공격 횟수 42% 감소, 강도는 신기록: DDoS는 '적고, 강하고, 조용한' 방향으로

Link11이 방금 공개한 2026년 상반기 유럽 사이버 리포트에는 겉보기에 모순된 숫자 한 쌍이 나란히 있다. DDoS 공격 횟수는 42% 줄었지만, 모든 강도 지표가 역대 신기록을 경신했다. 단일 피크 대역폭은 2.3Tbit/s에 도달(2025년 상반기 피크 1.2Tbit/s 대비 85% 증가), 패킷율은 3억 2,200만 pps(+56%), 상반기 누적 트래픽은 705TB(+61%)로 뛰었다. 위협이 사라진 것이 아니라 전술이 바뀐 것이다 — '무차별 대량 투사'에서 '정밀한 중포격'으로.

횟수가 줄면서 파괴력이 커진 이유

리포트는 이 전환을 두 가지 요인으로 본다. 하나는 슈퍼 봇넷(super-botnet)이다. Aisuru와 그 후신 Kimwolf 같은 대규모 봇넷, 그리고 늘어난 해킹된 클라우드 서버 — 가정용 라우터와 카메라 수천 대를 묶는 것보다 하이밴드 클라우드 머신 한 대가 훨씬 더 많은 대역폭을 밀어낸다. 공격자는 더 이상 취약한 소형 기기의 대규모 군집이 필요하지 않다. 하이밴드 클라우드 좀비 몇 대로 단일 이벤트를 Tbit/s급으로 밀어올릴 수 있다.

또 하나는 법 집행 기관의 압력이 실제로 횟수를 억제했다는 점이다. 2025년 7월 NoName057(16) 인프라 단속인 'Operation Eastwood', 그리고 2026년 3월 미국·캐나다·독일 3국이 300만 대 이상의 IoT 기기를 제어하던 4개 대규모 봇넷의 C2 서버를 폐쇄했다. 횟수는 내렸다 — 그러나 남은 것은 더 전문적이고 자금력 있는 집단이다.

정말 신경 쓸 숫자: 한 번 치이면, 재공격은 거의 기정사실

리포트에서 가장 놓치기 쉬운 한 항목: 공격받은 고객 중 30일간 '공격 제로'를 유지한 곳은 44%에 불과(전년 54%에서 감소). 공격자는 노린 표적을 리스트에 남겨둔다 — 당신의 IP, 당신의 서비스, 당신의 취약점은 기록되어 있다. 첫 번째 물결은 '끝'이 아니라 '정찰'이며, 최대 피해를 주는 공격은 대체로 그 뒤에 찾아온다.

가장 위험한 공격은 가장 조용한 공격

리포트에 기록된 실제 사례에서는, 공격자가 두 도메인에 대한 트래픽 스파이크를 '연막'으로 쓰며 그 뒤에 SQL 인젝션과 XSS 탐색을 조용히 돌리고 있었다. 발각된 이유는 우연이었다 — 공격과 은밀 탐색 모두에 같은 IP 풀을 돌려쓴 것뿐이며, 방어 측의 승리라고 할 수 없었다.

이것이 2026년 디펜더가 받아들이아야 할 현실이다: 대역폭만 보고 알려진 시그니처 매칭에만 의존하면, '의도적으로 조용하게 설계된 공격'은 반드시 놓친다. 그 설계 목표는 '발견되지 않음'이며, 피해는 나중에 폭발한다.

당신의 방어가 의미하는 것

• 용량 계획은 지난해 횟수로 정하지 마라: 과거 공격 빈도로 미티게이션 용량을 설계하면 2026년에는 구조적으로 과소평가된다 — 단일 이벤트가 과거 피크를 뛰어넘는다
• 탐지는 한 층으로 부족: 중포는 L3/L4에서, 정상적으로 보이는 트래픽 속에 숨은 SQLi/XSS는 L7/WAF에서 — 둘을 동시에 가동하라
• 공격 후 30일이 위험 기간: 첫 번째 물결 이후 감시 밀도는 낮추는 것이 아니라 높여야 한다
• 사람의 수작업 대응으로는 속도가 안 나온다: 강하고 조용한 공격에는 24/7 자동 상관 분석이 필요하다 — 로그 횡단, 계층 횡단, 초 단위 대응은 온콜 체계로는 실현 불가능하다