Attacco DDoS: cos'è e come proteggersi

Cos'è un attacco DDoS, e come funziona

Un attacco DDoS (dall'inglese Distributed Denial of Service, «interruzione del servizio distribuita») punta a rendere un sito, un server o un servizio online irraggiungibile o troppo lento per essere usato, sommergendolo di richieste fino a saturarne la capacità di rispondere.

Dietro un attacco del genere c'è quasi sempre una botnet: una rete di dispositivi infettati da un virus — computer, router di casa, telecamere e altri apparecchi collegati a internet — che un attaccante controlla a distanza, spesso senza che i proprietari se ne accorgano. Con un solo comando, l'attaccante fa inviare a tutti questi dispositivi insieme traffico verso lo stesso bersaglio.

La differenza con un semplice DoS (Denial of Service, senza la «D» di «distribuito») sta proprio qui: un DoS parte da un solo computer, ed è relativamente facile da bloccare, perché basta impedire a quell'indirizzo di raggiungere il server. Un DDoS arriva invece da migliaia o milioni di indirizzi diversi, spesso sparsi in tutto il mondo: bloccarne uno non cambia nulla, e il traffico complessivo può superare anche la capacità di server ben dimensionati.

Chi viene colpito di solito, e perché

Chi lancia un attacco DDoS sceglie il bersaglio quasi sempre per uno di questi motivi: soldi, concorrenza, protesta o rivalità personale.

I segnali di un attacco in corso

Nessuno di questi segnali, da solo, prova con certezza un attacco DDoS: un sito può essere lento anche per tanti altri motivi. Ma insieme, e senza una spiegazione più semplice, sono un indizio da prendere sul serio.

1. Il sito o il servizio diventa lentissimo o del tutto irraggiungibile, senza una causa evidente: nessuna manutenzione programmata, nessuna promozione o evento che giustifichi un picco di traffico normale.
2. Se gestisci tu il server: l'uso di CPU, memoria e banda sale all'improvviso e resta alto, spesso insieme a un numero enorme di connessioni aperte da indirizzi IP mai visti prima (o, al contrario, da pochissimi indirizzi che mandano una quantità di richieste innaturale).
3. Il pannello di amministrazione o la posta sullo stesso server smettono di rispondere insieme al sito: è un segno che il problema non è del solo sito, ma della connessione del server nel suo complesso.
4. Il tuo hosting o provider ti contatta per segnalare traffico anomalo, o sospende temporaneamente il servizio a scopo precauzionale: spesso se ne accorge lui per primo, prima ancora dei tuoi visitatori.
5. Se giochi online: ti disconnetti improvvisamente da una partita mentre tutti gli altri restano collegati, magari ripetutamente nello stesso periodo. È il segno tipico di un attacco mirato al tuo indirizzo IP personale, non al server di gioco.

Come proteggersi, da privato o piccola azienda

La difesa più efficace contro un DDoS si prepara prima che arrivi, non durante: con la sommersione già in corso, le opzioni per un privato o una piccola azienda si riducono parecchio.

1. Metti il sito dietro un servizio anti-DDoS o una CDN (ad esempio Cloudflare, che ha un piano gratuito con una protezione di base): il traffico passa prima dai loro server, che filtrano quello sporco prima che arrivi al tuo, mentre il traffico vero continua a passare.
2. Chiedi al tuo hosting che protezione anti-DDoS include già, prima di cercare un servizio esterno: molti piani, anche quelli economici, ce l'hanno già inclusa.
3. Configura un limite al numero di richieste che il server accetta da uno stesso indirizzo in poco tempo (il cosiddetto rate limiting): rallenta chi manda troppe richieste insieme, senza bloccare i visitatori normali.
4. Tieni aggiornati router, telecamere e altri dispositivi collegati a internet in casa o in ufficio, e cambia le password predefinite: sono il bersaglio preferito per reclutare dispositivi dentro una botnet, anche quando il bersaglio finale dell'attacco non sei tu.
5. Se sei un giocatore preso di mira personalmente: non cliccare link mandati da avversari o sconosciuti (sono il modo più comune per farsi rubare l'indirizzo IP, i cosiddetti «IP logger»), evita di ospitare tu le partite in modalità peer-to-peer, valuta una VPN mentre giochi se è un problema ricorrente, o chiedi al tuo operatore un nuovo indirizzo IP.

Cosa fare se sei vittima: a chi segnalarlo

Se l'attacco è già in corso, la prima mossa conta più di qualunque altra: chi può aiutarti davvero in quei minuti è quasi sempre chi gestisce l'infrastruttura, non tu da solo.

1. Se gestisci un sito o un server, contatta subito il tuo hosting o provider: ha gli strumenti e la visione d'insieme del traffico che tu da solo non hai, ed è spesso lui a poter filtrare l'attacco alla fonte.
2. Conserva le prove: l'orario preciso in cui è iniziato, screenshot dei grafici di traffico o delle statistiche del pannello di controllo, ed eventuali messaggi di rivendicazione o richiesta di pagamento ricevuti.
3. Segnala l'attacco alla Polizia Postale, l'organo competente in Italia per i reati informatici, e valuta con il tuo hosting o con un consulente se formalizzare una denuncia.
4. Se l'attacco riguarda un ente pubblico o un'infrastruttura critica, va coinvolto anche il CSIRT Italia, la struttura dell'Agenzia per la Cybersicurezza Nazionale (ACN) che si occupa della risposta agli incidenti informatici su questo tipo di bersagli — per il sito o il server di un privato o di una piccola azienda, il riferimento resta la Polizia Postale.

È reato in Italia? Cosa dice la legge

In Italia non esiste un reato chiamato letteralmente «DDoS», ma il tipo di danno che provoca rientra in reati già previsti dal Codice Penale.

Il reato più vicino è il danneggiamento di sistemi informatici o telematici (art. 635-quater del Codice Penale), che punisce chi rende inutilizzabile, anche solo in parte, un sistema informatico o telematico altrui, o ne ostacola gravemente il funzionamento — esattamente l'effetto di un attacco DDoS riuscito.

Chi crea, vende o affitta gli strumenti per farlo — i servizi noti come «booter» o «stresser», pubblicizzati online a poco prezzo come finti test di sicurezza — rischia inoltre il reato previsto dall'art. 635-quater.1 del Codice Penale, sulla diffusione di apparecchiature o programmi diretti a danneggiare un sistema informatico: un articolo introdotto dalla legge 90/2024 (in vigore dal 17 luglio 2024), che ha preso il posto del vecchio art. 615-quinquies, abrogato dalla stessa legge. Chi li usa, anche solo per «provare» contro un amico o un avversario di gioco, commette comunque il reato di danneggiamento visto sopra.