Gli attacchi DDoS diventano sempre più voluminosi e sofisticati, mentre eventi geopolitici e globali continuano a influenzarne la distribuzione. È quanto emerge dalla 25ª edizione del Cloudflare DDoS Threat Report, che per la prima volta analizza congiuntamente i primi due trimestri dell’anno, da gennaio a giugno 2026.
Nel primo semestre dell’anno, Cloudflare ha mitigato 23,2 milioni di attacchi DDoS a livello di rete e 29,64 trilioni di richieste HTTP DDoS, pari a circa 5.343 attacchi a livello di rete ogni ora, ovvero circa 128.000 al giorno. Complessivamente, la rete Cloudflare ha bloccato circa 1,23 exabit di traffico DDoS.
Uno degli elementi più significativi del semestre è la crescita degli attacchi ipervolumetrici, quelli che superano 1 Tbps, 1 Bpps o 1 Mrps. Nel solo secondo trimestre, Cloudflare ha mitigato 805 attacchi superiori a 1 Tbps, un numero sei volte superiore a quello registrato nel trimestre precedente. Considerando l’intero primo semestre, gli attacchi oltre 1 Tbps mitigati sono stati 935, con un aumento del 519% tra Q1 e Q2.
Il baricentro degli attacchi si sposta verso DNS e amplificazione
La crescita dei volumi si accompagna a un cambiamento nei vettori utilizzati dagli attaccanti. Nel primo semestre del 2026, gli attacchi basati su DNS – DNS Flood e DNS Amplification – hanno rappresentato complessivamente il 34,3% degli attacchi DDoS a livello di rete.
In particolare, i DNS Flood sono passati dal 25,7% al 40% degli attacchi a livello di rete tra il primo e il secondo trimestre. Ancora più marcata la crescita dei CLDAP Flood, un vettore di riflessione e amplificazione che sfrutta endpoint Active Directory LDAP-over-UDP esposti: gli attacchi sono aumentati dell’881,9% su base trimestrale, portandolo al terzo posto tra i vettori di attacco nel secondo trimestre.
Nonostante la crescita degli attacchi ipervolumetrici, la maggior parte degli attacchi DDoS rimane relativamente contenuta per dimensioni e durata: il 96,62% degli attacchi a livello di rete è rimasto al di sotto dei 500 Mbps e il 90,60% si è concluso in meno di 10 minuti.
La geopolitica ridisegna il panorama degli attacchi
Il report evidenzia inoltre una stretta correlazione tra gli eventi geopolitici e l’attività DDoS.
Il settore Media, Produzione ed Editoria è stato il più colpito sia nel primo sia nel secondo trimestre, rappresentando il 14,245% di tutte le richieste HTTP DDoS mitigate, quasi quattro volte la quota del secondo settore più colpito. La forte esposizione è avvenuta in un contesto caratterizzato dalla guerra in Iran e Ucraina e dalla grande attenzione globale generata dai Mondiali.
Anche il settore governativo ha registrato un cambiamento significativo. In seguito all’avvio dell’Operazione Epic Fury, il 28 febbraio 2026, i ricercatori di sicurezza hanno registrato 149 rivendicazioni di attacchi DDoS da parte di hacktivisti contro 110 organizzazioni in 16 Paesi. Quasi il 47,8% delle organizzazioni prese di mira apparteneva al settore governativo.
Il settore governativo è così passato dal 29° posto nel primo trimestre al 9° nel secondo, registrando il più ampio spostamento di classifica tra i settori osservato finora nel 2026.
Anche a livello geografico si sono registrati cambiamenti significativi. La Cina ha riconquistato il primo posto tra le aree geografiche più colpite, con il 22,4% di tutte le richieste HTTP DDoS globali nel secondo trimestre, seguita dagli Stati Uniti con il 18,8%. La Turchia è invece salita rapidamente al terzo posto, più che raddoppiando la propria quota di traffico di attacco globale.
Brasile primo Paese di origine degli attacchi
Il report analizza anche l’origine del traffico DDoS. Nel primo semestre del 2026, il Brasile ha superato gli Stati Uniti diventando il principale Paese di origine degli attacchi, con il 14,9% del traffico DDoS mitigato, contro il 13,4% degli Stati Uniti.
La crescita è stata particolarmente marcata nel secondo trimestre, quando il Brasile ha rappresentato il 21,4% di tutto il traffico di richieste DDoS mitigato. L’Indonesia ha mantenuto il terzo posto, confermandosi per diversi trimestri consecutivi tra i primi tre Paesi di origine degli attacchi DDoS a livello globale.
Aprile è stato il mese più intenso
Il mese di aprile 2026 ha segnato un picco nell’attività DDoS, con 6,46 trilioni di richieste e 165 PB di traffico.
Successivamente, richieste e volumi hanno iniziato a diminuire, in possibile correlazione con l’Operazione PowerOFF, un’operazione internazionale condotta in 21 Paesi contro i servizi DDoS-for-hire. L’iniziativa ha portato all’identificazione di oltre 75.000 utenti, alla chiusura di 53 domini, all’emissione di 25 mandati di perquisizione e a quattro arresti.
