Nel primo semestre del 2026 Cloudflare ha mitigato 935 attacchi DDoS a livello di rete sopra il terabit al secondo, e 805 di questi si concentrano nel secondo trimestre: contro i 130 dei primi tre mesi, la crescita � del 519%, pi� di sei volte. Il conteggio apre l’edizione semestrale del DDoS Threat Report di Cloudforce One, l’organizzazione di intelligence sulle minacce dell’azienda, che per la prima volta accorpa in un solo volume i due trimestri invece di pubblicare due rapporti separati.
Il semestre si chiude con 23,2 milioni di attacchi a livello di rete e 29.640 miliardi di richieste HTTP dannose, che valgono circa 5.343 attacchi all’ora e 128.000 al giorno. La crescita non riguarda solo la fascia estrema: gli attacchi fra 500 Gbps e 1 Tbps sono aumentati del 143% sul trimestre precedente e quelli fra 100 e 500 Gbps del 105%. Sul totale, il volume a livello di rete � passato da 10,04 a 13,17 milioni di attacchi, il 31,2% in pi�, e le richieste HTTP dannose da 12.750 a 16.890 miliardi, il 32,4% in pi�.
Il 96,62% degli attacchi a livello di rete resta per� sotto i 500 Mbps e il 90,60% si esaurisce in meno di dieci minuti. Anche gli assalti ipervolumetrici pi� grandi si misurano in secondi: Cloudflare dice di averne registrati alcuni da record chiusi in 35 secondi dall’inizio alla fine. Non esiste quindi una finestra utile per l’intervento umano, perch� quando l’allerta arriva all’analista di sicurezza l’attacco � gi� concluso; gli strascichi invece durano, fra instabilit� delle rotte, ritrasmissioni TCP, timeout applicativi e degrado dei servizi a valle che possono richiedere ore o giorni per rientrare.
Cloudflare ricorda che “piccolo” qui � un termine relativo: 100 Mbps bastano a saturare un server o un sito, 100 Gbps mettono fuori uso la maggior parte dei data center non protetti, e sopra il terabit si entra nella fascia che stressa anche le infrastrutture portanti della rete. Gli attaccanti a volte mescolano i piani, con un alto rateo di pacchetti e una banda relativamente bassa o viceversa, per colpire i limiti degli apparati di rete invece di quelli della capacit� di banda. Gli attacchi che superano le tre ore restano una minoranza in leggera crescita, dallo 0,387% del primo trimestre allo 0,828% del secondo.
Il baricentro si sposta su riflessione e amplificazione
Gli attacchi basati su DNS valgono il 34,3% di tutta l’attivit� a livello di rete del semestre, con i DNS flood saliti dal 25,7% al 40% fra primo e secondo trimestre. I due meccanismi sono imparentati e distinti: il flood punta il volume grezzo di richieste di una botnet direttamente contro i server DNS autoritativi della vittima, fino a esaurirne la capacit� di risposta, e a quel punto l’elenco telefonico di quel dominio diventa irraggiungibile e ogni servizio che vi si appoggia sparisce. L’amplificazione invia invece piccole query con indirizzo sorgente falsificato ai resolver DNS aperti, che rispondono all’IP della vittima con record molto pi� grandi, spesso richiamati da una query di tipo ANY.
Il vettore cresciuto di pi� � il CLDAP flood, in aumento del 580% sul trimestre precedente e terzo per diffusione nel solo secondo trimestre. CLDAP � la variante senza connessione di LDAP, il protocollo con cui si interrogano i servizi di directory: viaggia su UDP invece che su TCP, quindi � pi� veloce e meno affidabile, e soprattutto non prevede alcuna stretta di mano preliminare che obblighi il mittente a dimostrare chi �. Gli attaccanti sfruttano proprio questo, mandando piccole query con sorgente falsificata ai domain controller Active Directory raggiungibili dall’esterno sulla porta UDP 389, che rispondono alla vittima con pacchetti da decine a centinaia di volte pi� grandi della richiesta. Al secondo posto del trimestre restano gli UDP flood, al 14,06%.
Media primo bersaglio, il settore pubblico dal 29� al 9� posto
Il comparto Media, produzione ed editoria � il pi� colpito in entrambi i trimestri, con il 14,2% di tutte le richieste HTTP DDoS mitigate, quasi quattro volte il secondo classificato. Cloudflare lega quella posizione alla copertura della guerra in Iran e in Ucraina e all’attenzione per i Mondiali di calcio, cio� al fatto che le redazioni sono state per sei mesi il posto dove il pubblico andava a cercare quelle notizie.
Il 28 febbraio 2026 Israele e Stati Uniti hanno lanciato l’operazione Epic Fury, una serie di attacchi contro la leadership e le infrastrutture iraniane. Entro 72 ore i ricercatori di sicurezza hanno registrato 149 rivendicazioni di attacchi DDoS hacktivisti contro 110 organizzazioni distinte in 16 paesi, e il 47,8% dei bersagli apparteneva al settore pubblico. Nella classifica per quota di richieste mitigate quel settore � passato dal 29� al 9� posto, il salto pi� ampio registrato da un comparto nel 2026.
Fra i bersagli per paese la Cina chiude il semestre in testa, con il 22,4% delle richieste HTTP DDoS globali assorbite nel secondo trimestre, davanti agli Stati Uniti al 18,8%. La Turchia ha pi� che raddoppiato la propria quota fino al terzo posto, in coincidenza con la preparazione del vertice NATO di Ankara fra giugno e i primi di luglio, quando le forze di sicurezza turche hanno condotto rastrellamenti preventivi in citt� arrestando almeno 209 persone. Sul fronte opposto il Brasile ha superato gli Stati Uniti come primo paese di origine degli attacchi, 14,9% contro 13,4%, con una punta del 21,4% nel secondo trimestre; l’Indonesia resta terza in entrambi i trimestri.
Il picco di aprile e le operazioni di polizia
L’attivit� ha toccato il massimo ad aprile, con 6.460 miliardi di richieste e 165 petabyte di traffico d’attacco a livello di rete, per poi calare nei mesi successivi. Cloudflare avanza con prudenza una spiegazione per quella flessione: l’operazione internazionale PowerOFF, che in 21 paesi ha preso di mira oltre 75.000 utenti di servizi DDoS a pagamento, ha fatto chiudere 53 domini, ha portato a 25 perquisizioni e a quattro arresti.
Sul fronte difensivo l’azienda rivendica una mitigazione interamente automatica, distribuita su oltre 330 citt� e appoggiata a 500 Tbps di capacit� di rete, e distribuisce gratuitamente agli hosting provider, alle piattaforme cloud e agli operatori un feed sugli indirizzi delle botnet DDoS, a cui si sono iscritte pi� di 800 reti.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
