Le inondazioni CLDAP balzano del 580%, la tattica DDoS cambia

935 attacchi oltre 1 Tbps sono il titolo, non tutta la storia

Il rapporto di Cloudflare sulle minacce DDoS per il primo semestre 2026, pubblicato l'11 agosto 2026, ha messo cifre concrete su un anno di pressione crescente: 23,2 milioni di attacchi DDoS a livello di rete mitigati, 29,64 mila miliardi di richieste HTTP DDoS bloccate, e una media di circa 5.343 attacchi a livello di rete ogni ora. Il dettaglio che circola più in fretta è l'estremo: 935 attacchi singoli hanno superato il terabit al secondo nel primo semestre, un balzo del 519 per cento di quel volume dal primo al secondo trimestre.

Quelle cifre sono reali e fanno notizia. Un conteggio di attacchi e un conteggio di terabit mostrano quanto rumore si sia fatto, ma non da dove sia arrivato quel traffico, ed è proprio lì che si trova la scoperta più utile del rapporto: un cambiamento nel modo in cui gli attaccanti hanno costruito il volume, che modifica l'aspetto di una postura di sicurezza difendibile per un'azienda lontanissima da qualunque titolo di giornale.

Da possedere una botnet a prendere in prestito i server altrui

Due categorie di attacco a livello di rete si sono mosse con forza nei dati di Cloudflare. Le inondazioni DNS sono salite dal 25,7 per cento degli attacchi a livello di rete nel primo trimestre al 40,0 per cento nel secondo. Le inondazioni CLDAP, una tecnica di riflessione e amplificazione, sono cresciute del 580 per cento da un trimestre all'altro e sono diventate il terzo vettore di attacco più diffuso del rapporto. Entrambe appartengono alla stessa famiglia: invece di lanciare traffico direttamente da una botnet di sua proprietà, l'attaccante invia una piccola richiesta falsificata al resolver DNS o al server LDAP di terzi, spacciando l'indirizzo del bersaglio per quello del mittente, e lascia che sia il server altrui a inviare una risposta molto più grande alla vittima.

L'attrattiva per chi attacca è semplice: queste tecniche moltiplicano di regola una piccola richiesta trasformandola in una risposta molto più grande, così una quantità modesta di banda dell'attaccante diventa un'inondazione consistente sul bersaglio. Ciò che conta per chi si difende è dove sta la leva. Un'inondazione da botnet classica è limitata dal numero di macchine compromesse che l'attaccante è riuscito a radunare. Un attacco di riflessione è limitato dal numero di resolver DNS mal configurati o server LDAP esposti presenti sull'internet aperta su cui l'attaccante può far rimbalzare traffico, e quel numero sfugge in gran parte al controllo di un singolo bersaglio.

La vostra esposizione dipende ora dagli errori di configurazione altrui

Questo è il punto operativo su cui vale la pena soffermarsi. Un'azienda può blindare il proprio perimetro, aggiornare i propri server, e nonostante ciò subire un attacco di riflessione più grande semplicemente perché migliaia di resolver DNS aperti o server LDAP esposti restano senza patch da qualche altra parte di internet, a disposizione di qualsiasi attaccante voglia arruolarli senza mai averli compromessi. L'esposizione al DDoS ha in parte smesso di dipendere dalla propria superficie di attacco ed è diventata una funzione dell'igiene complessiva di internet.

Questo cambia cosa dovrebbe significare, in pratica, ridurre il proprio rischio DDoS. Acquistare una connessione più grande aiuta ancora contro il volume grezzo, ma serve a poco contro l'essere usati come riflettore o colpiti da uno. Le mosse più utili si collocano a monte e sono di natura collaborativa: filtraggio del traffico in uscita, così che la propria rete non possa essere arruolata come riflettore altrui, e un confronto diretto con il proprio provider internet o CDN sul blocco dei vettori di amplificazione noti, come DNS e CLDAP, al margine della rete, invece di dimensionare la capacità solo in base all'ultimo attacco subito.

Il settore pubblico balza di 20 posizioni - da tenere d'occhio, non da archiviare

L'avvertimento più concreto del rapporto riguarda un bersaglio, non una tecnica. Il settore pubblico è balzato dal 29esimo al 9esimo posto tra i settori più colpiti, il maggiore movimento di un singolo settore registrato finora da Cloudflare nel 2026, un cambiamento che il rapporto collega a una campagna chiamata Operation Epic Fury. Media, produzione ed editoria sono rimasti, in entrambi i trimestri, il settore più colpito per volume di richieste HTTP DDoS, con il 14,2 per cento del totale. La Turchia è salita al terzo posto tra i paesi più colpiti, un dato che Cloudflare collega al vertice NATO di luglio ad Ankara.

Niente di tutto questo è uno schema storico stabile che un ente pubblico o un'organizzazione vicina al settore pubblico possa liquidare con una scrollata di spalle. Un balzo di 20 posizioni in sei mesi è un cambiamento in corso su dove puntano gli attaccanti, e colpisce più duramente proprio le organizzazioni di UE e Regno Unito, enti pubblici, aziende di servizi essenziali e operatori vicini alla sanità, che tendono a gestire l'infrastruttura più vecchia e i budget DDoS più risicati.

Cosa dovrebbe cambiare questo trimestre un operatore di UE o Regno Unito

Cominciate con una verifica, non con un acquisto. Controllate se i vostri resolver DNS rispondono a interrogazioni provenienti da tutto internet invece che dai soli client noti, perché un resolver senza restrizioni è esattamente il tipo di infrastruttura che, secondo questo rapporto, gli attaccanti stanno prendendo in prestito. Fate lo stesso per qualsiasi servizio LDAP esposto oltre il confine della vostra rete. Nessuna delle due correzioni richiede hardware nuovo, entrambe vi tolgono dalla lista dei possibili riflettori, ed entrambe sono il tipo di lavoro di manutenzione che un penetration test segnala e che un team IT indaffarato rimanda.

Poi affrontate la conversazione più difficile con il vostro provider internet o CDN: chiedete esplicitamente se la loro mitigazione DDoS blocca vettori di amplificazione noti, come le inondazioni DNS e CLDAP, al margine della rete, oltre a quanto volume grezzo sono in grado di assorbire. Se lavorate nella pubblica amministrazione, nei servizi essenziali o in ambiti vicini alla sanità, trattate il balzo di posizione del vostro settore come un dato attuale, non storico, e anticipate nel calendario la vostra revisione DDoS invece di aspettare il prossimo ciclo di rinnovo per affrontarla.

Da leggere ora: 4.000 app in 30 giorni: la scommessa IA di Cloudflare  |  La specifica ha superato il prodotto di tre revisioni