DDoS oltre 1 Tbps crescono del 519% nel secondo trimestre 2026

🛡️ Executive Summary

• Cloudflare registra oltre 800 attacchi DDoS superiori a 1 Tbps nel Q2 2026, contro circa 130 nel trimestre precedente.
• Gli attacchi di rete crescono del 31,2%, mentre i flood DNS diventano il vettore dominante e CLDAP aumenta dell’881,9%.
• La maggioranza degli attacchi resta breve, ma la crescita delle operazioni ipervolumetriche impone mitigazione automatica e capacità distribuita su larga scala.

Gli attacchi DDoS ipervolumetrici stanno diventando una componente ordinaria del panorama cyber globale. Nel secondo trimestre del 2026 Cloudflare ha mitigato oltre 800 attacchi di rete superiori a 1 terabit al secondo, contro circa 130 registrati nei primi tre mesi dell’anno: una crescita trimestrale del 519%. Nello stesso periodo aumentano anche gli eventi compresi tra 500 Gbps e 1 Tbps e quelli tra 100 e 500 Gbps, mentre il volume complessivo degli attacchi di rete raggiunge 13,17 milioni. Il fenomeno non riguarda soltanto la capacità delle botnet di generare più traffico, ma anche il ritorno di tecniche di reflection e amplification basate sul DNS, capaci di moltiplicare rapidamente il volume indirizzato verso il bersaglio.

Gli attacchi sopra 1 Tbps aumentano di oltre cinque volte

Il salto più evidente riguarda gli attacchi che superano la soglia di 1 Tbps, passati da circa 130 nel primo trimestre a oltre 800 nel secondo. La crescita del 519% quarter-over-quarter conferma una tendenza già osservata nel 2025, quando gli attacchi ipervolumetrici avevano iniziato a superare regolarmente soglie che fino a pochi anni prima rappresentavano eventi eccezionali. La differenza è che nel 2026 la frequenza sta aumentando insieme alla potenza. Gli attacchi compresi tra 500 Gbps e 1 Tbps crescono del 143%, mentre quelli tra 100 e 500 Gbps aumentano del 105%. L’evoluzione segue la traiettoria delle grandi botnet IoT osservate negli ultimi mesi, come Tengu, variante Mirai con 25 modalità DDoS e persistenza aggressiva e XlabsV1, botnet Android trasformata in servizio DDoS a noleggio. Il problema non è quindi soltanto il record assoluto, ma la disponibilità crescente di infrastrutture criminali capaci di produrre centinaia di gigabit o terabit al secondo con frequenza sempre maggiore.

Il traffico di rete malevolo raggiunge 13,17 milioni di attacchi

Nel secondo trimestre Cloudflare registra 13,17 milioni di attacchi DDoS a livello di rete, contro 10,04 milioni nel trimestre precedente, con una crescita del 31,2%. Parallelamente, il traffico HTTP malevolo sale da 12,75 a 16,89 trilioni di richieste, pari a un aumento del 32,4%. Nei primi sei mesi dell’anno l’azienda dichiara di aver mitigato complessivamente 23,2 milioni di attacchi network-layer e quasi 29,64 trilioni di richieste HTTP malevole. La capacità necessaria per assorbire questa pressione spiega perché Cloudflare abbia portato la propria rete a oltre 500 Tbps di capacità di interconnessione globale, mantenendo una parte rilevante dell’infrastruttura come margine per la mitigazione automatica. Il tema è particolarmente rilevante per operatori di hosting, cloud provider, telecomunicazioni e piattaforme ad alta esposizione pubblica, dove una protezione dimensionata sulla media del traffico legittimo può risultare insufficiente già nei primi secondi di un attacco.

La maggioranza degli attacchi resta piccola e molto breve

La crescita delle campagne più grandi non significa che ogni DDoS stia diventando ipervolumetrico. Al contrario, il 96,62% degli attacchi network-layer rimane sotto i 50 Mbps, mentre il 90,6% termina entro dieci minuti. Gli eventi che superano tre ore rappresentano ancora una quota marginale, anche se passano dallo 0,387% del primo trimestre allo 0,828% nel secondo. Questo dato evidenzia una caratteristica ormai tipica delle botnet moderne: gli attacchi possono raggiungere picchi enormi ma durare abbastanza poco da rendere inefficace qualsiasi risposta manuale. Il modello è già evidente nell’ecosistema Aisuru-Kimwolf, dove Cloudflare descrive una strategia “hit and run” basata su burst che raggiungono rapidamente la massima intensità e possono terminare dopo pochi secondi o minuti. La documentazione ufficiale dedicata alla botnet Aisuru-Kimwolf attribuisce alla stessa infrastruttura attacchi da 31,4 Tbps, 14,1 miliardi di pacchetti al secondo e oltre 200 milioni di richieste HTTP al secondo.

Aisuru e Kimwolf hanno cambiato la scala dei DDoS

Il precedente più evidente è rappresentato da Aisuru-Kimwolf, ecosistema composto secondo Cloudflare da uno a quattro milioni di host compromessi, tra dispositivi IoT, apparati di rete, macchine virtuali e soprattutto dispositivi Android. Nel 2025 la botnet aveva già portato gli attacchi DDoS a livelli record, culminando in una campagna che aveva raggiunto 31,4 Tbps e in assalti HTTP superiori a 200 milioni di richieste al secondo. L’evoluzione è strettamente collegata alla trasformazione commerciale delle botnet: dispositivi compromessi vengono monetizzati come residential proxy, infrastrutture per credential stuffing o veri e propri servizi DDoS-as-a-service, acquistabili attraverso Telegram e Discord. La stessa convergenza tra IoT compromesso, proxy e attacchi distribuiti emerge nelle ricerche su TuxBot v3 Evolution, sviluppato anche con il supporto degli LLM. La disponibilità di milioni di connessioni residenziali rende inoltre più difficile distinguere il traffico ostile da quello legittimo utilizzando soltanto reputazione degli indirizzi IP e blacklist statiche.

DNS flood diventa il vettore dominante nel Q2

Nel secondo trimestre cambia anche la composizione degli attacchi. I DNS flood rappresentano il 40% dei DDoS osservati, contro il 25,7% del primo trimestre, mentre DNS flood e DNS amplification costituiscono insieme il 34,3% degli attacchi network-layer registrati nell’intero semestre. Gli attacchi CLDAP mostrano uno degli aumenti più estremi, con una crescita trimestrale dell’881,9%, mentre gli UDP flood occupano il secondo posto tra i vettori del Q2 con il 14,06%. La riscoperta delle tecniche di reflection e amplification permette agli attaccanti di utilizzare servizi esposti o mal configurati come moltiplicatori del traffico, inviando richieste con indirizzo sorgente falsificato affinché le risposte vengano indirizzate alla vittima. Questo mantiene centrali protocolli apparentemente tradizionali come DNS e UDP anche in una fase nella quale le botnet dispongono già autonomamente di capacità enormi. Il problema del DNS come superficie offensiva è emerso anche negli attacchi NatJack capaci di manipolare sessioni TCP e risposte DNS attraverso lo stato NAT, sebbene il meccanismo tecnico sia differente.

Aprile concentra il picco dell’attività DDoS

Aprile 2026 è stato il mese più intenso del trimestre, con 6,46 trilioni di richieste HTTP DDoS e circa 165 petabyte di traffico malevolo a livello di rete osservati da Cloudflare. Nei mesi successivi l’attività cala in modo significativo. L’azienda considera possibile un collegamento con Operation PowerOFF, la campagna internazionale contro i servizi booter e stresser che ad aprile ha portato a quattro arresti, al sequestro di 53 domini e all’invio di avvisi a oltre 75.000 utenti identificati come utilizzatori di piattaforme DDoS-for-hire.

L’operazione coordinata con il sostegno di Europol ha coinvolto 21 Paesi e costituisce uno dei maggiori interventi contro il mercato commerciale degli attacchi DDoS. L’Europol descrive ufficialmente Operation PowerOFF come un’azione rivolta non soltanto agli operatori dei servizi, ma anche alla domanda generata dai loro utenti. Su Matrice Digitale l’operazione era stata analizzata nel dettaglio insieme alla botnet PowMix e all’identificazione dei 75.000 utilizzatori di servizi DDoS.

Media e pubblicazione diventano il settore più colpito sul livello HTTP

Nel primo semestre 2026 il comparto Media, Production and Publishing assorbe il 14,2% delle richieste HTTP DDoS mitigate da Cloudflare, risultando il settore con la quota più elevata. Cresce contemporaneamente l’attività contro i governi, che Cloudflare collega anche alle crisi geopolitiche e alle campagne hacktiviste sviluppatesi durante l’anno. L’impatto della geopolitica sui DDoS era già diventato evidente durante l’Operazione Epic Fury, quando gruppi filoiraniani avevano rivendicato oltre cento attacchi contro governi, finanza e telecomunicazioni e nelle campagne europee collegate a NoName057(16) e agli ecosistemi di influenza pro-Russia. Il DDoS mantiene infatti un vantaggio per gli attori ideologici: produce immediatamente un risultato visibile, richiede meno capacità rispetto a un’intrusione persistente e può essere facilmente amplificato attraverso rivendicazioni sui social anche quando l’interruzione reale rimane limitata.

I record non sono più la misura sufficiente del rischio

Il dato dei 31,4 Tbps resta impressionante, ma il secondo trimestre 2026 mostra perché concentrarsi esclusivamente sul record assoluto rischi di descrivere male l’evoluzione della minaccia. Cloudflare aveva già registrato nel 2025 una crescita del 121% degli attacchi DDoS annuali e un aumento superiore al 700% nella dimensione delle campagne ipervolumetriche. Ora il numero di eventi sopra 1 Tbps cresce di oltre cinque volte in un solo trimestre. Il cambiamento sostanziale è quindi la normalizzazione della scala terabit, non il singolo picco. Un’infrastruttura può non essere mai colpita da un attacco da 31 Tbps e risultare comunque incapace di assorbire un burst da alcune centinaia di gigabit. Le botnet moderne aggiungono inoltre carpet bombing, randomizzazione dei pacchetti, DNS amplification e attacchi multi-vettore, costringendo i sistemi di mitigazione a reagire contemporaneamente su più livelli dello stack.

La difesa DDoS deve funzionare prima dell’intervento umano

La combinazione tra durata ridotta e picchi estremi rende sempre meno utile un modello nel quale l’attacco viene rilevato, analizzato da un operatore e soltanto successivamente deviato verso un servizio di scrubbing. Un attacco che raggiunge il massimo volume in pochi secondi può avere già saturato il collegamento quando inizia la risposta manuale. La difesa deve quindi essere distribuita, always-on e capace di identificare automaticamente anomalie a livello L3/L4, HTTP e DNS. La crescita delle botnet a noleggio e il ritorno dell’amplificazione mostrano inoltre che la protezione non può dipendere soltanto dal blocco di singoli indirizzi sorgente. Il quadro del Q2 2026 conferma una trasformazione già visibile da tempo: i DDoS non stanno semplicemente diventando più grandi, ma stanno diventando industriali, automatizzati e sufficientemente brevi da rendere la velocità della mitigazione importante quanto la capacità massima disponibile.