Attacco DDoS: cos'è, come funziona e come prepararsi

La risposta breve: un attacco DDoS (Distributed Denial of Service) rende irraggiungibile un sito, un servizio online o una rete sommergendolo di traffico o di richieste che arrivano da moltissime sorgenti nello stesso momento, spesso dispositivi compromessi riuniti in una botnet. Non ruba dati e non entra nei sistemi: ne esaurisce le risorse, e gli utenti legittimi restano fuori.

Si mitiga con tre cose preparate prima: un servizio anti-DDoS adeguato alla propria connettività, apparati e applicazioni configurati per reggere il carico, un piano di risposta già provato. Sotto: definizione, tipi di attacco, numeri, contromisure e NIS2.

Cos'è un attacco DDoS

Nel rapporto DDoS: Preparazione e risposta agli attacchi Denial of Service (2025), l'Agenzia per la cybersicurezza nazionale descrive il Denial of Service come un attacco con cui un attore malevolo cerca di "compromettere la disponibilità di un bene informatico o di un servizio mediante l’esaurimento delle sue risorse di rete, di elaborazione o di memoria necessarie per accedervi".

DoS e DDoS: la differenza

Il DoS è la categoria generale. Il DDoS è la tecnica in cui il traffico arriva da un numero elevato di sorgenti multiple e distribuite: bloccare un indirizzo serve a poco quando le sorgenti sono tante e, come nota ACN, cambiano durante l'attacco. Nel suo rapporto ACN usa i due termini come sinonimi, perché il DDoS è la forma più diffusa.

Quanto sono frequenti gli attacchi DDoS in Italia

Sono la minaccia più frequente per numero di eventi, ma solo una piccola parte produce effetti concreti. I dati della Relazione annuale ACN 2025:

• Nel 2025 il CSIRT Italia ha trattato 964 eventi DDoS, la prima tipologia tra i 2.729 eventi gestiti. Di questi, 104 sono stati classificati come incidenti.
• La quota di DDoS con impatti misurabili è scesa da circa il 15% del 2024 a meno dell'11%. I picchi dell'anno corrispondono a quattro campagne di gruppi hacktivisti.
• I settori più colpiti per numero di eventi sono la pubblica amministrazione locale (396) e centrale (170), seguiti da trasporti (108), telecomunicazioni (55) e servizi finanziari (50).

Il comunicato del Rapporto Clusit 2026 conferma il quadro sugli incidenti gravi: in Italia i DDoS sono stati il 38,5% dei casi censiti nel 2025, contro il 21% del 2024, un dato che Clusit lega alla crescita degli incidenti di matrice attivista. Nello stesso comunicato Fastweb + Vodafone, con dati di operatore, riporta quasi 6.000 attacchi DDoS sulla rete Fastweb nel 2025, +26%. Gli altri numeri sono nell'articolo sugli attacchi cyber in Italia.

In Europa la proporzione è più netta. L'ENISA Threat Landscape 2025 ha analizzato 4.875 incidenti tra luglio 2024 e giugno 2025: circa il 76,7% sono DDoS, in grande maggioranza di gruppi hacktivisti, e ENISA giudica marginale il loro impatto complessivo. Il gruppo più attivo è NoName057(16), che lavora con volontari organizzati attraverso la piattaforma DDoSia.

Per un'azienda mid-market la maggior parte dei DDoS fa rumore e dura poco. Il conto cambia se il fatturato passa da un e-commerce o da un portale clienti: lì anche qualche ora di fermo pesa.

Perché si fa un attacco DDoS

ACN raggruppa le motivazioni in tre famiglie:

• Economiche: estorsione, cioè un pagamento in cambio della fine del fermo (nel rapporto ENISA, ransom DDoS), oppure sabotaggio di un concorrente.
• Ideologiche: l'hacktivismo, che colpisce siti istituzionali per dare visibilità a un messaggio politico. È la quota più grande dei numeri visti sopra.
• Personali: vendetta, dimostrazione di abilità, ricerca di notorietà in una comunità.

C'è un quarto uso che conta per chi gestisce la sicurezza: il diversivo. Secondo ACN un DDoS può distogliere l'attenzione e coprire un'intrusione condotta con altre tecniche, e un attacco applicativo può generare così tanti log da renderne difficile l'analisi. Mentre si gestisce il traffico, conviene guardare anche il resto dei sistemi.

I quattro tipi di attacco DDoS

Il rapporto ACN classifica gli attacchi in base alla risorsa che esauriscono, e ogni tipo chiede contromisure diverse.

1. Volumetrico

Satura la banda della connessione con più traffico di quanto il collegamento possa trasportare. Si misura in bit al secondo (bps). Esempi: UDP flood e DNS amplification, in cui server DNS interrogati a nome della vittima le rispondono con pacchetti molto più grandi.

2. Esaurimento di stato

Colpisce gli apparati che tengono traccia delle connessioni, come firewall, bilanciatori e IPS, riempiendone le tabelle con connessioni incomplete. Si misura in richieste al secondo (rps). Un esempio è il TCP SYN flood: richieste di apertura di connessione mai completate.

3. Applicativo

Esaurisce le risorse dell'applicazione o di ciò su cui gira (web server, database, sistema operativo) con richieste costose da elaborare o con connessioni tenute aperte apposta in modo lentissimo, come negli attacchi Slowloris e Slow POST. Il servizio di solito prima degrada, poi si blocca.

4. Malformed packet

Sfrutta una vulnerabilità del software: un singolo pacchetto costruito ad arte, o una breve sequenza, può mandare in crash o riavviare un sistema. Qui il volume non conta. Un esempio è il Ping of Death.

Come funziona un DDoS: botnet, riflessione e amplificazione

Per generare tanto traffico gli attaccanti combinano più tecniche, descritte nel rapporto ACN:

• Botnet: reti di dispositivi compromessi (PC, modem, oggetti IoT) comandati da remoto attraverso un'infrastruttura di comando e controllo. Mirai, nel 2016, era composta da migliaia di dispositivi IoT vulnerabili e colpì il fornitore DNS Dyn.
• Dislocazione: il traffico parte da molti punti della rete e paesi. ACN cita un attacco gestito da Google nel 2022 con traffico da oltre 5.000 sorgenti in 132 nazioni.
• Riflessione: l'attaccante si finge la vittima e interroga servizi esposti su Internet, come DNS, NTP o SSDP, che rispondono alla vittima.
• Amplificazione: alcuni protocolli rispondono con molti più byte di quelli ricevuti. Per il DNS ACN indica un fattore tipico di 60, per la funzione MONLIST di NTP circa 200: in teoria basta un sessantesimo della banda del bersaglio per saturarlo.

Si può subire un DDoS senza essere il bersaglio

ACN distingue tre modi di essere coinvolti:

• Diretto: l'attacco punta proprio ai tuoi servizi.
• Indiretto: un tuo sistema viene usato per colpire qualcun altro, per esempio un server DNS aperto come resolver ricorsivo. Secondo ACN le conseguenze possono essere reputazionali o legali.
• Ripercussione di eventi esterni: viene colpito un fornitore da cui dipendi. Un caso ricorrente è il DNS autoritativo: se cade, il sito funziona ma nessuno lo trova.

Come prepararsi: le contromisure

Il rapporto ACN dedica un capitolo e un allegato alle contromisure. In sintesi, per un'azienda che espone servizi su Internet:

1. Capire cosa è esposto e cosa è critico. Quali servizi devono restare raggiungibili, quali dipendono da fornitori esterni, quanta banda resta libera nei picchi normali. È il lavoro di una business impact analysis, che serve anche a decidere prima quali servizi sacrificare durante un attacco.
2. Un servizio anti-DDoS volumetrico, dall'ISP o da un fornitore specializzato, in cloud, on premise o ibrido. ACN avverte che la pulizia del traffico attivata solo a mano costa meno ma può lasciare i servizi fermi a lungo prima che qualcuno intervenga.
3. Apparati configurati per reggere il carico. Router, firewall e bilanciatori con funzioni anti-DDoS: SYN cookies, timeout più brevi per le connessioni a metà, limiti al numero di connessioni e richieste per indirizzo.
4. Protezione applicativa. Per i servizi web un web application firewall con funzioni anti-DDoS, rate limiting, gestione del traffico automatizzato, eventualmente una CDN. ACN raccomanda di verificare che il piano acquistato comprenda l'anti-DDoS, a volte venduto a parte, e di aggiornare le regole a ogni rilascio.
5. Ridondanza dove serve. Due ISP per la connettività e il DNS autoritativo affidato a più fornitori o almeno a due infrastrutture separate.
6. Aggiornamenti costanti, contro i malformed packet: sistemi esposti dentro un processo di patch management con priorità sulle vulnerabilità critiche, e una patch virtuale sul firewall o sul WAF quando l'aggiornamento non è possibile subito.
7. Un piano di risposta provato. Chi fa cosa, chi chiama l'ISP, quali azioni di ultima istanza si possono attivare (per esempio limitare l'accesso ai soli paesi che contano per il business), e simulazioni periodiche per verificare che funzioni.
8. Allarmi dentro il monitoraggio. Gli avvisi anti-DDoS vanno integrati negli strumenti e nei processi di gestione degli incidenti, non lasciati in una console a parte.

ACN osserva che, davanti a un anti-DDoS volumetrico, gli attaccanti spesso passano agli attacchi applicativi: coprire un solo livello sposta il problema.

Durante un attacco: cosa fare

• Attivare il piano e il fornitore anti-DDoS, e coinvolgere l'ISP.
• Evitare di bloccare a mano gli indirizzi da cui arriva più traffico: con lo spoofing possono essere servizi legittimi, come DNS, posta o CDN, e ci si taglia fuori da soli.
• Controllare gli apparati anche dopo: secondo ACN un firewall o un bilanciatore saturato può restare bloccato ad attacco finito, e può servire un riavvio.
• Segnalare l'evento al CSIRT Italia: il rapporto ACN rimanda al modulo di segnalazione. Per i soggetti NIS2, se l'incidente è significativo, la notifica è un obbligo (sezione qui sotto).

DDoS e NIS2: quando va notificato

Per i soggetti NIS2 un DDoS va notificato al CSIRT Italia se è un incidente significativo. L'art. 25, comma 4 del D.Lgs. 138/2024 considera significativo, tra l'altro, l'incidente che "ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto interessato".

ACN rende il criterio concreto negli incidenti significativi di base (determinazione 379907/2025, allegati 3 e 4). Il codice IS-3, previsto sia per i soggetti importanti sia per gli essenziali, scatta quando il soggetto ha evidenza della "violazione dei livelli di servizio attesi dei suoi servizi e/o delle sue attività", sulla base dei livelli fissati con la misura DE.CM-01: è la voce più vicina a un DDoS che degrada o ferma un servizio.

Il lavoro quindi si fa prima dell'attacco: la stessa DE.CM-01 chiede di definire e documentare i livelli di servizio attesi e di avere strumenti per rilevare in tempo gli incidenti significativi. Senza una soglia scritta, durante un attacco non si sa se la si è superata. Se lo è, valgono i termini dell'art. 25: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese, come spieghiamo nell'articolo sulla notifica degli incidenti NIS2. Il quadro completo degli obblighi è nella guida completa alla NIS2.

In sintesi

Un attacco DDoS esaurisce le risorse di un servizio con traffico distribuito su molte sorgenti e ne blocca la disponibilità. Tra gli eventi trattati dal CSIRT Italia è la minaccia più frequente, ma per ACN meno dell'11% dei DDoS del 2025 ha prodotto effetti misurabili. Per non finire in quella quota servono un servizio anti-DDoS adeguato, apparati e applicazioni configurati, ridondanza sui fornitori critici e un piano provato. Con la NIS2 si aggiunge un compito preciso: fissare per iscritto i livelli di servizio, perché sono la soglia oltre la quale un DDoS diventa un incidente da notificare.

Se vuoi capire quali tuoi servizi reggerebbero un attacco DDoS e come rilevarlo in tempo, puoi partire dai nostri servizi di cybersecurity.