Si 2025 mérite un titre, c'est « la première année de l'ère du térabit par seconde ». Selon le rapport annuel sur les menaces DDoS 2025 de Cloudflare, l'année a comptabilisé 47,1 millions d'attaques (le double de 2024 ; une hausse de 236 % de 2023 à 2025), avec une moyenne de 5 376 attaques atténuées de façon autonome chaque heure. L'acteur central était un botnet hyper-massif nommé Aisuru (et sa variante Aisuru-Kimwolf). Cet article lit « l'échelle » et « l'économie » derrière ce rapport.

1. Aisuru : un « cloud de botnet » d'un million de nœuds

Aisuru est estimé composé de 1 à 4 millions d'hôtes infectés, principalement des décodeurs TV Android et des appareils IoT à base de HiSilicon. Les attaques hyper-volumétriques qu'il lance dépassent routinièrement 1 Tbps et 1 milliard de paquets par seconde (Bpps).

Plus inquiétante encore est son économie de location : des blocs d'Aisuru sont vendus par des distributeurs comme un Botnet-as-a-Service. Pour seulement quelques centaines à quelques milliers de dollars, n'importe qui peut paralyser le backbone d'une nation et couper des millions d'utilisateurs de services essentiels. L'attaque est devenue un produit totalement standardisé.

2. Des records brisés encore et encore

  • T3 2025 : Aisuru a lancé l'attaque record de 29,7 Tbps en carpet-bombing UDP et 14,1 Bpps ; une seule attaque bombardait en moyenne ~15 000 ports de destination par seconde.
  • T4 2025 (19 décembre, opération « La veille de Noël ») : le DDoS HTTP contre l'infrastructure et les clients de Cloudflare a culminé à 205 millions de RPS.
  • Fin 2025 : une attaque a atteint en seulement 35 secondes un stupéfiant 31,4 Tbps – le plus gros trafic d'attaque jamais divulgué publiquement par une entreprise à l'époque.

Comment concevoir 205 Mrps ? C'est à peu près l'ensemble des populations du Royaume-Uni, de l'Allemagne et de l'Espagne appuyant sur Entrée sur une URL dans cette même seconde.

3. Une vérité négligée : les dommages collatéraux

Quelle est l'ampleur du trafic d'Aisuru ? Selon Krebs on Security, le simple fait de transiter par certains FAI américains a provoqué « des perturbations Internet collatérales généralisées aux États-Unis » – et ces FAI n'étaient même pas la cible. C'est l'aspect le plus dangereux du DDoS hyper-volumétrique : lorsqu'une attaque peut saturer le backbone d'un pays, les éclaboussures à elles seules mettent des tiers au tapis. Imaginez ce trafic dirigé directement vers un FAI sous-protégé, des infrastructures critiques, la santé ou les services d'urgence.

4. D'où viennent les attaques : l'abus du cloud

Cloudflare a découvert que la grande majorité du trafic d'attaque provenait d'IP liées à des plateformes cloud : DigitalOcean, Microsoft, Tencent, Oracle et Hetzner figurent tous dans le top dix des sources. Cela révèle une réalité inconfortable – les acteurs de menace exploitent l'infrastructure la plus accessible et la plus puissante du monde (des VM facilement provisionnées) pour générer un énorme trafic. Une seule attaque tire souvent parti de milliers d'ASN distincts ; les nœuds du botnet sont véritablement mondiaux.

5. Pourquoi la « réponse humaine » ne suffit plus

Un chiffre clé du rapport : 71 % des DDoS HTTP et 89 % des attaques de couche réseau se sont terminées en moins de 10 minutes. Une attaque courte peut durer quelques secondes, mais le coût de perturbation et de récupération dépasse de loin sa durée. Lorsque l'attaque est plus rapide que la réaction de tout opérateur, la mitigation autonome cesse d'être un « plus » et devient un prérequis de survie.

6. Enseignements pour les défenseurs

  • Il faut une architecture mondialement distribuée capable d'absorber des Tbps : les appliances locales ou les centres de scrubbing à la demande sont ridiculisés par des flots de classe 30 Tbps.
  • Masquer l'IP d'origine est un prérequis : les attaquants contournent le scrubbing et frappent l'IP réelle directement ; le masquage est l'étape un.
  • Mitigation autonome : identifiez et détournez en quelques secondes, pas quand quelqu'un arrive.
  • Les organisations s'appuyant sur du scrubbing local/à la demande doivent réévaluer – c'est la recommandation directe de Cloudflare dans le rapport.

Conclusion

Les données de 2025 envoient un signal clair : l'échelle et la sophistication du DDoS ont dépassé notre imagination. Pour toute activité critique, la question n'est plus « serons-nous attaqués ? » mais « lors d'une attaque, pouvons-nous nous en laver en quelques secondes ? ». Keep DDoS Away n'est pas de la chance – c'est un bouclier distribué mondialement et décidant de façon autonome.