DDoS, in Italia è la tecnica di attacco numero uno: gli assalti durano nove minuti, la difesa non può essere manuale

Alle 9:40 il portale clienti smette di rispondere. Il centralino si riempie, il commerciale scrive al responsabile IT, qualcuno apre un ticket al provider. Alle 9:49 tutto torna a funzionare da solo. Nessun dato sottratto, nessun file cifrato, nessuna richiesta di riscatto: solo nove minuti in cui l’azienda non è esistita per i suoi clienti. Il ticket, nel frattempo, è ancora in coda.

È lo scenario più probabile del 2026, e non è un’ipotesi teorica: è la forma che ha preso il denial of service.

L’Italia è un’anomalia, e conviene saperlo

Il Rapporto Clusit 2026 restituisce un quadro che non ha eguali in Europa. Nel 2025 l’Italia ha assorbito quasi un decimo degli incidenti gravi censiti a livello mondiale, con una crescita del 42% rispetto all’anno precedente. Ma il dato che cambia le priorità operative è un altro: il DDoS è la prima tecnica d’attacco nel Paese, con circa il 38% dei casi, contro una quota globale a una cifra. Era intorno al 21% appena un anno prima.

La ragione è geopolitica più che criminale. L’Italia concentra una porzione enorme degli incidenti di matrice hacktivista rilevati nel mondo: collettivi filorussi che colpiscono per visibilità, non per estorsione, e che scelgono i bersagli in base alle dichiarazioni politiche del giorno. Il bersaglio dichiarato è quasi sempre istituzionale — ministeri, regioni, trasporti — ma le ondate si allargano regolarmente a banche, aziende manifatturiere, operatori logistici e loro fornitori.

Il punto per un’impresa privata è semplice: non serve essere un obiettivo per finire dentro un’ondata. Basta condividere un provider, un data center o una filiera con chi lo è.

Attacchi più brevi, più densi, più difficili da filtrare

Il rapporto DDoS 2026 pubblicato da Arelion il 15 luglio descrive un cambio di regime. Una sola botnet, Aisuru, genera circa un terzo di tutto il traffico d’attacco osservato sulla rete dell’operatore, appoggiandosi a oltre mezzo milione di dispositivi IoT e Android compromessi: videocamere, router domestici, set-top box. La capacità di fuoco non è più artigianale.

Tre numeri raccontano la direzione:

• La durata media degli attacchi scende di circa il 20%, sotto i nove minuti. Campagne più corte, ripetute, spesso a raffica sullo stesso bersaglio.
• Il tasso di pacchetti cresce di circa il 60%, avvicinandosi al miliardo di pacchetti al secondo: è la metrica che manda in saturazione firewall e bilanciatori molto prima che si esaurisca la banda.
• I picchi volumetrici superano i 6 Tbps sulla singola rete osservata, mentre il record assoluto misurato dai grandi provider ha ormai superato i 30 Tbps.

A questo si aggiunge la parte meno visibile: gli attacchi applicativi di livello 7, che non cercano di saturare il collegamento ma di esaurire le risorse di un’applicazione — un endpoint di login, una ricerca a catalogo, un’API. Sono richieste formalmente legittime, difficili da distinguere dal traffico reale, e non si fermano comprando più banda.

Un attacco che dura nove minuti non lascia il tempo di aprire un ticket: o la mitigazione è già attiva quando comincia, o è già finita male.

La domanda giusta non è “quanta banda reggo”

L’ACN, nel proprio rapporto dedicato al fenomeno, insiste su tre passaggi: valutare l’effettiva esposizione al rischio, adottare contromisure proporzionate e predisporre piani di risposta, testandoli periodicamente. È la parte che quasi sempre manca.

Tradotto in domande da porre prima del prossimo incidente:

• Dove viene fermato il traffico ostile? Se la mitigazione avviene dentro il perimetro aziendale, il collegamento è già saturo: serve un filtro a monte, sulla rete dell’operatore o su un servizio di scrubbing.
• La protezione è sempre attiva o va attivata a richiesta? Con finestre di nove minuti, un servizio “on demand” interviene quando l’attacco è finito.
• Chi se ne accorge, e in quanto tempo? Il rilevamento deve essere automatico e monitorato con continuità, non affidato alla segnalazione di un cliente.
• Cosa resta esposto oltre al sito? DNS, VPN, portali di accesso remoto e API sono bersagli più efficaci della homepage, e la loro indisponibilità blocca il lavoro interno.
• L’applicazione regge un attacco di livello 7? Rate limiting, protezione degli endpoint autenticati e caching valgono più di un raddoppio di banda.

C’è infine un profilo di conformità da non trascurare: per i soggetti nel perimetro NIS2, un’indisponibilità rilevante di un servizio essenziale è un incidente notificabile, con tempi stretti. Chi non ha strumenti per misurare l’evento si trova a doverlo descrivere all’autorità senza dati.

Il nostro punto di vista

Il DDoS è l’attacco che mette meno alla prova la sicurezza e più l’architettura. Non c’è una vulnerabilità da correggere: c’è una catena — connettività, bilanciamento, DNS, applicazione, monitoraggio — che regge o non regge, e che si progetta prima. Per questo lo trattiamo come un tema di rete e continuità più che di prodotto: capacità e ridondanza dei collegamenti, filtraggio a monte concordato con l’operatore, separazione tra servizi pubblici e sistemi interni.

La seconda metà del lavoro è il presidio. Attacchi che durano minuti e si ripetono nell’arco della giornata richiedono rilevamento automatico e qualcuno che li guardi mentre accadono: è il compito del nostro SOC · Smart Care, insieme alla verifica periodica che i piani di risposta funzionino davvero — la stessa disciplina con cui si testa il disaster recovery, applicata alla disponibilità.

Chi vuole capire quanto è esposto oggi può iniziare da un esercizio semplice: elencare i servizi raggiungibili da Internet, per ciascuno indicare chi filtra il traffico prima che arrivi in azienda e in quanti minuti se ne accorge. Se una delle due colonne resta vuota, la risposta è già arrivata.