Gli attacchi DDoS durano sempre meno

Gli attacchi iper-volumetrici sono calati a 251 nel terzo trimestre, ma crescono del 208% quelli brevi sotto i 10 minuti

C’è un numero, nascosto tra le pagine del report sulle minacce DDoS del terzo trimestre 2026 pubblicato da Cloudflare la scorsa settimana, che racconta meglio di altri come si sta trasformando il panorama degli attacchi. Riguarda il CLDAP, la variante senza connessione del protocollo LDAP, sfruttata da anni come vettore di amplificazione. Nel primo semestre dell’anno gli attacchi basati su CLDAP erano cresciuti del 580% trimestre su trimestre. Nel Q3 sono crollati allo 0,05% del totale. Un vettore che sembrava in piena ascesa si è spento nel giro di tre mesi. Non è un’emergenza in corso: è un’analisi di tendenza, e la tendenza dice che il DDoS non è sparito. Ha cambiato forma.

Il trimestre in cui il terabit ha smesso di essere la notizia

Il CLDAP non è un caso isolato. Allargando lo sguardo, il secondo dato chiave del report riguarda gli attacchi iper-volumetrici, quelli che a livello di rete superano 1 Tbps: nel terzo trimestre sono scesi a 251, contro gli 805 del secondo trimestre. In pratica, i “colpi di martello” da record si sono ridotti a meno di un terzo nel giro di un solo trimestre.

Il terzo numero va nella direzione opposta, ed è quello che dovrebbe interessare di più chi gestisce infrastruttura: gli attacchi brevi e a bassa banda, sotto i 10 minuti di durata e sotto 1 Gbps, sono aumentati del 208% rispetto allo stesso trimestre del 2025. Meno picchi giganti, molti più colpi piccoli e rapidi. Resta però una domanda: se gli attacchi da terabit sono calati così tanto, da dove arrivava quella potenza di fuoco, e che fine ha fatto?

L’era del martello: Aisuru e il DDoS come servizio

Per capirlo bisogna fare un passo indietro, alla fase in cui il terabit era la norma. Nei report precedenti di Cloudflare il protagonista era il botnet Aisuru, capace di lanciare attacchi iper-volumetrici che superavano regolarmente 1 Tbps e 1 miliardo di pacchetti al secondo. In quel periodo il numero di attacchi di questa classe era cresciuto del 54% trimestre su trimestre, con una media di 14 attacchi iper-volumetrici al giorno. Anche l’operatore di backbone Arelion, nel suo report DDoS 2026, ha descritto la stessa traiettoria: attacchi diventati ipervolumetrici, con un record di 6,1 Tbps, e un singolo botnet, Aisuru, responsabile di circa il 33% del traffico globale di attacchi DDoS osservato sulla sua rete. Un terzo del traffico malevolo riconducibile a una sola infrastruttura è un dato che fa capire quanto fosse concentrata la minaccia.

Dietro quella scala c’era un modello di business preciso. Un’operazione di smantellamento documentata da Team Cymru insieme al DOJ ha ricostruito l’attività di quattro botnet basati su dispositivi IoT e gestiti come servizio di cybercrime, che hanno impartito complessivamente oltre 316.000 comandi di attacco DDoS. Secondo la stessa ricostruzione, questi gruppi estorcevano denaro alle vittime, hanno causato alle organizzazioni danni per decine di migliaia di dollari e hanno preso di mira anche lo U.S. Department of Defense Information Network, la rete informativa del Dipartimento della Difesa statunitense. Il calo dei super-attacchi, allora, è una vittoria o soltanto un cambio di tattica?

Dal martello al bisturi: cosa cambia nello stack di difesa

Rileggendo i numeri del Q3 alla luce di come operano i botnet commerciali, il quadro si fa più chiaro. Come ha riportato Cybersecurity Dive nel raccontare l’operazione, gli operatori usavano i dispositivi infetti per condurre centinaia di migliaia di attacchi DDoS, che a volte causavano decine di migliaia di dollari tra perdite e costi di ripristino. E, soprattutto, i criminali usavano anche la semplice minaccia di un attacco per estorcere denaro alle organizzazioni. È un dettaglio che cambia la prospettiva: in un modello estorsivo non serve abbattere il bersaglio con 6 Tbps. Basta dimostrare di poterlo colpire, magari con un attacco breve, economico, sufficiente a degradare un servizio per qualche minuto.

Ed è qui che le difese pensate per il picco gigante mostrano il loro limite. Gran parte delle architetture di mitigazione è stata costruita attorno a una domanda: quanta banda riesco ad assorbire? Scrubbing center, capacità di rete sovradimensionata, soglie volumetriche che fanno scattare il dirottamento del traffico. Funzionano bene contro un’inondazione da terabit, perché l’anomalia è evidente. Ma un attacco sotto 1 Gbps che dura meno di 10 minuti può restare sotto le soglie di allarme, oppure esaurirsi prima che il sistema di detection abbia finito di aggregare le metriche e attivare il playbook. Se la finestra di campionamento dei flussi è di qualche minuto e la reazione richiede un intervento umano, l’attacco è già finito quando arriva la contromisura. Per un servizio sensibile alla latenza, però, quei minuti di degrado sono comunque un danno.

Il problema si sposta quindi dalla capacità di assorbire alla velocità di rilevare. Significa rivedere le soglie statiche tarate sui grandi volumi, ragionare su baseline per singolo servizio invece che sul traffico aggregato, e automatizzare la mitigazione in modo che non dipenda da un operatore che guarda una dashboard. Il report di Cloudflare parla di attacchi mitigati in modo autonomo, ed è proprio questa la direzione: un rilevamento che lavora nell’ordine dei secondi, non dei minuti. La domanda che ogni team di infrastruttura dovrebbe porsi è semplice e scomoda: quanto è pronta la nostra pipeline di detection a riconoscere un attacco che dura meno di un deploy?

Per chi costruisce infrastruttura, il dato più importante del trimestre non è il calo dei terabit, ma quel +208% degli attacchi piccoli e brevi. La mitigazione va ripensata a partire dalla latenza di rilevamento, non solo dalla banda disponibile. Il prossimo problema, con ogni probabilità, non sarà il picco da record che finisce nei titoli, ma il rumore di fondo che non fa scattare nessun allarme.