Die Banken- und Finanzdienstleistungsbranche war laut Cloudflare am stärksten von den Angriffen betroffen, gefolgt von der IT-Branche und dem Telekommunikationssektor. Geografisch gesehen wurde China am häufigsten zum Ziel der Angriffe, während die meisten Attacken ihren Ursprung in Indonesien hatten. Bei der Art der Angriffe teilten sich Attacken auf der Netzwerkebene und solche auf der Anwendungsebene die Waage.

Bemerkenswert ist die Rolle bekannter Botnetze: 72 Prozent aller HTTP-DDoS-Attacken wurden von identifizierten Botnetzen durchgeführt. Die Angreifer versuchten dabei häufig, sich zu tarnen – in 80 Prozent der Fälle gaben sie sich als Google-Chrome-Browser aus. Auffällig war zudem ein massiver Anstieg von SSDP-Amplifikationsangriffen um 4000 Prozent im Vergleich zum Vorquartal.

Während 89 Prozent des böswilligen Datenverkehrs die GET-Methode nutzten, erwies sich die DELETE-Methode als verhältnismäßig gefährlichster HTTP-Befehl: Fast 12 Prozent aller DELETE-Anfragen waren Teil von DDoS-Attacken. Auch beim Protokoll-Standard zeigten sich interessante Muster: Obwohl die meisten Angriffe über HTTP/2 (80 Prozent) und HTTP/1.1 (19 Prozent) erfolgten, war der nicht-standardisierte "HTTP/1.2"-Verkehr besonders auffällig - mehr als die Hälfte aller Anfragen über diese inoffizielle Protokollversion waren Teil von DDoS-Attacken.

In einer Befragung gaben 80 Prozent der angegriffenen Unternehmen an, die Identität ihrer Angreifer nicht zu kennen. Von den übrigen 20 Prozent berichteten 32 Prozent von Erpressungsversuchen, 25 Prozent vermuteten Konkurrenten hinter den Angriffen, und 21 Prozent machten unzufriedene Kunden oder Nutzer verantwortlich. Interessanterweise gaben sieben Prozent der Befragten an, sich versehentlich selbst angegriffen zu haben, etwa durch fehlerhafte Firmware-Updates von IoT-Geräten.