Attacchi DDoS in aumento: oltre 9,1 milioni nel 2026

Gli attacchi DDoS continuano a crescere e rappresentano una minaccia concreta per la disponibilità di siti web, piattaforme online e infrastrutture di rete. Secondo il rapporto sulle minacce DDoS pubblicato da NETSCOUT, nella prima metà del 2026 sono stati registrati oltre 9,1 milioni di attacchi a livello globale, con un aumento di quasi il 25% rispetto allo stesso periodo dell’anno precedente.

Il fenomeno non riguarda soltanto la quantità degli attacchi, ma anche la loro intensità e le tecniche utilizzate. Le campagne più recenti riescono a mettere in difficoltà apparati di rete e sistemi di sicurezza anche senza saturare completamente la banda Internet disponibile.

Attacchi DDoS sempre più potenti e difficili da contrastare

Uno degli aspetti più significativi del rapporto NETSCOUT riguarda la crescita degli attacchi di dimensioni eccezionali. Gli eventi che hanno superato 1 terabit al secondo (Tbps) oppure 1 miliardo di pacchetti al secondo (Gpps) sono aumentati del 1.286% su base annua.

Una parte importante di questa crescita è associata a botnet come Aisuru, Kimwolf e Jackskid, reti di dispositivi compromessi utilizzate per generare grandi quantità di traffico malevolo. Grazie a queste infrastrutture, i criminali informatici possono coordinare attacchi molto intensi senza dover controllare direttamente ogni dispositivo coinvolto.

Le conseguenze possono essere rilevanti per aziende, provider Internet e organizzazioni che dipendono dalla continuità dei servizi digitali. Quando il traffico supera la capacità di elaborazione delle apparecchiature, firewall, bilanciatori di carico e router possono esaurire le risorse disponibili e interrompere le comunicazioni.

Come funzionano gli attacchi DDoS

Un attacco DDoS, acronimo di Distributed Denial of Service, consiste nel sovraccaricare un sistema informatico o un servizio online attraverso un volume elevato di richieste, pacchetti o connessioni provenienti da più sorgenti.

L’obiettivo è rendere il servizio lento, instabile o completamente irraggiungibile per gli utenti legittimi. A seconda della tecnica utilizzata, l’attacco può colpire la rete, le connessioni o le risorse necessarie al funzionamento di un’applicazione.

Non sempre, infatti, è necessario saturare la connessione Internet della vittima. Un numero elevato di pacchetti o richieste può esaurire le capacità di elaborazione degli apparati di sicurezza, impedendo loro di gestire correttamente anche il traffico legittimo.

Le principali tecniche utilizzate dai criminali informatici

Il rapporto evidenzia la diffusione di diverse modalità di attacco. Nella prima metà del 2026, gli attacchi diretti al bersaglio hanno rappresentato il 64,4% degli eventi osservati, proseguendo una crescita già rilevata nei periodi precedenti.

Tra le tecniche più comuni figurano gli attacchi TCP flood, che mettono sotto pressione le risorse dedicate alla gestione delle connessioni, e gli attacchi DNS, progettati per compromettere la disponibilità dei servizi di risoluzione dei nomi di dominio. Sono presenti anche gli attacchi basati su riflessione e amplificazione, che sfruttano sistemi intermedi per aumentare il traffico diretto verso la vittima.

Un’altra tecnica è il cosiddetto carpet bombing, che distribuisce il traffico malevolo su numerosi indirizzi IP appartenenti alla stessa rete. In questo modo, il traffico diretto verso ogni singolo indirizzo può rimanere al di sotto delle soglie di rilevamento, mentre il volume complessivo mette in difficoltà l’infrastruttura.

IPv6 e nuove sfide per la sicurezza delle reti

Anche gli attacchi che utilizzano IPv6 stanno diventando più impegnativi da gestire. Secondo i dati riportati da NETSCOUT, nella prima metà del 2026 la piattaforma ATLAS ha rilevato il primo attacco IPv6 superiore a 1 Tbps. Nello stesso periodo, le attività di mitigazione degli attacchi IPv6 sono aumentate di oltre il 300%.

Questi dati evidenziano la necessità di aggiornare le strategie di protezione per includere anche le infrastrutture IPv6. Le organizzazioni devono valutare la capacità degli strumenti di sicurezza di individuare anomalie e gestire grandi volumi di traffico su entrambe le versioni del protocollo IP.

I servizi DDoS a pagamento abbassano le barriere d’ingresso

Un ulteriore elemento di preoccupazione è la diffusione delle piattaforme DDoS-for-hire, servizi che consentono di commissionare attacchi informatici attraverso pannelli di controllo, abbonamenti e configurazioni preimpostate.

Queste piattaforme riducono le competenze tecniche necessarie per avviare un attacco e possono offrire diversi metodi operativi, prove gratuite e piani a pagamento. Il rapporto segnala inoltre che gli attacchi della durata di un minuto o meno sono passati dall’1,6% degli eventi osservati nella seconda metà del 2023 al 3,1% nella prima metà del 2026.

Gli attacchi brevi e intensi possono risultare difficili da gestire con interventi esclusivamente manuali. Per questo motivo, il monitoraggio continuo e la capacità di applicare contromisure automatiche sono elementi importanti nella difesa delle infrastrutture digitali.

Proxy residenziali: perché individuare il traffico malevolo è più difficile

Le reti di proxy residenziali rappresentano un’altra difficoltà per chi si occupa di sicurezza informatica. Queste infrastrutture instradano il traffico attraverso dispositivi collegati a reti domestiche o mobili, utilizzando indirizzi IP normalmente associati a utenti comuni.

Alcuni dispositivi partecipano a queste reti attraverso programmi di condivisione della connessione, mentre in altri casi gli utenti potrebbero non essere pienamente consapevoli del coinvolgimento del proprio dispositivo. Sebbene i proxy residenziali abbiano anche utilizzi legittimi, possono essere sfruttati per rendere più difficile l’identificazione delle sorgenti di un attacco.

Il semplice blocco degli indirizzi IP, quindi, non sempre è sufficiente. Gli indirizzi residenziali possono cambiare e i nodi utilizzati dai proxy possono essere sostituiti frequentemente. Per distinguere il traffico legittimo da quello malevolo è necessario analizzare anche i modelli di comportamento, la frequenza delle richieste e le correlazioni tra le diverse sorgenti.

Come migliorare la protezione contro gli attacchi DDoS

L’aumento della frequenza e della potenza degli attacchi rende necessario adottare misure di sicurezza adeguate alla struttura della rete e ai servizi da proteggere. Le difese devono essere in grado di riconoscere il traffico anomalo, limitarne gli effetti e mantenere disponibili le risorse essenziali.

Tra le misure da valutare rientrano il filtraggio selettivo del traffico, la protezione distribuita ai margini della rete, il monitoraggio continuo e la disponibilità di capacità di mitigazione sufficiente a gestire picchi improvvisi. Per le aziende è importante proteggere non soltanto la connessione Internet, ma anche le applicazioni e i servizi esposti al pubblico.

Gli operatori di rete, invece, devono considerare anche il traffico malevolo che attraversa la propria infrastruttura, poiché un attacco può compromettere la connettività di altri clienti e servizi non direttamente presi di mira.

La sicurezza DDoS diventa una priorità per aziende e provider

I dati della prima metà del 2026 mostrano che gli attacchi DDoS stanno diventando più numerosi e, in alcuni casi, molto più potenti. La diffusione delle botnet, dei servizi DDoS-for-hire e dei proxy residenziali contribuisce a rendere queste minacce accessibili e complesse da individuare.

Per ridurre il rischio di interruzioni, aziende e fornitori di servizi devono adottare sistemi di difesa capaci di adattarsi alle nuove tecniche, intervenire rapidamente e limitare l’impatto del traffico malevolo. Una strategia efficace combina monitoraggio, filtraggio mirato e protezione delle infrastrutture critiche, con l’obiettivo di garantire la continuità dei servizi anche durante gli attacchi.