não significa que todo o cenário de DDoS tenha crescido treze vezes, que todas as operadoras tenham visto a mesma mudança ou que os ataques tenham causado treze vezes mais danos.

O denominador merece atenção. Setenta e nove é uma base pequena, portanto algumas dezenas de ocorrências adicionais alteram bastante a porcentagem. Ainda assim, 1.095 observações formam um sinal operacional relevante: na telemetria da empresa, ataques de grande capacidade apareceram com maior frequência. O percentual não é um multiplicador universal de risco.

Os dois limites descrevem pressões diferentes. Terabits por segundo medem o volume de dados que atravessa um enlace; bilhões de pacotes por segundo medem a carga de processamento. Uma inundação de pacotes pequenos pode sobrecarregar equipamentos sem ocupar a mesma banda que um fluxo volumoso. O infográfico agrega os dois critérios, mas não publica quantos ataques cruzaram somente o limite de banda, somente o de pacotes ou ambos. Também não explica como conta um ataque que ultrapassa os dois.

O primeiro semestre de 2026 teve 181 dias. Dividir o total por esse período dá cerca de 6,0 cruzamentos por dia, contra 0,44 no primeiro semestre de 2025, também com 181 dias. É apenas uma média: não informa a distribuição diária, a simultaneidade dos eventos nem se algum deles passou pela rede de um cliente específico. A expressão “várias vezes por dia” no infográfico não prova uma cadência uniforme.

Cruzar um limite não equivale a derrubar um serviço

A contagem descreve eventos observados pela NETSCOUT, não empresas que ficaram fora do ar. Um ataque acima dos limites pode ser absorvido por uma rede protegida; outro, abaixo deles, pode esgotar estados de conexão ou capacidade de aplicação. A própria página do relatório diz que um serviço pode sofrer impacto antes da saturação do enlace e que o tráfego distribuído entre destinos pode escapar de limites aplicados por host. Esses pontos justificam olhar além do pico de banda, mas não demonstram que os 1.095 eventos tenham provocado 1.095 interrupções.

A empresa informa ainda que métodos de caminho direto representaram 64,40% dos ataques observados e que a parcela de ataques com duração de até um minuto subiu de 1,6% no segundo semestre de 2025 para 3,1% no primeiro semestre de 2026. São medidas da mistura geral observada, não recortes dos 1.095 ataques de grande capacidade. Não é válido combiná-las e concluir que os eventos acima dos limites eram todos curtos ou diretos.

As recomendações comerciais da NETSCOUT ajudam a entender o enquadramento do relatório: a companhia defende capacidade dedicada de mitigação na borda, resposta seletiva e folga para eventos simultâneos, além de descrever proteção local e mitigação em nuvem como complementares. São opções plausíveis para avaliação de uma rede. Também vêm de uma empresa que vende inteligência de ameaças e proteção contra DDoS. O interesse comercial é contexto relevante, mas não prova que a medição esteja errada.

O infográfico exibe uma faixa mensal de preços de serviços de ataque sob demanda, do gratuito a cinco dígitos, e afirma que ataques são vendidos pela entrega, não pelo volume. Isso é uma descrição da própria peça gráfica, não uma pesquisa de transações, planos representativos ou condições contratuais. Tampouco informa o preço de serviços defensivos. Não serve para estimar a receita disponível aos fornecedores de mitigação.

A operadora precisa traduzir o dado para a própria rede

Uma revisão de capacidade começa por mapear por onde o tráfego entra e quais serviços dependem de cada enlace. Importa medir a banda sustentável na borda relevante e a quantidade de pacotes que o caminho de mitigação consegue inspecionar e filtrar. O operador precisa saber quanto tráfego legítimo consegue devolver, qual provedor de trânsito ou serviço em nuvem absorve o excedente e quanto tempo leva para acioná-lo. A equipe também precisa medir quanto tráfego legítimo seria bloqueado ao apertar os filtros.

A classificação de capacidade de um equipamento, isoladamente, não define a arquitetura. A operadora pode manter detecção permanente na própria borda, direcionar tráfego selecionado a um centro de limpeza ou combinar equipamento local com serviço externo. A escolha depende da topologia, dos compromissos de nível de serviço, da tolerância a latência, da demanda simultânea, da capacidade existente e do custo de falsos positivos. O total global da NETSCOUT não revela as condições de nenhum comprador específico.

Para decidir uma compra, são mais úteis resultados próximos ao serviço: tempo para detectar e mitigar, volume de tráfego legítimo descartado, continuidade durante ataques simultâneos, capacidade contratualmente comprometida, cobrança por excedente e qualidade do relatório pós-incidente. O contrato deve esclarecer quem entrega o tráfego limpo, qual capacidade e prazo de resposta são garantidos, como o excedente é cobrado e quais evidências o fornecedor fornecerá.

Sem essas ligações entre evento, desempenho e contrato, uma alta na contagem pode justificar uma revisão, mas não determina um orçamento. Pode revelar a necessidade de testar uma dependência de rota única ou de documentar limites de processamento de pacotes. Não prova que uma operadora deva comprar mais terabits, trocar de fornecedor ou assinar um contrato plurianual de limpeza em nuvem.

O total mais amplo continua sem reconciliação pública

A comparação dos ataques de grande capacidade é separável da divergência no total geral. A página da edição 17 diz que a ATLAS registrou mais de 9,1 milhões de ataques no primeiro semestre de 2026; o infográfico apresenta 9.146.021. Já o Global Highlights ao vivo exibe 4.267.744 para janeiro a junho e uma variação de 14,13% ante os seis meses anteriores. As páginas públicas não explicam a diferença.

O intervalo é grande demais para ser arredondamento. Diferenças de definição, escopo, atualização ou agregação são possibilidades, mas nenhum material consultado confirma uma delas. Não cabe escolher um total sem fundamento e calcular o crescimento geral de DDoS a partir dele. A divergência reforça a importância de conhecer os limites de cada série, mas não invalida automaticamente a contagem publicada à parte de 1.095 cruzamentos de limites.

A leitura de mercado defensável é menor que a manchete. A telemetria da NETSCOUT registrou mais ataques acima dos limites selecionados no primeiro semestre de 2026 do que no período comparável de 2025. Operadores podem usar o dado para testar sua prontidão. Para demonstrar dano, compras ou expansão da receita do setor, são necessárias evidências diferentes: incidentes concretos, resultados de mitigação, contratos, preços e vendas.

O que as fontes públicas sustentam

O dado mais sólido é específico: a NETSCOUT registrou mais cruzamentos dos limites de alta capacidade no primeiro semestre de 2026. É motivo para fazer perguntas operacionais melhores, não uma contagem de prejuízos ou uma previsão de gasto com segurança.