Tra luglio e settembre 2026, Cloudflare ha mitigato sulla propria infrastruttura 18,2 milioni di attacchi DDoS di rete, il 208% in più rispetto allo stesso trimestre del 2025. Separatamente, l’azienda conta 14.400 miliardi di richieste HTTP riconducibili ad attacchi DDoS.
Il rapporto di Cloudforce One, pubblicato il 29 ottobre 2026, fotografa il traffico osservato dalla rete Cloudflare. I numeri non costituiscono un censimento di tutti gli attacchi su Internet.
Il 96% degli attacchi dura meno di dieci minuti
La media supera gli 8.200 attacchi di rete ogni ora. Il 96% delle offensive si conclude prima di dieci minuti e il 98% resta sotto un gigabit al secondo.
Un attacco DDoS, ossia un’interruzione distribuita del servizio, tenta di rendere irraggiungibile un sito o un’infrastruttura tramite un eccesso di traffico. Le richieste possono arrivare da numerosi dispositivi compromessi, coordinati in una rete chiamata botnet. Il problema per gli utenti emerge quando il servizio non riesce più a rispondere alle operazioni legittime.
La breve durata non misura, da sola, la gravità di un’interruzione. Per un sito commerciale, anche un blocco circoscritto può impedire acquisti o accessi. Per valutare l’impatto servono informazioni sulla capacità della destinazione, sui servizi coinvolti e sull’efficacia delle difese.
Calano gli attacchi oltre un terabit al secondo
Gli attacchi superiori a un terabit al secondo passano da 805 nel secondo trimestre a 251 nel terzo, un calo vicino al 69%. Cloudflare ipotizza un legame con interventi contro alcune botnet, senza dimostrare un rapporto causale.
Il numero di episodi e il volume di traffico descrivono aspetti diversi della minaccia. Molte offensive di dimensioni contenute possono richiedere interventi frequenti; un singolo attacco molto intenso può invece esaurire rapidamente la capacità di una connessione. Per questo, una diminuzione dei picchi non basta a valutare il carico complessivo che un servizio deve assorbire.
Attacchi e richieste HTTP sono misure diverse
I due totali riportati all’inizio non vanno sommati. Un attacco è un evento, mentre una richiesta HTTP è una singola interazione con un servizio web. All’interno della stessa offensiva possono comparire numerose richieste.
Gli attacchi HTTP possono colpire funzioni normali di un sito, come il caricamento di una pagina o l’invio di un modulo. Il server deve eseguire operazioni e, in alcuni casi, consultare un database per rispondere. Il costo di questa elaborazione può superare quello necessario a generare la richiesta. La difesa deve quindi distinguere un uso legittimo da una sequenza automatizzata concepita per esaurire le risorse.
Il ruolo dell’amplificazione DNS
Nel trimestre cresce del 215% anche l’amplificazione DNS rispetto al trimestre precedente, secondo Cloudflare.
Questo meccanismo sfrutta server DNS esposti per indirizzare verso la vittima risposte più grandi delle richieste iniziali. L’indirizzo del bersaglio viene indicato come origine del traffico, così le risposte raggiungono un sistema che non le ha richieste. Il sovraccarico può coinvolgere la rete prima ancora del server che ospita il sito.
Le contromisure descritte nella documentazione tecnica includono restrizioni sui resolver DNS aperti e controlli contro la falsificazione degli indirizzi di origine. Per gli attacchi web entrano invece in gioco filtri applicativi, limiti alle richieste e verifiche del comportamento dei client. La scelta dipende dal livello colpito e richiede che il traffico lecito possa continuare a raggiungere il servizio.
Fonti: Cloudflare DDoS Threat Report Q3 2026, documentazione sugli attacchi DDoS, attacchi HTTP flood e amplificazione DNS.
Immagine di apertura: illustrazione generata con IA.
Aiutaci a crescere: lasciaci un like :)