Новый уровень DDoS, российские компании столкнулись с атаками выше 3 Тбит/с впервые в истории

Российские компании в 1 квартале 2026 года столкнулись с новым уровнем DDoS-давления. По данным StormWall, злоумышленники активно используют многовекторные атаки, короткие импульсные удары, «ковровые бомбардировки» по диапазонам IP-адресов и сверхмощные инциденты выше 3 Тбит/с. Основной удар пришёлся на телеком, ретейл и финансовые организации, где сбои быстро превращаются в простой сервисов и прямые потери.

Аналитики StormWall подвели итоги 1 квартала 2026 года и зафиксировали рост сложности атак, а не только их мощности. Раньше бизнес часто готовился к одному понятному потоку мусорного трафика, а теперь атака может одновременно давить на разные уровни сети, менять интенсивность и размазывать нагрузку по большим сегментам инфраструктуры.

Самым распространённым типом стали многовекторные DDoS-атаки. На них пришлось 37% всех зафиксированных инцидентов в России. По сравнению с 1 кварталом 2025 года их число выросло на 62%. Подобный формат особенно неприятен для защитных команд из-за одновременной работы по нескольким направлениям сразу.

Интересно, что многовекторные атаки бьют сразу по сети, приложениям и сервисам, и защита часто не успевает развернуть фильтры на всех уровнях одновременно.

На 2-м месте оказались импульсные атаки с долей 32%. Их число выросло на 47% год к году. Это короткие, резкие всплески трафика, длящиеся от нескольких десятков секунд до 2–3 минут с повторами каждые 5–10 минут. Для бизнеса они выглядят как серия внезапных ударов с короткими паузами для перевода духа.

Рваная динамика особенно болезненна для нескольких отраслей:

• телеком с большим числом зависимых сервисов;
• ретейл с пиковой нагрузкой в часы продаж;
• сервисы платежей и личные кабинеты клиентов;
• API для мобильных приложений;
• системы поддержки и обслуживания пользователей.

Импульсная атака не обязательно держит сервис «лежачим» часами, но регулярно выбивает его из рабочего состояния.

Ещё 26% инцидентов пришлись на «ковровые бомбардировки» с ростом на 36%. В подобном формате злоумышленники атакуют не один IP-адрес, а сразу диапазон или целую подсеть с сотнями и тысячами адресов. Цель — перегрузить инфраструктуру шире, чем при точечной атаке, и заставить защиту распыляться по большому числу целей.

«Ковровая бомбардировка» бьёт по нескольким типам инфраструктурных элементов одновременно:

• публичные веб-сайты и витрины компании;
• резервные адреса и вспомогательные узлы;
• API для мобильных и партнёрских приложений;
• внутренние шлюзы и каналы связи;
• элементы без статуса главной цели в обычное время.

Отдельно StormWall отметил появление в России атак мощностью выше 3 Тбит/с. В 1 квартале 2026 года подобные инциденты фиксировались впервые. Основными целями стали телеком-сфера и финансовые организации. На прочие типы DDoS-атак пришлось всего 4% инцидентов.

Интересно, что в России впервые зафиксированы DDoS-атаки мощнее 3 Тбит/с, и подобный объём трафика способен снести инфраструктуру средней компании за минуты.

Рубеж выше 3 Тбит/с значим не только как красивая цифра в отчёте. Подобная мощность требует от защитной инфраструктуры огромного запаса пропускной способности, распределённой фильтрации и быстрой маршрутизации трафика. Компании с расчётом только на собственный канал или базовую защиту провайдера сталкиваются с почти неподъёмной нагрузкой.

Ранее StormWall сообщала, что в 1 квартале 2026 года главными источниками мирового DDoS-трафика стали США, Бразилия и Россия. На США пришлось 23,8% атакующих потоков, Бразилия резко поднялась до 11,1%, а Россия заняла 3 место с долей 9,2%. Речь не обязательно об атаках от жителей этих стран, чаще используются заражённые устройства и облачные ресурсы.

Особенно заметен рост ботнетов. Число заражённых устройств в DDoS-атаках выросло почти в 3 раза и добралось до 7 млн IP-адресов. Чем больше устройств вовлечено в атаку, тем сложнее отфильтровать вредоносный поток без риска задеть настоящих пользователей.

Похожие выводы по отраслевой нагрузке представила компания «Гарда». В аналитике DDoS-атак за 1 квартал 2026 года телеком остаётся одной из самых привлекательных целей. На него пришлось 32% атак. Финансовая отрасль, по данным «Гарды», получила меньшую долю атак с снижением показателя с 8% до 5% по сравнению с концом 2025 года.

Для российского бизнеса свежая статистика означает невозможность воспринимать DDoS как одну типовую угрозу. Современные атаки требуют разных подходов к защите:

• многовекторная атака требует обороны на разных уровнях;
• импульсная атака требует быстрой реакции и автоматизации;
• «ковровая бомбардировка» требует понимания всей адресной инфраструктуры;
• сверхмощные атаки требуют распределённой фильтрации;
• комбинированные удары требуют гибкой настройки систем.

Эксперты редакции CISOCLUB отмечают, что DDoS-ландшафт в России перешёл на новый уровень сложности. По мнению редакции, компаниям пора готовиться не к одному большому потоку, а к комбинации разных техник одновременно или волнами. Главная задача для бизнеса теперь состоит в проверке реальной устойчивости публичных сервисов, каналов связи, DNS, API и резервных маршрутов. При неспособности защиты быстро отличать настоящего клиента от атакующего узла отметка в 3 Тбит/с превращается из числа в отчёте в прямой риск простоя и финансовых потерь.