Il nuovo volto degli attacchi DDoS: brevi, brutali, ovunque

Non è la prima volta che mi trovo a parlare di attacchi DDoS mostruosi, ma i numeri della seconda metà del 2025 segnano un salto qualitativo drammatico: abbiamo sfondato il muro dei 7 terabit al secondo. Cloudflare ha annunciato di aver mitigato un attacco DDoS “iper‑volumetrico” che ha toccato il picco di 7,3 Tbps e 4,8 miliardi di pacchetti al secondo, concentrati in appena 45 secondi.

È incredibile pensare che in meno di un minuto siano stati riversati 37,4 terabyte di traffico verso un singolo IP bersaglio — un volume pari a più di 9.300 film HD. E se questo attacco fa notizia, ciò che davvero mi inquieta è il contesto in cui avviene: nei primi sei mesi del 2025 Cloudflare ha già bloccato 27,8 milioni di attacchi DDoS, superando di gran lunga ogni statistica del 2024 .

Cosa significa tutto ciò per chi come me lavora nel settore? Significa che la minaccia non si limita più a interruzioni occasionali: stiamo parlando di attacchi brevi ma potentissimi, sempre più frequenti e sofisticati. Cloudflare ha identificato oltre 6.500 attacchi iper‑volumetrici in Q2, con una media di 71 quotidiani. Ma non è solo questione di quantità: è la strategia che cambia. Loro stessi definiscono i nuovi pattern come combinazioni intelligenti di super‑flooding massicci con sondaggi mirati, progettati per sondare falle e aggirare difese tradizionali . Non attaccano più soltanto a forza bruta, ma con tattiche ibride e coordinate.

Un altro dato allarmante: gli attacchi L3/4 (come DNS‑flood, TCP‑SYN, UDP) sono diminuiti dell’81% rispetto al trimestre precedente, ma contestualmente quelli HTTP sono cresciuti del 9%, con oltre il 70% generati da botnet già note. In pratica: stiamo assistendo a una diversificazione degli strumenti e degli obiettivi. Le telecomunicazioni, i provider Internet e i data center sono tra i più bersagliati, e a fascino dei criminali si aggiunge il ritorno dei ransomware DDoS con un aumento del 68% delle minacce estorsive .

Aggiungiamoci poi l’emergere di botnet sofisticate come DemonBot — basate su dispositivi IoT Linux insicuri — e di throne vettori quali UDP flood, riflessioni QOTD, NTP o mischi multi‑protocollo. È il ritorno della scuola old‑school, ma in chiave 2025: vettori storici usati in combinazione per confondere l’intelligence delle difese.

Chiunque gestisca infrastrutture cloud‑based, siti web o contenuti online non può più fare affidamento a soluzioni reactive o a protezioni occasionali. Gli attacchi durano meno di un minuto, ma il danno può essere permanente se il sistema non è pronto. Serve una difesa always‑on, automatica, distribuita su scala globale — esattamente come quelle offerte da Cloudflare con oltre 388 Tbps di capacità e oltre 330 città coinvolte.

Dunque, guardando avanti, penso che siano due le lezioni da portarsi a casa:

Investire in soluzioni di protezione DDoS always-on e autonome, capaci di reagire non appena il traffico inizia ad aumentare.

Monitorare costantemente l’infrastruttura, raccogliere dati sui tentativi di attacco e adottare threat‑feed per anticipare le tecniche emergenti.

Il panorama è in rapido cambiamento: non si tratta più di «proteggere il sito» ma di difendere realtà distribuite, interconnesse, dove basta un attimo per generare un blackout digitale.