Super-botnets drijven DDoS-intensiteit op naar recordhoogtes

Het onderzoek schetst een paradoxaal beeld van de Europese cyberveiligheid. Waar het totale volume aan aanvallen daalt, schieten de intensiteitsrecords aan alle kanten omhoog. De hoogst gemeten bandbreedte bereikte in de eerste zes maanden van 2026 een recordhoogte van 2,3 Tbit/s — een stijging van 85 procent ten opzichte van het vorige record (1,2 Tbit/s) in dezelfde periode een jaar eerder.

Ook op het gebied van pakketsnelheid en datavolume werden nieuwe grenzen verlegd. De pakketsnelheid piekte op 322 miljoen pakketten per seconde (+56 procent), terwijl het totale verwerkte datavolume in zes maanden tijd toenam van 438 naar 705 terabyte (+61 procent).

Super-botnets en gekaapte cloudservers

Volgens Link11 zijn de extreme pieken grotendeels toe te schrijven aan de opkomst van 'super-botnets' zoals Aisuru en de opvolger Kimwolf. Daarnaast maken cybercriminelen op grote schaal gebruik van gekaapte cloudservers. Omdat deze servers afzonderlijk aanzienlijk meer bandbreedte kunnen genereren dan traditionele botnets van gecompromitteerde thuisrouters of IoT-camera's, neemt de impact per incident drastisch toe.

De daling van het totale aantal aanvallen is daarentegen het directe gevolg van succesvol optreden door internationale opsporingsdiensten. Zo werd in juli 2025 tijdens 'Operation Eastwood' de infrastructuur van de pro-Russische groep NoName057(16) ontmanteld. In maart 2026 haalden autoriteiten in de VS, Canada en Duitsland bovendien de command-and-controlservers van vier grote IoT-botnets neer, die samen goed waren voor meer dan drie miljoen gecompromitteerde apparaten.

"Deze cijfers laten zien dat de dreiging niet afneemt, maar verschuift van omvang naar maximale intensiteit", licht Jens-Philipp Jung, CEO van Link11, toe. "Organisaties die hun beveiliging afstemmen op het aantal aanvallen van vorig jaar, onderschatten hoe snel één incident tegenwoordig kan escaleren."

DDoS als rookgordijn

Een nog verontrustendere trend is de inzet van DDoS-aanvallen als dekmantel. Terwijl beheerders en securityteams alle zeilen bijzetten om een hevige verkeerspiek op te vangen, proberen aanvallers onder de radar binnen te dringen via andere methoden.

Link11 legt in het rapport een casus bloot waarin een piek in het verkeer naar twee domeinen werd gebruikt om ongemerkt SQL-injecties en cross-site scripting (XSS)-aanvallen uit te voeren. Deze gecombineerde tactiek kwam uitsluitend aan het licht doordat de aanvallers voor beide activiteiten per abuis dezelfde IP-adressen gebruikten.

"De gevaarlijkste aanvallen waarmee we te maken hebben, zijn tegenwoordig zelden de meest opvallende", stelt Jag Bains, VP Solution Engineering bij Link11. "Wie alleen kijkt naar bandbreedte en bekende aanvalssignaturen, mist de aanvallen die zijn ontworpen om de meeste schade aan te richten, juist omdat ze onopgemerkt willen blijven."

De conclusie van het rapport is helder: in 2026 worden cyberrisico's niet langer bepaald door de frequentie van aanvallen, maar door hun verwoestende kracht en sluwheid. Beveiligingsstrategieën die enkel leunen op historische volumecijfers schieten daardoor tekort tegen de dreiging van vandaag.