In breve:
- Un attacco DDoS (Distributed Denial of Service) rende il sito irraggiungibile sommergendolo di traffico da migliaia di dispositivi infetti. Non ruba dati, ma blocca il servizio.
- In Italia è il tipo di attacco più frequente: secondo il Rapporto Clusit 2026, nel 2025 i DDoS sono stati circa il 38 % degli incidenti gravi in Italia, contro circa il 6 % nel mondo.
- La difesa è un filtro prima del server. Molti hosting italiani lo includono nel piano, e WEDOS Protection e Cloudflare lo offrono anche gratis.
Come funziona un attacco DDoS
L'attaccante controlla una botnet, cioè una rete di computer, server e dispositivi IoT infettati, oppure noleggia un servizio che ne mette a disposizione una. Al momento dell'attacco tutti i dispositivi contattano il bersaglio insieme. Gli attacchi si dividono in due grandi famiglie:
| Tipo | Che cosa colpisce | Come si difende |
|---|---|---|
| Volumetrico (livello 3 e 4) | Satura la connessione del server con enormi quantità di pacchetti, per esempio UDP flood o SYN flood. | Filtro di rete del datacenter o di un servizio con più capacità di quanta ne abbia l'attaccante. |
| Applicativo (livello 7) | Invia richieste che sembrano visite normali, spesso a pagine pesanti come la ricerca o il carrello, finché il server non esaurisce CPU e memoria. | Limite di richieste, verifica dei bot e regole del WAF. |
Gli attacchi DDoS in Italia
Il Rapporto Clusit 2026, pubblicato a marzo 2026, conta per il 2025 507 incidenti gravi noti in Italia. I DDoS ne sono circa il 38 %, contro il 21 % del 2024 e circa il 6 % della media mondiale (dati come riportati da Cybersecurity360). Nello stesso anno gli attivisti, cioè gruppi che attaccano per motivi politici, sono circa il 39 % degli autori degli incidenti in Italia, ed è la categoria cresciuta di più.
- Gennaio e febbraio 2025: il gruppo filorusso NoName057(16) ha rivendicato ondate di attacchi contro siti di ministeri, banche, porti e trasporti italiani. Secondo la stampa i disservizi sono stati temporanei.
- Luglio 2025: l'operazione internazionale Eastwood, coordinata da Europol ed Eurojust con la partecipazione anche dell'Italia, ha messo fuori uso oltre 100 server dell'infrastruttura del gruppo.
- 8 ottobre 2026: secondo L'Espresso, un DDoS attribuito allo stesso gruppo ha colpito il sito della Farnesina; il ministero ha comunicato che i sistemi di protezione lo hanno contenuto senza disservizi.
I bersagli più noti sono enti pubblici e grandi aziende, ma gli stessi strumenti si noleggiano a pochi euro e colpiscono anche negozi online, per concorrenza o ricatto.
Come capire se è un attacco
- Il sito diventa lentissimo o restituisce errori 502, 503 o 504, ma il server non ha cambiato nulla.
- Nelle statistiche il traffico cresce di colpo, senza una campagna o un articolo che lo spieghi.
- Le richieste arrivano da molti indirizzi IP o paesi insoliti, spesso tutte sulla stessa pagina o con lo stesso user agent.
- L'hosting segnala un consumo eccessivo di risorse o sospende temporaneamente il sito.
Un picco improvviso può avere anche cause innocue, come un link da un sito molto visitato o un crawler troppo insistente. La differenza la fanno i log.
Che cosa fare durante un attacco
- Contatti subito l'hosting. Ha visibilità sul traffico di rete e può attivare filtri che lei dal pannello non ha.
- Se usa un servizio di protezione, attivi la verifica dei visitatori: in Cloudflare è la modalità "I'm Under Attack", in WEDOS Protection la challenge ATP/PoW. Prima di aprire il sito ogni visitatore passa un controllo automatico.
- Se non usa un servizio di protezione, può attivarlo anche durante l'attacco cambiando i nameserver del dominio. La modifica impiega da alcuni minuti ad alcune ore e serve a poco se l'attaccante colpisce direttamente l'indirizzo IP del server.
- Conservi i log con date, orari e indirizzi: servono all'hosting e per un'eventuale denuncia alla Polizia Postale.
- Se l'impresa è soggetto NIS2, valuti se l'incidente è significativo: in quel caso va pre-notificato al CSIRT Italia entro 24 ore. Anche chi non è soggetto NIS può notificare volontariamente un incidente. Dettagli nella pagina NIS2 in Italia.
Quanto costa proteggersi
Per un sito piccolo o medio la protezione di base spesso è già inclusa nell'hosting. Riportiamo quello che dichiarano le pagine ufficiali dei piani:
| Servizio | Protezione DDoS dichiarata | Costo | |
|---|---|---|---|
| WEDOS Protectionservizio davanti a qualsiasi hosting, sito in inglese | DDoS L3/L4 senza limiti in tutti i piani; L7 di base nel Free e completa da NoLimit | gratisNoLimit 99 € all'anno (8,25 € al mese) per dominio | Listino |
| Cloudflareservizio davanti a qualsiasi hosting | Protezione DDoS senza limiti di traffico in tutti i piani, compreso Free | gratisPro 20 USD al mese con pagamento annuale | Piani |
| Hostingerhosting WordPress e VPS | Mitigazione DDoS sull'hosting; sui VPS filtro DDoS Wanguard | incluso nel piano | Vedi prezzi |
| SiteGround | Protezione DDoS sempre attiva a livello di rete | incluso nel piano | Vedi prezzi |
| Ergonet | Fireshield, protezione da attacchi DoS e DDoS | incluso nel piano | Vedi prezzi |
| Keliweb | Protezione anti-DDoS del datacenter (Condor Guard) con mitigazione automatica | incluso nel piano | Vedi prezzi |
| Register.it | Security shield che mantiene online il sito durante un attacco DDoS | incluso nel piano | Vedi prezzi |
Dalle pagine ufficiali verificate il 30 ottobre 2026. Non abbiamo testato la resistenza dei singoli servizi agli attacchi. I link a WEDOS Protection e Hostinger sono di affiliazione, gli altri no. Le pagine di Shellrent e VHosting che abbiamo letto non parlano di protezione DDoS: lo chieda all'assistenza prima dell'acquisto. I prezzi dei piani sono nella classifica per costo in 3 anni.
Per attacchi grandi e mirati, come quelli contro banche o enti pubblici, servono servizi dedicati con monitoraggio continuo e contratti su misura, per esempio il piano Managed EU di WEDOS Protection a 1 000 € al mese con pagamento annuale. Sui VPS la protezione di rete dipende dal provider: i dettagli dei piani sono nella pagina VPS hosting.