Lunedì mattina, il sito del negozio non risponde. Il gestionale in ufficio risponde, la posta pure: è fermo solo il sito, e con il sito si ferma il carrello. Il fornitore di hosting parla di "traffico anomalo". Dopo novanta minuti tutto riparte, senza spiegazioni. Il fatturato perso in quelle due ore non si recupera con un comunicato.

Non è un caso raro e non è un attacco sofisticato. È il tipo di attacco cresciuto più di ogni altro nel 2026, e la ragione è semplice: costa poco, dura poco, e funziona quasi sempre contro chi non lo aspetta.

Il numero che sposta la prospettiva

Nel terzo trimestre 2026 sono stati mitigati 18,2 milioni di attacchi DDoS a livello di rete, circa 8.226 ogni ora, uno ogni 0,44 secondi. Rispetto allo stesso trimestre dell'anno prima, il volume è cresciuto del 208%.

Poi ci sono due dettagli che cambiano il modo di difendersi.

Il primo: il 96% di quegli attacchi è finito in meno di dieci minuti. Il secondo: il 98% è rimasto sotto 1 Gbps. Non parliamo dei mostri da un terabit che finiscono sui giornali. Parliamo di raffiche brevi, di intensità media, ripetute spesso, che colpiscono un bersaglio che nessuno sta guardando.

Ecco il punto: un server aziendale senza protezione cade anche con molto meno di un attacco record. Non serve mettere in ginocchio un centro dati: basta saturare l'unica macchina che regge il sito, o l'unica connessione che porta il traffico.

Perché la raffica breve è più difficile da gestire

Un attacco lungo lascia il tempo di accorgersene, chiamare il fornitore, alzare le difese. Dieci minuti no. Quando l'allarme arriva a una persona, l'attacco è già finito e ricomincia mezz'ora dopo, magari su un altro indirizzo.

In quei minuti l'azienda non vende, non riceve ordini, non risponde alle richieste di preventivo. E soprattutto non sa cosa sta succedendo: il sito "non funziona" è un sintomo che assomiglia a un guasto, a un aggiornamento andato male, a un problema del fornitore. La differenza tra guasto e attacco, in quelle ore, la fa solo il monitoraggio.

Il quadro è cambiato anche per effetto delle operazioni di polizia. A inizio 2026 sono state smantellate quattro grandi reti di dispositivi infetti (botnet) usate per generare traffico (Aisuru, KimWolf, JackSkid, Mossad) e gli attacchi sopra il terabit sono scesi da 805 a 251 in un trimestre. Sembrerebbe una buona notizia. In realtà il mercato si è spostato: meno attacchi giganteschi, molti più attacchi piccoli e frequenti, venduti a ore su servizi specializzati (booter) a prezzi da abbonamento.

È l'industrializzazione di sempre: quando il costo di un attacco scende sotto il costo di una cena, il numero di persone disposte a provarlo cresce. Non serve un movente politico. A volte basta un cliente arrabbiato, un concorrente scorretto o qualcuno che prova un servizio comprato con pochi euro.

Il traffico non è tutto uguale

Gli attacchi volumetrici riempiono la connessione. Si riconoscono perché il grafico di rete va a picco e tutto il resto sembra fermo.

Gli attacchi applicativi fanno un'altra cosa: mandano poche richieste, ma costose. Una ricerca che interroga il database, una pagina applicativa (endpoint) che genera un PDF, un carrello che ricalcola i totali. Il traffico è basso, la CPU del server è al 100%, e il firewall di rete non vede nulla di anomalo. Nel 2026 questa categoria è cresciuta del 61% su base annua, e con l'adozione delle API il bersaglio si è spostato lì: nessuno protegge un endpoint che risponde in JSON, e quasi nessuno gli mette un limite di richieste.

C'è poi l'uso più fastidioso: l'attacco come copertura. Mentre il sito è giù e tutti guardano il sito, qualcuno prova credenziali, esporta dati o si muove in una parte della rete che non produce allarmi. Se l'attenzione è tutta sul tempo di attività del servizio, il resto passa.

Sei cose da fare prima, non durante

  1. Metti qualcosa davanti al sito. Un proxy o una CDN che assorbe il traffico e nasconde l'indirizzo reale del server. Se l'indirizzo IP dell'hosting è pubblico e raggiungibile, chiunque può colpirlo direttamente scavalcando qualsiasi filtro.
  2. Attiva limiti di richiesta sulle pagine costose. Ricerca, login, carrello, API. Un limite per indirizzo e per sessione con risposta 429 non peggiora l'esperienza dei clienti veri e taglia la maggior parte delle raffiche.
  3. Chiedi al fornitore cosa copre. La protezione DDoS inclusa nell'hosting vale per il livello di rete o anche per quello applicativo? C'è un costo a consumo in caso di attacco? Quanto tempo passa prima che qualcuno intervenga? Sono tre domande da fare prima di firmare, non dopo.
  4. Scrivi una procedura con soglie e nomi. Chi guarda, chi decide, a che ora si chiama il fornitore, quando si passa alla modalità "solo vetrina" con il sito statico. Se la procedura esiste solo nella testa del titolare, non esiste.
  5. Attiva un monitoraggio sintetico. Un controllo ogni minuto su home, login e carrello che avvisa quando la risposta supera una soglia. Costa poco e serve a distinguere "sito lento" da "sito attaccato". Ne parliamo in un pomeriggio di igiene, e la sentinella che manca.
  6. Prepara la comunicazione. Una pagina di stato, un messaggio ai clienti, un ordine di priorità per chi chiama. Durante un attacco la reputazione si gioca su quanto sei chiaro, non su quanto sei tecnico.

Per la parte di rete, il punto di partenza è il perimetro: regole di filtro sensate e niente servizi esposti per comodità. Ne abbiamo scritto in firewall aziendale. Per la parte di risposta, il metodo è lo stesso di qualsiasi incidente: isolare senza distruggere, conservare i log, decidere chi parla. Trovi la sequenza in incident response.

Il DDoS non è un attacco, è una tassa

C'è un aspetto che raramente si dice. Un attacco DDoS non serve quasi mai a rubare: serve a far pagare. A volte in denaro, con una richiesta di riscatto che arriva puntuale. Più spesso in attenzione, in reputazione, in opportunità perse mentre il servizio è fermo.

Per questo la difesa non si misura in "quanti attacchi ho bloccato" ma in "quanto tempo è passato prima che il servizio tornasse". Un'azienda che scopre l'attacco dopo due ore ha già perso la partita, anche se la banda era sufficiente.

Cosa fare se sta succedendo adesso

Non spegnere tutto e non cambiare configurazioni a caso: si perdono le tracce e spesso si peggiora. Avvisa il fornitore aprendo una segnalazione con orario e sintomo, metti in modalità di emergenza le pagine che devono restare raggiungibili (contatti, ordini già pagati), e annota tutto: ora di inizio, sintomi, cosa hai toccato.

Se arriva una richiesta di riscatto, non rispondere subito e non pagare. La maggior parte di queste estorsioni non ha la capacità di sostenere un attacco lungo, e il pagamento finanzia il prossimo attacco. Conserva il messaggio: è una prova, e serve.

Quando tutto torna, la domanda da farsi non è "chi è stato". È "quanto tempo abbiamo impiegato ad accorgercene, e chi se ne sarebbe accorto se fosse successo di notte". Quella risposta dice se l'azienda ha un problema di tecnologia o di sorveglianza.