Le recenti campagne attribuite a gruppi organizzati come NoName e altri, rappresentano uno degli esempi più evidenti dell’evoluzione delle minacce alla disponibilità dei servizi digitali. A differenza degli attori tradizionalmente orientati al furto di dati o al ransomware, il gruppo utilizza il Distributed Denial of Service (DDoS) come strumento di pressione strategica, colpendo sistematicamente organizzazioni appartenenti a Paesi considerati politicamente ostili agli interessi russi.

La particolarità del modello operativo risiede nell’utilizzo di DDoSia, una piattaforma distribuita che coordina migliaia di volontari attraverso canali Telegram, consentendo di generare campagne ad alta intensità contro target selezionati in funzione del contesto geopolitico del momento. Negli ultimi mesi l’Italia è stata ripetutamente coinvolta in queste operazioni, con attacchi rivolti a pubbliche amministrazioni, aeroporti, istituti finanziari, operatori di trasporto, media e servizi essenziali.

L’aspetto più significativo, tuttavia, non è la sofisticazione tecnica dell’attacco. È il fatto che il successo dell’operazione dipenda dalla capacità di portare il backend oltre il proprio punto di equilibrio operativo. In altre parole, il bersaglio non è la rete: è la capacità applicativa.

Ed è proprio qui che emerge un punto spesso sottovalutato. Dal punto di vista dell’infrastruttura, il backend non distingue tra un milione di richieste generate da una botnet distribuita e un milione di richieste provenienti da cittadini che partecipano a un click day, richiedono un incentivo o accedono contemporaneamente a un servizio critico. In entrambi i casi CPU, database, pool di connessioni e application server vengono sottoposti alla stessa pressione.

La lezione è chiara: il problema non è più soltanto bloccare il traffico indesiderato, ma garantire che il sistema continui a operare entro limiti sostenibili anche quando la domanda, legittima o malevola, supera improvvisamente la capacità elaborativa disponibile.