Altro che DDoS: è arrivata l'era degli attacchi DDoD (Distributed Denial of Defense)

Negli anni scorsi, si è registrato un significativo aumento nel numero di attacchi massicci per loro natura altamente sofisticati.

In realtà, nove dei maggiori attacchi DDoS volumetrici che sono stati mitigati dalla piattaforma di protezione dagli attacchi DDoS di Akamai Prolexic si sono verificati negli ultimi 36 mesi. Questi attacchi sono stati, spesso, multivettore e mirati a più obiettivi con il potenziale di sovraccaricare molte soluzioni DDoS rudimentali, on-premise o solo autonome disponibili sul mercato.

Se esaminiamo in dettaglio l'intelligence sugli attacchi DDoS raccolta da Akamai, più del 30% degli attacchi DDoS mitigati da Prolexic nel 2° trimestre del 2025 è risultato sofisticato e orizzontale (Figura 1).

Questi attacchi DDoS sofisticati richiedono un avanzato approccio difensivo in grado di combinare la potenza dell'automazione moderna, le competenze dell'uomo e la collaborazione nei team addetti alla sicurezza di un'organizzazione e nei provider delle soluzioni. È in tale ottica che il sistema costituito da piattaforma, persone e processi di Akamai offre un solido livello di sicurezza della rete. 

Vettori semplici e facili da mitigare, come i flood UDP, possono essere facilmente bloccati da una qualsiasi soluzione rudimentale per la protezione dagli attacchi DDoS, indipendentemente da quanti terabyte al secondo (Tbps) di traffico degli attacchi vengono generati dai criminali. In molti casi, anche un semplice elenco di controllo degli accessi (ACL) può andare bene. Questi tipi di semplici tattiche, tecniche e procedure (TTP) non sono affatto nuove né degne di nota per gli addetti alla sicurezza della rete.

La situazione è completamente diversa nel caso dei sofisticati attacchi DDoS basati sull'AI che esaminano i sistemi di difesa esistenti, identificano i punti deboli del sistema di sicurezza e sferrano pochi attacchi, ma complessi. Questi attacchi mettono fuori uso i sistemi di difesa dagli attacchi DDoS e disconnettono le reti.

Ribadiamo questo processo particolarmente importante perché gli attacchi DDoS non avvengono casualmente. La maggior parte degli attacchi DDoS si verificano quando un criminale tenta deliberatamente di "inondare" la rete con traffico dannoso che satura la capacità dell'origine e impedisce agli utenti legittimi di accedere ai servizi richiesti.

In pochi casi, si potrebbe verificare un attacco DoS (Denial-of-Service) a causa di un errore di configurazione, una violazione della rete o una scansione aggressiva delle vulnerabilità. Con gli strumenti assistiti e basati sull'AI, i criminali informatici possono esaminare la rete per individuare le sue vulnerabilità per poi concentrare il loro attacco di conseguenza.

I sofisticati attacchi DDoS non sono mai stati così numerosi. Ecco perché i criminali non devono generare moltissimo traffico se riescono a inondare i sistemi di difesa con una quantità relativamente moderata di traffico appositamente concepito per scopi dannosi.

Guardiamo alla situazione in questo modo: se qualcuno tenta di introdursi in casa vostra, utilizza un atto di forza per entrare dall'ingresso principale, disattivare l'allarme installato e prepararsi ad affrontare le forze dell'ordine... oppure i criminali potrebbero capire come disattivare il vostro sistema di sicurezza ed entrare in casa vostra più agevolmente.

Alcuni dei moderni attacchi DDoS utilizzano questa seconda tecnica: disattivano il sistema di sicurezza e penetrano nella rete.

Le reti dei clienti, spesso, hanno diversi livelli integrati di capacità o tecnologia ridondante, quindi possono assorbire o deviare l'impatto iniziale di un attacco, ma, purtroppo, non basta.

I controlli o i dispositivi come i firewall stateless, ad esempio, possono aiutare inizialmente, ma, spesso, hanno una capacità limitata per assorbire l'uso improprio dei protocolli e/o per distribuire i carichi di lavoro ugualmente, mentre devono concentrarsi, al contempo, anche sull'esigenza di offrire i servizi richiesti agli host o agli utenti legittimi. A volte, tutto ciò di cui ha bisogno un criminale è una capacità appena sufficiente per mettere fuori uso l'infrastruttura presa di mira e bypassare i controlli automatizzati.

Un rapporto pubblicato nel 2025 da FS-ISAC e Akamai dal titolo Da un semplice fastidio ad una minaccia strategica: l'evoluzione degli attacchi DDoS contro il settore finanziario mette in risalto questa tendenza in modo dettagliato.

Il rapporto afferma: "In realtà, le campagne di attacchi DDoS più efficaci nel 2024 sono state caratterizzate da una ricognizione strategica e da un'esecuzione agile piuttosto che semplicemente dalla semplice quantità.

"Nel 2024, i criminali hanno utilizzato sempre più strategie DDoS multivettore con esplorazioni sistematiche e tattiche adattive incorporate. Questo approccio dimostra la capacità di analizzare i sistemi di difesa in tempo reale e adattare in modo dinamico i metodi necessari per eludere le soluzioni di protezione automatizzate, segnando chiara evoluzione nelle capacità, nelle risorse e nelle intenzioni dei criminali, oltre ad aumentare la minaccia degli attacchi DDoS sferrati contro il settore dei servizi finanziari".

Negli ultimi tre mesi del 2024, più di 20 istituzioni finanziarie nell'area Asia-Pacifico sono state colpite da una campagna di attacchi DDoS mai registrati prima e altamente sofisticati. I criminali informatici hanno utilizzato una moltitudine di vettori per sferrare un numero alquanto ridotto di attacchi allo scopo di sondare e testare abilmente il reale livello dei sistemi di difesa dagli attacchi DDoS presenti in queste istituzioni.

Nonostante la moderata quantità di traffico degli attacchi, la complessa combinazione di vettori e indirizzi IP di destinazione ha messo fuori uso vari servizi di protezione dagli attacchi DDoS totalmente autonomi e on-premise, dando origine a giorni di notevole e costoso impatto sugli utenti finali.

È importante notare che la quantità di traffico degli attacchi è risultata notevolmente inferiore rispetto ai limiti di capacità pubblicizzati dalla maggior parte delle soluzioni di mitigazione degli attacchi DDoS. Inoltre, una volta sovraccaricate le piattaforme di difesa dagli attacchi DDoS totalmente autonome e self-service, i clienti non sono neanche riusciti ad accedere a queste piattaforme per eseguire qualsiasi operazione. Nessun addetto alla sicurezza della rete vorrebbe mai sentirsi così vulnerabile e inutile.

Negli ultimi anni, Akamai ha osservato da vicino questa tendenza emergente nei criminali informatici, che stanno passando dalla vecchia strategia DDoS (Distributed Denial-of-Service) ai nuovi attacchi DDoD (Distributed Denial of Defense). Gli attacchi sferrati nell'area Asia-Pacifico hanno consolidato questo passaggio.

Una volta reso inattivo il sistema di difesa dagli attacchi DDoS automatizzato, i criminali non hanno bisogno di un'elevata quantità di traffico dannoso per bloccare la rete.

Nell'esempio dell'area Asia-Pacifico, questo approccio ha consentito ai criminali di sferrare gli attacchi e bloccare varie aziende contemporaneamente e per diverse settimane, usando la "potenza di fuoco" delle loro botnet in modo economicamente efficiente anziché esaurire le loro risorse con i massicci attacchi convenzionali.

Akamai Prolexic, la nostra piattaforma di difesa dagli attacchi DDoS, ha protetto agevolmente i clienti da questi attacchi principalmente perché abbiamo anticipato il problema legato alla "semplice automazione" nella nostra progettazione: c'è sempre un team globale di esperti del SOCC (Security Operations Command Center) che monitorano gli attacchi e lavorano direttamente con il cliente.

I nostri esperti affrontano gli attacchi DDoS ogni giorno e dispongono di un arsenale di strumenti da implementare nel caso in cui un attacco riuscisse a prevalere su alcune parti dei meccanismi di difesa automatizzati.

In realtà, Akamai riceve regolarmente richieste per una protezione dagli attacchi DDoS di emergenza da parte di organizzazioni i cui sistemi di difesa dagli attacchi DDoS totalmente autonomi sono stati colpiti dai criminali. I vendor che dipendono da sistemi di difesa di questo tipo non offrono, perlopiù, un piano di backup né consentono di accedere all'intervento di personale dedicato, consulenti di emergenza o risorse di assistenza.

Un sistema di sicurezza è efficace solo quanto la sua capacità di difendere la rete al momento di un attacco. Un sistema che si interrompe o si disconnette regolarmente oppure che può essere facilmente sovraccaricato da attacchi sofisticati non è utile in alcun modo, indipendentemente da quanto sia grande la sua capacità di difesa "commercializzata".

Nella moderna era dei sofisticati attacchi DDoS, è relativamente semplice sovraccaricare o disattivare completamente le piattaforme di difesa dagli attacchi DDoS autonome, soprattutto quando la capacità di difesa dagli attacchi DDoS di queste piattaforme è una risorsa condivisa con altri servizi, come la rete per la distribuzione dei contenuti (CDN).

Una strategia adottata sempre più dai clienti di Akamai si basa proprio su questo concetto di diversificazione. Disporre di architetture multicloud appositamente progettate consente agli addetti alla sicurezza della rete di diversificare la loro difesa dagli attacchi DDoS, evitando, al contempo, il rischio di incorrere in problemi di sistema su una singola piattaforma.

Molte organizzazioni e istituzioni di livello aziendale che operano in settori altamente regolamentati richiedono una strategia DDoS basata su due vendor.

In realtà molte aziende dispongono di un fornitore di "seconda scelta" in grado di soddisfare i diversi requisiti, ma utilizzano una soluzione di comprovata validità e ben progettata per proteggere le loro risorse critiche. La soluzione più economica viene riservata per le altre risorse, che, spesso, includono domini civetta, gli ambienti di domande e risposte e altre funzioni non critiche.

Sappiamo che qualsiasi soluzione basata sulle tecnologie può incorrere in interruzioni impreviste, influendo, di conseguenza, sui clienti (anche noi, abbiamo subito varie interruzioni in passato). Ma fino a che punto sareste disposti a mettere in gioco le risorse principali o critiche della rete con una soluzione DDoS che potrebbe non essere disponibile quando subite un attacco?

Se il 40% dei vostri utenti finali non riesce ad accedere ai vostri servizi, ma il provider delle soluzioni di mitigazione degli attacchi DDoS afferma che il servizio su Internet è attivo, sarebbe un risultato accettabile? La risposta è decisamente No.

Contattate un esperto di Akamai oggi stesso per ulteriori informazioni sulle nostre soluzioni complete per la sicurezza.