Nel terzo trimestre 2026 Cloudflare ha mitigato 18,2 milioni di attacchi DDoS a livello di rete. Il 96% è durato meno di dieci minuti, mentre gli attacchi di dimensioni estreme sono diminuiti di quasi il 69%. Cambia la struttura della minaccia informatica e cresce l’importanza delle difese automatiche per garantire la continuità dei servizi digitali.

La minaccia informatica non deve necessariamente assumere dimensioni gigantesche per mettere in difficoltà un’impresa. Può durare pochi minuti, utilizzare una quantità relativamente limitata di traffico e concludersi prima ancora che un responsabile della sicurezza abbia avuto il tempo di analizzare l’allarme. Nel frattempo, un servizio può diventare irraggiungibile, una piattaforma commerciale interrompere le proprie attività o un sito di informazione smettere di rispondere.

È questa una delle indicazioni più interessanti che emergono dalla 26ª edizione del DDoS Threat Report di Cloudflare, dedicata al terzo trimestre 2026. Tra luglio e settembre, la società ha mitigato 18,2 milioni di attacchi Distributed Denial of Service (DDoS) a livello di rete, mentre i propri sistemi hanno bloccato 14,4 trilioni di richieste HTTP riconducibili ad attività DDoS.

Due grandezze differenti, che descrivono rispettivamente eventi di attacco e volumi di richieste malevole, ma che restituiscono la dimensione dell’attività osservata sulle infrastrutture protette dall’azienda.

Il dato più significativo, tuttavia, riguarda la struttura degli attacchi: il 96% di quelli a livello di rete è durato meno di dieci minuti e il 98% ha generato un traffico inferiore a 1 Gbps. Nello stesso periodo, gli attacchi ipervolumetrici superiori a 1 Tbps sono diminuiti da 805 a 251 rispetto al trimestre precedente, con una riduzione di circa il 69%.

La minaccia non sta semplicemente diventando più grande, sta assumendo forme differenti, nelle quali frequenza, rapidità e capacità di adattamento possono contare quanto la potenza dell’attacco.

Meno attacchi giganteschi, ma il rischio non diminuisce

Il racconto pubblico degli attacchi DDoS è sempre stato dominato dai record di traffico: quantità sempre maggiori di dati dirette contemporaneamente verso un’infrastruttura con l’obiettivo di saturarne la capacità e renderla indisponibile.

Sebbene gli attacchi di questa natura continuano a rappresentare una minaccia, soprattutto per le organizzazioni che gestiscono servizi critici, il rapporto Cloudflare mostra che la grande maggioranza degli eventi osservati presenta caratteristiche molto diverse.

Un attacco inferiore a 1 Gbps può apparire modesto rispetto alle capacità delle grandi infrastrutture cloud, ma la sua efficacia dipende dal bersaglio: un servizio con risorse limitate, un’applicazione particolarmente sensibile o un componente di rete non adeguatamente protetto possono subire interruzioni anche senza essere investiti da volumi eccezionali di traffico.

La breve durata aggiunge un’ulteriore difficoltà. Se un attacco si esaurisce nell’arco di pochi minuti, i processi tradizionali basati sulla rilevazione dell’anomalia, sull’intervento di un operatore e sull’attivazione manuale delle contromisure possono risultare troppo lenti. Diventa allora decisiva la capacità dei sistemi di riconoscere automaticamente il traffico malevolo e intervenire in tempo reale, distinguendolo dalle richieste legittime.

D’altra parte, la riduzione degli attacchi più grandi non deve essere interpretata come un miglioramento generalizzato della sicurezza. Cloudflare collega almeno in parte il calo degli eventi ipervolumetrici alle operazioni condotte dalle forze dell’ordine contro quattro importanti botnet IoT all’inizio dell’anno.

L’intervento sulle infrastrutture utilizzate dagli aggressori può ridurre temporaneamente la disponibilità di grandi capacità offensive, ma non elimina la possibilità di utilizzare altre reti compromesse o tecniche differenti. Il risultato è un panorama nel quale il rischio non può essere misurato soltanto attraverso il volume massimo di traffico che un’organizzazione è in grado di sostenere.

L’economia degli attacchi e la capacità di cambiare tecnica

La trasformazione riguarda anche il modo in cui gli attacchi vengono organizzati. La disponibilità di servizi DDoS a pagamento, spesso indicati come DDoS-for-hire, permette di acquistare capacità offensive senza dover necessariamente sviluppare strumenti complessi o controllare direttamente una rete di dispositivi compromessi.

Questo modello riduce le barriere tecniche per gli aggressori e contribuisce a rendere accessibili operazioni che in passato richiedevano competenze e risorse più elevate. Non significa che ogni attacco breve provenga da questi servizi, né che tutti gli aggressori stiano adottando la stessa strategia, indica però come l’industrializzazione delle attività offensive possa favorire una maggiore diffusione degli attacchi.

Il report evidenzia inoltre un cambiamento significativo nelle tecniche utilizzate. Gli attacchi basati sul protocollo CLDAP sono diminuiti del 99,5% rispetto al trimestre precedente, mentre quelli che sfruttano l’amplificazione DNS sono aumentati del 215%. Gli UDP Flood, che tentano di sovraccaricare il bersaglio attraverso grandi quantità di pacchetti di rete, sono passati dal 14,06% al 31,31% degli attacchi DDoS di rete osservati.

Per le imprese, il significato di questi numeri va oltre la specificità dei protocolli coinvolti. Le modalità di attacco possono cambiare rapidamente e le protezioni efficaci contro una determinata tecnica non garantiscono necessariamente la stessa efficacia contro quelle emergenti. La sicurezza richiede quindi sistemi aggiornati continuamente, capaci di riconoscere anomalie anche quando il traffico malevolo presenta caratteristiche diverse da quelle osservate in precedenza.

È un’evoluzione che attribuisce crescente importanza all’automazione, all’analisi del traffico su larga scala e alla capacità di adattare le difese senza dipendere esclusivamente dall’intervento umano.

L’editoria rimane tra i settori più esposti

Un altro elemento del rapporto riguarda la distribuzione degli attacchi tra i settori economici e qui il comparto Media, Production & Publishing rimane al primo posto nella classifica delle industrie maggiormente colpite, mentre aumenta la presenza di attacchi contro infrastrutture Internet, servizi rivolti ai consumatori e altre attività digitali.

La posizione dell’editoria è particolarmente significativa perché un attacco DDoS può produrre conseguenze rilevanti anche senza compromettere direttamente dati o sistemi informatici.

Rendere temporaneamente irraggiungibile una testata online significa interrompere l’accesso alle notizie, compromettere la distribuzione dei contenuti e, potenzialmente, incidere sui ricavi pubblicitari e sui servizi destinati agli abbonati.

In circostanze particolari, l’indisponibilità di un sito di informazione può avere conseguenze che superano il danno economico immediato, soprattutto quando l’attacco coincide con eventi di grande interesse pubblico anche se questo non significa che gli attacchi osservati siano necessariamente riconducibili a finalità politiche o a tentativi deliberati di censura. Il rapporto misura l’attività rilevata sulla rete Cloudflare, ma non permette di attribuire una motivazione univoca agli aggressori.

Resta il fatto che la continuità operativa delle infrastrutture editoriali rappresenta anche una componente fondamentale della disponibilità dell’informazione digitale.

La sicurezza diventa una questione di continuità operativa

Per le organizzazioni che dipendono dai servizi digitali, l’evoluzione descritta da Cloudflare introduce una conseguenza importante: la capacità di resistere agli attacchi non può essere valutata soltanto attraverso la dimensione massima dell’offensiva che un’infrastruttura riesce ad assorbire. Occorre considerare anche la rapidità della rilevazione, il tempo necessario per attivare le contromisure, la capacità di distinguere traffico legittimo e malevolo e la possibilità di mantenere disponibili i servizi durante eventi ripetuti.

La questione riguarda direttamente la gestione del rischio aziendale. Un’interruzione di pochi minuti può avere conseguenze molto differenti a seconda dell’attività coinvolta: per una piattaforma di commercio elettronico può significare transazioni perdute; per un servizio finanziario, indisponibilità di funzioni essenziali; per un’impresa industriale, interruzione di sistemi connessi alla produzione o alla logistica.

Non tutti questi scenari sono necessariamente causati da un attacco DDoS, ma illustrano quanto la dipendenza dalle infrastrutture digitali renda la disponibilità dei servizi una componente fondamentale della resilienza aziendale.

In questo contesto, l’automazione delle difese diventa particolarmente importante, non perché possa eliminare ogni rischio, ma perché permette di ridurre il tempo che intercorre tra l’identificazione di un evento e l’attivazione delle misure di protezione.

Emergono anche nuove dipendenze industriali, atteso che una parte significativa della capacità di proteggere siti, applicazioni e infrastrutture è affidata a grandi operatori specializzati, che dispongono di reti globali e sistemi di analisi del traffico difficilmente replicabili dalle singole organizzazioni.

L’esternalizzazione di queste funzioni può aumentare il livello di protezione, ma rende necessario valutare anche la continuità del servizio del fornitore, le condizioni contrattuali e la possibilità di gestire eventuali interruzioni della piattaforma di difesa.

La resilienza, in altre parole, non dipende soltanto dalla qualità delle tecnologie utilizzate, ma anche dall’architettura delle dipendenze digitali sulle quali un’impresa costruisce le proprie attività.

Il rischio cyber non si misura soltanto in terabit

Il rapporto Cloudflare deve essere letto tenendo conto di un limite metodologico: i dati descrivono gli attacchi osservati e mitigati sulla rete della società, non la totalità degli attacchi DDoS verificatisi nel mondo. Le variazioni possono riflettere sia l’evoluzione delle minacce sia cambiamenti nella composizione del traffico e delle organizzazioni protette e non sarebbe quindi corretto utilizzare questi numeri come una misura esaustiva dell’intero fenomeno globale.

La dimensione della rete Cloudflare offre comunque un osservatorio significativo sulle caratteristiche degli attacchi e sulla loro evoluzione.

Il messaggio che emerge è particolarmente rilevante per chi governa infrastrutture digitali e processi aziendali: la sicurezza informatica non può essere valutata soltanto attraverso la capacità di resistere a un attacco eccezionale, deve comprendere anche la possibilità di affrontare eventi molto più frequenti, brevi e mutevoli, che possono compromettere la disponibilità dei servizi prima che sia possibile intervenire manualmente.

Da questo punto di vista, la nuova sfida della cybersecurity non consiste soltanto nel fermare attacchi sempre più potenti, ma nel riconoscere e neutralizzare quelli che possono produrre danni prima ancora di essere diventati visibili.

.

Fonte – Cloudflare, DDoS Threat Report, Q3 2026, 26ª edizione, ottobre 2026.