Report Cloudflare sulle minacce DDoS del terzo trimestre 2026: più sciami, meno giganti

Ti diamo il benvenuto alla 26a edizione del Report sulle minacce DDoS di Cloudflare. Questa edizione copre il terzo trimestre del 2026 – luglio, agosto e settembre – e riporta la serie alla sua cadenza trimestrale in seguito al volume combinato del primo semestre del 2026. L'analisi è realizzata da Cloudforce One, l'organizzazione di intelligence delle minacce di Cloudflare, fornendo un'analisi completa del panorama in evoluzione degli Attacchi DDoS basata sui dati della rete Cloudflare.

Principali approfondimenti

1. Gli attacchi a breve durata e a larghezza di banda ridotta, inferiori ai 10 minuti e a 1 Gbps, hanno registrato un incremento del 208%. Al contrario, gli attacchi iper-volumetrici superiori a 1 Tbps sono diminuiti di quasi il 69% rispetto al secondo trimestre; ciò potrebbe essere il riflesso delle azioni intraprese dalle forze dell'ordine, all'inizio dell'anno, contro quattro importanti botnet basate su dispositivi Internet of Things (IoT). Tuttavia, continuano a emergere varianti, a dimostrazione del fatto che le botnet IoT rimangono una minaccia persistente e su larga scala per le infrastrutture di rete.
2. Gli autori delle minacce hanno modificato radicalmente le proprie tattiche di riflessione e amplificazione, abbandonando bruscamente i flood CLDAP, che hanno registrato un crollo del 99,5% rispetto al trimestre precedente. Al contrario, gli aggressori si sono orientati in modo deciso verso altri protocolli senza connessione (connectionless), determinando un’impennata del 215% nell’amplificazione DNS e un incremento del 122% nei flood UDP generici.
3. Il raggio d'azione degli attacchi si è ampliato notevolmente, sia in termini di settori che di aree geografiche, con gli Stati Uniti che tornano a essere il Paese più colpito, superando la Cina. Canada e Israele hanno registrato un netto incremento degli attacchi mirati, salendo rispettivamente di 10 e 7 posizioni, mentre si trovavano a gestire tensioni geopolitiche, controversie commerciali e vicende interne conflittuali. Allo stesso tempo, l'attenzione operativa si è spostata dalle organizzazioni mediatiche verso una gamma più ampia di obiettivi nel settore, tra cui servizi ai consumatori, infrastrutture Internet e intrattenimento per adulti.

Il terzo trimestre in cifre: 8.200 attacchi DDoS ogni ora

Nel corso del terzo trimestre del 2026, Cloudflare ha mitigato autonomamente, su tutta la propria rete, 18,2 milioni di attacchi DDoS a livello di rete e 14,4 trilioni di richieste DDoS HTTP. Ciò equivale a circa 8.226 attacchi DDoS a livello di rete all'ora, ovvero circa 197.400 al giorno: un attacco ogni 0,44 secondi. Il traffico mitigato nel trimestre è stato pari a 272,6 PB a livello di rete e a 95,1 PB a livello HTTP.

Più sciami, meno giganti

Gli attacchi a breve durata, di intensità media e frequenza elevata, che costituiscono la firma operativa dei servizi DDoS a pagamento, noti come "booter", hanno registrato un'accelerazione in questo trimestre. Questi attacchi hanno preso di mira principalmente i settori del software informatico, del gioco d'azzardo e dei casinò, nonché quello dell'informatica. Nel terzo trimestre del 2026, Cloudflare ha mitigato autonomamente 18,2 milioni di attacchi DDoS a livello di rete, con un incremento del 208% rispetto allo stesso trimestre del 2025:

• Il 96% si è concluso in meno di 10 minuti
• Il 98% è rimasto al di sotto di 1 Gbps, una quantità più che sufficiente a mandare in tilt un server o un sito web

D'altro canto, gli attacchi iper-volumetrici a livello di rete (quelli che superano 1 Tbps) hanno registrato un'inversione di tendenza, scendendo a 251 nel terzo trimestre rispetto agli 805 del secondo trimestre; un calo coinciso con l'intervento delle forze dell'ordine all'inizio del 2026, che ha portato allo smantellamento di quattro delle più grandi botnet DDoS basate su dispositivi IoT: Aisuru, KimWolf, JackSkid e Mossad.

Ciononostante, le botnet basate su IoT continuano a rappresentare una minaccia persistente e su larga scala, mentre l'ecosistema genera costantemente nuove varianti, come Dysphoria ed Evooo1Bot. Le attività di mitigazione classificate come legate a Mirai hanno raggiunto un picco ad agosto, attestandosi a 57,23 PB; ciò rappresenta il 46,5% di tutti i byte mitigati a livello di rete nel terzo trimestre, includendo quattro giornate — il 16, 19, 23 e 25 agosto — in ciascuna delle quali sono stati gestiti oltre tre petabyte. L'attacco Mirai più lungo e continuativo del trimestre è durato 49,7 ore, tra il 19 e il 21 agosto.

Cambiamenti di vettore: il crollo di CLDAP e l'ascesa di UDP

Il cambiamento di direzione più marcato del trimestre è stato verso il basso. Gli attacchi CLDAP (Connectionless Lightweight Directory Access Protocol) — in cui brevi query, che riportano l'indirizzo IP contraffatto della vittima, inducono i controller di dominio pubblici (UDP 389) a inviare risposte massicce e amplificate verso il bersaglio — hanno registrato un incremento vertiginoso del +580% su base trimestrale nel primo semestre dell'anno, per poi crollare a una quota pari appena allo 0,05% del totale degli attacchi nel terzo trimestre.

Nel frattempo, l'amplificazione DNS (DNS amplification) ha registrato un'impennata del 215%, arrivando a rappresentare il 3,43% di tutti gli attacchi a livello di rete; essa sfrutta i resolver DNS) aperti, seguendo un modello di riflessione e amplificazione analogo a quello del CLDAP: piccole query contraffatte generano risposte di grandi dimensioni, indirizzate verso la vittima. Altri UDP flood sono passati dal 14,06% al 31,31% degli attacchi a livello di rete. L'UDP è un protocollo di trasporto senza connessione, il che lo rende un mezzo pratico per attacchi volumetrici di base: gli aggressori inviano un gran numero di pacchetti UDP verso porte casuali o specifiche del bersaglio, costringendo quest'ultimo a verificare la presenza di un'applicazione in ascolto e a rispondere, con il conseguente consumo delle sue risorse di rete e di calcolo.

Settori più attaccati

Sebbene il settore Media, produzione ed editoria sia rimasto quello più colpito nel terzo trimestre del 2026, la sua incidenza complessiva è pari a circa un quarto rispetto ai livelli del secondo trimestre, e l'attenzione si è spostata su una gamma più ampia di settori. Il settore Internet è passato da una posizione esterna alla top 10 al 6° posto; anche i servizi ai consumatori e l'intrattenimento per adulti hanno scalato la classifica, raggiungendo rispettivamente l'8ª e la 9ª posizione.

Località più attaccate

Impennate geografiche: Canada e Israele scalano le classifiche

Ad aggiungersi a un periodo già turbolento di controversie commerciali bilaterali, il Canada è passato dal 16° al 6° posto, a causa di attacchi che hanno colpito i settori della vendita al dettaglio, delle telecomunicazioni, dei fornitori di servizi e operatori, nonché del marketing e della pubblicità.

Israele è salito di 7 posizioni, raggiungendo il decimo posto, a causa di una prolungata attività DDoS a metà settembre. Sebbene questo periodo sia stato contrassegnato da decisioni controverse in vista delle elezioni parlamentari e della festività di Rosh Hashanah, quest'anno si è registrato anche un massiccio e documentato aumento di ostili operazioni di guerra cibernetica ai danni di Israele.

Top 10

Nel terzo trimestre del 2026, gli Stati Uniti sono stati il luogo che ha subito il maggior numero di attacchi, seguiti dalla Cina al secondo posto, mentre l'Indonesia è entrata tra i primi tre, registrando il 2,93% del totale degli attacchi. La coppia Stati Uniti-Cina al vertice è in linea con quanto osservato nel primo semestre del 2026, quando la Cina si è classificata al primo posto e gli Stati Uniti al secondo; i due Paesi si sono scambiati le posizioni man mano che l'attenzione e le preferenze degli attaccanti sono mutate.

Rafforzare le difese globali e contribuire a difendere Internet

La rete di Cloudflare è progettata per assorbire questo tipo di crescita delle minacce DDoS. Ogni servizio sulla nostra rete è protetto da una protezione DDoS gratuita e senza limiti, attiva in ognuna delle nostre oltre 330 città nel mondo e supportata da una capacità di rete di 500 Tbps. L'autonomia è il punto chiave: i nostri sistemi rilevano e mitigano gli attacchi senza intervento umano. Ed è necessario, perché, come chiariscono i dati sulle distribuzioni di questo trimestre, la maggior parte degli attacchi si conclude molto prima che un analista umano possa visualizzare l'avviso; inoltre, gli attacchi di maggiore portata superano regolarmente 1 Tbps, con una frequenza che si attesta nell'ordine delle centinaia per trimestre.

Per aiutare i provider di hosting, le piattaforme di cloud computing e i fornitori di servizi Internet a identificare e rimuovere gli indirizzi IP e gli account malevoli che lanciano tali attacchi, sfruttiamo la posizione privilegiata di Cloudflare nell'osservazione degli attacchi DDoS per offrire un feed gratuito sulle minacce DDoS provenienti da botnet, dedicato ai fornitori di servizi.

Oltre 800 reti in tutto il mondo hanno aderito a questo feed e abbiamo già riscontrato un'eccellente collaborazione all'interno della comunità per eliminare i nodi delle botnet. Per una panoramica costantemente aggiornata sulle tendenze degli attacchi in tutta Internet, visita Cloudflare Radar.

A proposito di Cloudforce One

Con la missione di contribuire a difendere Internet, Cloudforce One sfrutta la telemetria proveniente dalla rete globale di Cloudflare, che protegge oltre il 20% del Web, per orientare la ricerca sulle minacce e la risposta operativa, tutelando i sistemi critici di milioni di organizzazioni in tutto il mondo.