In questo articolo Indice dei contenuti 2 sezioni
Gli attacchi DDoS continuano a crescere per volume e complessità, con una progressione particolarmente evidente nelle campagne più potenti. Secondo la 25ª edizione del Cloudflare DDoS Threat Report, nei primi sei mesi del 2026 la rete Cloudflare ha mitigato 23,2 milioni di attacchi DDoS a livello di rete e 29,64 trilioni di richieste HTTP DDoS.
Il rapporto analizza per la prima volta in maniera congiunta il periodo compreso tra gennaio e giugno, evidenziando anche l’impatto degli eventi geopolitici sulla distribuzione delle minacce. Nel complesso, la rete Cloudflare ha bloccato circa 1,23 exabit di traffico DDoS, pari a circa 5.343 attacchi a livello di rete ogni ora.
La pressione maggiore arriva però dalla crescita degli eventi ipervolumetrici. Nel secondo trimestre sono stati infatti mitigati 805 attacchi superiori a 1 Tbps, contro un numero molto più contenuto nei tre mesi precedenti. Considerando il confronto tra Q1 e Q2, la crescita degli attacchi oltre questa soglia raggiunge il 519%.
Gli attacchi più potenti crescono, ma la maggior parte resta breve
Il dato sugli attacchi superiori a 1 Tbps mostra come le infrastrutture online debbano fronteggiare campagne capaci di raggiungere volumi sempre più elevati. Nel primo semestre sono stati complessivamente 935 gli attacchi oltre 1 Tbps mitigati da Cloudflare.
La dimensione degli eventi, tuttavia, resta nella maggior parte dei casi molto più contenuta. Il 96,62% degli attacchi DDoS a livello di rete è rimasto sotto i 500 Mbps, mentre il 90,60% si è concluso in meno di 10 minuti.
Parallelamente sta cambiando la composizione dei vettori utilizzati. Nel semestre, gli attacchi basati su DNS Flood e DNS Amplification hanno rappresentato complessivamente il 34,3% degli attacchi DDoS a livello di rete.
Il DNS Flood ha registrato una crescita particolarmente marcata: la sua quota è passata dal 25,7% del primo trimestre al 40% nel secondo trimestre. Ancora più rapida è stata l’espansione dei CLDAP Flood, tecnica di riflessione e amplificazione che sfrutta endpoint Active Directory LDAP-over-UDP esposti. Su base trimestrale, questi attacchi sono aumentati dell’881,9%, raggiungendo il terzo posto tra i vettori osservati nel secondo trimestre.
Geopolitica e botnet modificano la mappa delle minacce
Il rapporto collega l’evoluzione degli attacchi anche agli avvenimenti geopolitici. Il settore Media, Produzione ed Editoria è risultato il più colpito sia nel primo sia nel secondo trimestre, concentrando il 14,245% delle richieste HTTP DDoS mitigate. La sua esposizione si è verificata in un periodo caratterizzato dalla guerra in Iran e Ucraina e dalla forte attenzione internazionale generata dai Mondiali.
Anche il settore governativo ha cambiato rapidamente posizione nella classifica delle realtà più colpite. Dopo l’avvio dell’Operazione Epic Fury, il 28 febbraio 2026, sono state registrate 149 rivendicazioni di attacchi DDoS da parte di hacktivisti contro 110 organizzazioni distribuite in 16 Paesi. Il 47,8% circa delle organizzazioni interessate apparteneva al settore governativo, passato così dal 29° posto del primo trimestre al 9° posto nel secondo.
Sul piano geografico, la Cina ha riconquistato la prima posizione tra le aree più colpite, rappresentando il 22,4% delle richieste HTTP DDoS globali nel secondo trimestre. Seguono gli Stati Uniti con il 18,8%, mentre la Turchia è salita al terzo posto dopo aver più che raddoppiato la propria quota di traffico di attacco globale.
Cambia anche la provenienza del traffico. Nel primo semestre il Brasile ha superato gli Stati Uniti diventando il principale Paese di origine degli attacchi DDoS, con il 14,9% del traffico mitigato contro il 13,4% degli Stati Uniti. Nel secondo trimestre la quota brasiliana è arrivata al 21,4%, mentre l’Indonesia ha mantenuto il terzo posto.
Il picco dell’attività è stato registrato ad aprile, con 6,46 trilioni di richieste e 165 PB di traffico. Nei mesi successivi richieste e volumi sono diminuiti, in possibile correlazione con l’Operazione PowerOFF, iniziativa internazionale condotta in 21 Paesi contro i servizi DDoS-for-hire. L’operazione ha portato all’identificazione di oltre 75.000 utenti, alla chiusura di 53 domini, a 25 mandati di perquisizione e a quattro arresti.
Cloudflare indica infine nella propria infrastruttura un elemento centrale per la mitigazione automatica degli attacchi. La rete offre protezione DDoS gratuita e senza limiti di consumo nelle sue oltre 330 città, con una capacità di rete di 500 Tbps. L’azienda mette inoltre a disposizione di hosting provider, piattaforme cloud e Internet Service Provider un DDoS Botnet Threat Feed gratuito, utilizzato per identificare indirizzi IP e account coinvolti negli attacchi.
Sono oltre 800 le reti nel mondo che hanno aderito al feed, contribuendo all’attività di identificazione e rimozione dei nodi delle botnet.
