Gli attacchi DDoS ipervolumetrici non sono più episodi eccezionali. Nei primi sei mesi del 2026 Cloudflare ha mitigato 935 attacchi di livello rete superiori a 1 terabit al secondo, con un aumento del 519% tra il primo e il secondo trimestre. Il dato più netto del DDoS Threat Report H1 2026 di Cloudflare è proprio la frequenza raggiunta dagli assalti capaci di mettere sotto pressione anche infrastrutture Internet di grandi dimensioni.
Il report, il venticinquesimo della serie e il primo a coprire un intero semestre, riunisce la telemetria osservata dalla rete globale dell’azienda tra gennaio e giugno. In questo periodo Cloudflare ha mitigato 23,2 milioni di attacchi DDoS a livello rete e 29,64 mila miliardi di richieste HTTP DDoS: in media, circa 5.343 attacchi di rete ogni ora, pari a quasi 128.000 al giorno.
Da 130 a 805 attacchi oltre 1 Tbps
L’accelerazione si concentra nel secondo trimestre. Gli attacchi di rete oltre 1 Tbps sono passati da 130 nel primo trimestre a 805 nel secondo, con un aumento del 519%. Cloudflare classifica come ipervolumetrici anche gli eventi che superano un miliardo di pacchetti al secondo oppure un milione di richieste al secondo, perché le tre misure descrivono pressioni diverse sulla capacità di collegamento, sugli apparati di rete e sulle applicazioni.
L’aumento dei picchi estremi convive però con una distribuzione dominata da eventi più contenuti: il 96,62% degli attacchi di rete è rimasto sotto 500 Mbps e il 90,60% si è concluso in meno di dieci minuti. “Piccolo”, in questo contesto, non significa innocuo. Un flusso da 100 Mbps può già saturare un singolo server o un collegamento non protetto.
La durata ridotta cambia soprattutto la risposta operativa. Un attacco che si sviluppa e termina in pochi minuti, o persino in pochi secondi, lascia poco spazio a un intervento manuale dopo l’allarme. Per le organizzazioni diventa quindi rilevante la capacità di rilevare e filtrare automaticamente il traffico anomalo, mantenendo la protezione sempre attiva e distribuendola prima che il flusso raggiunga il servizio bersaglio.
Cloudflare ha osservato attacchi da record esaurirsi in appena 35 secondi. Anche quando il flusso ostile termina rapidamente, gli effetti possono protrarsi molto più a lungo: instabilità del routing, ritrasmissioni TCP, timeout applicativi e degrado dei servizi a valle possono richiedere ore o giorni per essere completamente riassorbiti.
Gli aggressori combinano inoltre livelli e misure differenti, associando per esempio un’elevata quantità di pacchetti al secondo a una banda relativamente contenuta, o il contrario. In questo modo possono colpire separatamente la capacità dei collegamenti e i limiti di elaborazione degli apparati di rete.
DNS e CLDAP alimentano la nuova crescita
Il primo semestre mostra anche uno spostamento nei metodi. Gli attacchi basati su DNS hanno rappresentato il 34,3% dell’attività DDoS a livello rete. I DNS flood, che sommergono i server autoritativi di richieste fino a esaurirne la capacità, sono saliti dal 25,7% al 40% degli attacchi tra i due trimestri.
Accanto al volume generato direttamente dalle botnet cresce l’uso della riflessione e dell’amplificazione. In questi attacchi l’aggressore falsifica l’indirizzo IP della vittima e interroga servizi esposti tramite protocolli basati su UDP. Le risposte, più grandi delle richieste iniziali, vengono inviate al bersaglio: l’infrastruttura vulnerabile diventa così un moltiplicatore del traffico.
DNS flood e DNS amplification sfruttano lo stesso sistema in modi differenti. Nel primo caso una botnet indirizza grandi volumi di query verso i server DNS autoritativi della vittima, rendendo irraggiungibili il dominio e i servizi che ne dipendono. Nel secondo, piccole richieste con indirizzo sorgente falsificato vengono inviate a resolver DNS aperti, che restituiscono risposte molto più grandi verso l’indirizzo della vittima.
Il caso più evidente è CLDAP, variante connectionless di LDAP utilizzata per interrogare servizi di directory. I CLDAP flood sono aumentati del 580% su base trimestrale, diventando il terzo vettore più osservato nel secondo trimestre. L’abuso riguarda in particolare endpoint LDAP su UDP esposti pubblicamente, compresi controller di dominio raggiungibili sulla porta 389: piccole query con indirizzo sorgente contraffatto possono produrre risposte decine o centinaia di volte più grandi verso la vittima.
Per chi gestisce reti aziendali, il dato richiama due interventi concreti: limitare l’esposizione su Internet dei servizi UDP che non devono essere pubblici e applicare filtri contro lo spoofing degli indirizzi sorgente. La capacità di assorbimento a valle resta importante, ma ridurre il numero di sistemi utilizzabili come riflettori agisce anche sull’infrastruttura che rende possibili questi attacchi.
Media e pubblica amministrazione tra i bersagli
Le tensioni internazionali e i grandi eventi hanno inciso sulla distribuzione dei bersagli. Media, produzione e publishing sono stati il settore più attaccato in entrambi i trimestri, con il 14,2% delle richieste HTTP DDoS mitigate, quasi quattro volte la quota del comparto successivo. Le campagne hanno seguito l’attenzione internazionale verso Iran, Ucraina e Coppa del Mondo.
Il settore governativo ha compiuto il movimento più ampio della classifica, passando dal ventinovesimo al nono posto nel secondo trimestre. Il cambiamento è avvenuto durante la fase seguita all’operazione militare Epic Fury, iniziata il 28 febbraio 2026 con gli attacchi di Israele e Stati Uniti contro la leadership e le infrastrutture iraniane.
Nelle 72 ore successive sono state registrate 149 rivendicazioni di attacchi DDoS hacktivisti contro 110 organizzazioni in 16 Paesi. Il 47,8% delle organizzazioni colpite apparteneva al settore governativo.
Tra i Paesi bersaglio, nel secondo trimestre la Cina ha concentrato il 22,4% delle richieste HTTP DDoS osservate, davanti agli Stati Uniti con il 18,8%. La Turchia è salita al terzo posto dopo avere più che raddoppiato la propria quota. La crescita ha accompagnato i preparativi per il vertice NATO di Ankara tra giugno e l’inizio di luglio, durante i quali le forze di sicurezza turche hanno arrestato almeno 209 persone in una serie di operazioni preventive.
Sul fronte dell’origine del traffico mitigato, invece, il Brasile ha superato gli Stati Uniti nel semestre, con il 14,9% contro il 13,4%; nel solo secondo trimestre la quota brasiliana ha raggiunto il 21,4%. L’Indonesia è rimasta al terzo posto in entrambi i trimestri, confermandosi per più periodi consecutivi tra le tre principali origini del traffico DDoS. L’origine tecnica non coincide necessariamente con la posizione degli autori: spesso indica reti e dispositivi compromessi inseriti in una botnet.
I takedown riducono il rumore, non la capacità d’attacco
Aprile è stato il mese di massima attività, con 6,46 mila miliardi di richieste e 165 petabyte di traffico DDoS. Un volume equivalente allo streaming continuo di video 4K per anni e paragonabile alla quantità di dati elaborata in un giorno dalle principali piattaforme video. Nei mesi successivi i volumi sono diminuiti, dopo Operation PowerOFF, l’azione internazionale coordinata con il supporto di Europol. L’operazione ha interessato oltre 75.000 utenti di servizi DDoS a pagamento, portato alla chiusura di 53 domini, a 25 perquisizioni e a quattro arresti.
La flessione non cancella però il segnale strutturale del semestre. Gli attacchi sopra 1 Tbps arrivano ormai a centinaia per trimestre, mentre riflessione e amplificazione sfruttano servizi ancora esposti e configurazioni deboli.
Una capacità di rete da 500 Tbps
Cloudflare affronta questi volumi con una rete dotata di 500 Tbps di capacità, distribuita in oltre 330 città. Ogni servizio della rete è protetto da una difesa DDoS gratuita e senza limiti di traffico. La protezione opera in ogni punto della rete e rileva e mitiga automaticamente gli attacchi senza attendere un intervento umano, un requisito determinante quando gli eventi più intensi possono durare meno del tempo necessario a esaminare un allarme.
L’azienda mette inoltre a disposizione di hosting provider, piattaforme cloud e operatori Internet un DDoS Botnet Threat Feed gratuito, che segnala indirizzi IP e account utilizzati per generare gli attacchi. Più di 800 reti nel mondo hanno aderito al servizio, utilizzando le informazioni per individuare e disattivare i nodi compromessi delle botnet.
L’analisi è prodotta da Cloudforce One, l’organizzazione di threat intelligence di Cloudflare. Il gruppo utilizza la telemetria di una rete che protegge oltre il 20% del Web e milioni di organizzazioni per attività di ricerca sulle minacce e risposta operativa.
La difesa deve quindi lavorare su due piani: automazione e capacità distribuita per assorbire i picchi, riduzione preventiva delle superfici che permettono agli aggressori di moltiplicare il traffico.
