Cloudflare ha pubblicato il suo 26° Rapporto sulle Minacce DDoS, che copre il terzo trimestre del 2026 e rivela un cambiamento distinto nei modelli di attacco caratterizzato da colpi più frequenti e piccoli piuttosto che da eventi volumetrici massicci. Durante luglio, agosto e settembre, l'azienda ha mitigato autonomamente 18,2 milioni di attacchi DDoS a livello di rete e 14,4 trilioni di richieste HTTP. Questo volume si traduce in circa 8.226 attacchi a livello di rete all'ora, ovvero un attacco ogni 0,44 secondi, con un traffico totale mitigato che ha raggiunto i 272,6 petabyte a livello di rete.
I dati indicano un aumento drammatico degli attacchi brevi e a bassa larghezza di banda della durata inferiore ai 10 minuti e inferiori a 1 Gbps, che sono aumentati del 208% rispetto allo stesso periodo del 2025. Questi colpi rapidi, spesso associati a servizi DDoS in affitto, hanno preso di mira principalmente i settori del software informatico, delle scommesse e delle tecnologie dell'informazione. Al contrario, gli attacchi ipervolumetrici superiori a 1 Tbps sono crollati di quasi il 69% rispetto al trimestre precedente, passando da 805 incidenti nel Q2 a soli 251 nel Q3. Questo declino coincide con le azioni delle forze dell'ordine all'inizio del 2026 che hanno smantellato quattro grandi botnet IoT: Aisuru, KimWolf, JackSkid e Mossad.
Nonostante la riduzione dei grandi botnet, le minacce basate sull'IoT rimangono durevoli mentre emergono nuove varianti come Dysphoria ed Evooo1Bot. Gli attacchi classificati come Mirai hanno raggiunto il picco ad agosto, rappresentando il 46,5% di tutti i byte mitigati a livello di rete in quel trimestre. L'attacco Mirai più lungo registrato durante questo periodo è durato quasi 50 ore tra il 19 e il 21 agosto.
Anche i vettori di attacco hanno subito una trasformazione significativa. I flood CLDAP, che avevano aumentato all'inizio dell'anno, sono crollati del 99,5% rispetto al trimestre precedente, rappresentando solo lo 0,05% degli attacchi nel Q3. Gli attori delle minacce hanno invece virato verso altri protocolli senza connessione, guidando un aumento del 215% nell'amplificazione DNS e un aumento del 122% nei flood UDP generali. Questi metodi sfruttano i resolver aperti e la natura del protocollo UDP per consumare le risorse dell'obiettivo senza stabilire connessioni.
Geograficamente e industrialmente, il panorama si è ampliato significativamente. Gli Stati Uniti hanno riconquistato la posizione di località più attaccata dalla Cina, che è scesa al secondo posto, mentre l'Indonesia è salita tra i primi tre. Canada e Israele hanno registrato aumenti netti negli attacchi mirati, saltando rispettivamente di 10 e 7 posizioni. Questi picchi in Canada sono stati collegati ad attacchi ai settori della vendita al dettaglio e delle telecomunicazioni in mezzo a dispute commerciali, mentre il picco in Israele si è verificato durante un periodo di tensione geopolitica ed eventi nazionali in vista delle elezioni parlamentari.
In termini di obiettivi industriali, Media, Produzione & Publishing è rimasto il settore più attaccato ma ha visto la sua quota scendere a circa un quarto del livello del Q2. L'attenzione si è spostata verso una gamma più ampia di industrie, con le infrastrutture Internet che sono salite al sesto posto, mentre i Servizi ai Consumatori e l'Intrattenimento per Adulti sono entrati nella top ten. Cloudflare ha notato che la sua rete globale, che si estende su oltre 330 città con una capacità di 500 Tbps, è progettata per gestire questa mitigazione autonoma, poiché la maggior parte degli attacchi si conclude prima che gli analisti umani possano intervenire.
Fonti: Cloudflare Blog.