I gruppi di hacktivisti ricorrono anche a servizi commerciali per condurre attacchi DDoS. Una ricerca di Kaspersky Digital Footprint Intelligence rivela nuove collaborazioni tra attori ideologici e operatori del cybercrime, all’interno di un mercato sempre più organizzato.
Le attività degli hacktivisti, gruppi che utilizzano strumenti informatici per sostenere cause politiche, sociali o ideologiche, mostrano legami sempre più evidenti con il mercato dei servizi criminali a pagamento. Secondo una ricerca pubblicata l’8 ottobre 2026 da Kaspersky Digital Footprint Intelligence (DFI), tra i 148 operatori DDoS analizzati, nove presentano collegamenti con il mondo dell’hacktivismo.
L’indagine descrive un ecosistema nel quale le campagne ideologiche e gli interessi economici possono sovrapporsi. Alcuni gruppi di hacktivisti ricorrono a fornitori esterni per aumentare la propria capacità offensiva, mentre gli operatori commerciali ottengono visibilità grazie agli attacchi rivendicati pubblicamente.
Hacktivisti e servizi DDoS: come funzionano le collaborazioni
Un attacco DDoS (Distributed Denial of Service) ha lo scopo di rendere indisponibile un sito web, un’applicazione o un servizio online attraverso un volume di traffico o di richieste superiore alla capacità dell’infrastruttura bersaglio.
Gli attacchi possono coinvolgere migliaia di dispositivi distribuiti, spesso appartenenti a botnet, ossia reti di sistemi compromessi e controllati da un soggetto esterno.
In passato, molti gruppi di hacktivisti organizzavano campagne DDoS attraverso strumenti propri oppure con il contributo volontario dei sostenitori. La ricerca di Kaspersky segnala invece una maggiore integrazione con il mercato dei servizi DDoS a pagamento.
In alcuni casi, le organizzazioni coinvolte annunciano pubblicamente gli obiettivi delle operazioni e diffondono i risultati attraverso canali affiliati. I fornitori possono utilizzare queste rivendicazioni come dimostrazione delle proprie capacità tecniche, con l’obiettivo di attirare nuovi clienti.
I ricercatori hanno individuato anche almeno quattro gruppi di hacktivisti attivi che promuovono strumenti DDoS sviluppati autonomamente. Questo elemento indica la coesistenza di due modelli: organizzazioni che gestiscono infrastrutture proprietarie e gruppi che si affidano a servizi esterni.
I collegamenti osservati non dimostrano necessariamente che tutti gli attacchi rivendicati siano stati eseguiti dai fornitori citati. Tuttavia, indicano una sovrapposizione tra attività di matrice ideologica e offerte commerciali.
Il mercato degli attacchi DDoS assomiglia sempre più a un e-commerce
Un secondo aspetto riguarda le modalità attraverso le quali vengono pubblicizzati e distribuiti i servizi di attacco.
Secondo Kaspersky, il mercato DDoS utilizza un sistema promozionale articolato, che comprende aggregatori specializzati, piattaforme di messaggistica e forum frequentati da criminali informatici.
Gli aggregatori funzionano come cataloghi online. Permettono di confrontare i servizi disponibili sulla base delle funzionalità dichiarate, delle recensioni e di altri indicatori di affidabilità. I forum utilizzano sistemi di reputazione che possono contribuire alla credibilità dei venditori e, in alcuni casi, alla verifica delle offerte.
Le piattaforme di messaggistica costituiscono un ulteriore canale commerciale, attraverso il quale i fornitori diffondono annunci e promozioni.
La ricerca segnala inoltre la comparsa di siti che propongono classifiche dei servizi e degli attacchi, talvolta accompagnate da dati telemetrici. Queste informazioni possono essere utilizzate dagli operatori per dimostrare la presunta efficacia delle proprie infrastrutture.
Il fenomeno rientra nell’evoluzione del modello DDoS-as-a-Service, che permette anche a soggetti privi di competenze tecniche avanzate di acquistare capacità offensive.
Una precedente analisi di Kaspersky, pubblicata il 29 settembre 2026, aveva individuato offerte di attacchi DDoS commissionati a terzi con prezzi compresi tra 30 e 2.000 dollari, oltre a formule di accesso a strumenti DDoS-as-a-Service a partire da un dollaro.
kaspersky.co.uk
Sedici nuovi operatori DDoS nel primo trimestre del 2026
I dati raccolti da Kaspersky mostrano un mercato caratterizzato da un ricambio frequente degli operatori.
Nel primo trimestre del 2026 sono stati identificati 16 nuovi soggetti attivi nell’offerta di servizi DDoS. Secondo le stime dei ricercatori, qualora il ritmo di crescita rimanesse costante, il numero di nuovi operatori nel 2026 potrebbe superare quello del 2025 di almeno il 25%.
La durata media dell’attività osservabile dei soggetti analizzati è pari a circa due anni e mezzo. Il dato è stato calcolato sulla base dell’intervallo compreso tra il primo e l’ultimo annuncio pubblico relativo ai servizi DDoS, quindi non rappresenta necessariamente l’effettiva durata operativa di ciascun gruppo.
Accanto agli operatori di breve durata esistono realtà più consolidate. Nel 2025, alcuni fornitori ancora attivi avevano raggiunto i dieci anni di presenza sul mercato.
Tra i fattori che favoriscono l’ingresso di nuovi soggetti figurano le tensioni geopolitiche, il ricorso crescente agli attacchi DDoS e la disponibilità di strumenti open source.
Questi ultimi includono software comunemente definiti stresser, che possono avere finalità legittime di verifica della resistenza delle infrastrutture, ma possono essere utilizzati anche per attacchi non autorizzati.
Le conseguenze per aziende e infrastrutture digitali
La convergenza tra hacktivismo e criminalità informatica introduce ulteriori difficoltà per le organizzazioni che devono proteggere la disponibilità dei propri servizi online.
Un gruppo motivato da ragioni ideologiche può accedere a strumenti e capacità di attacco che non sarebbe in grado di sviluppare autonomamente. Dall’altra parte, i fornitori commerciali possono ottenere nuovi clienti e maggiore notorietà attraverso campagne che ricevono attenzione pubblica.
Questo modello può favorire la diffusione degli attacchi contro siti istituzionali, aziende private, servizi finanziari e altre infrastrutture connesse a Internet.
Un elemento particolarmente rilevante riguarda la difficoltà di attribuzione degli attacchi. La rivendicazione di un’operazione non coincide necessariamente con l’identificazione del soggetto che ha gestito l’infrastruttura tecnica utilizzata.
La presenza di intermediari commerciali può rendere più complessa la ricostruzione delle responsabilità.
Come proteggere le infrastrutture dagli attacchi DDoS
Per le aziende, la protezione richiede interventi che coinvolgono sia l’infrastruttura sia le procedure di risposta agli incidenti.
L’adozione di servizi di mitigazione DDoS, capaci di filtrare il traffico malevolo prima che raggiunga i sistemi aziendali, rappresenta una delle principali contromisure. A seconda dell’architettura, queste protezioni possono essere integrate con reti CDN, sistemi di distribuzione del traffico, limitazione delle richieste e servizi di filtraggio a monte della connessione Internet.
Un Web Application Firewall (WAF) può contribuire alla protezione dagli attacchi rivolti alle applicazioni web, ma non sostituisce le soluzioni progettate per contrastare gli attacchi volumetrici.
Un altro elemento riguarda la threat intelligence, cioè la raccolta e l’analisi delle informazioni sulle minacce informatiche. Il monitoraggio dei forum criminali, dei canali pubblici e delle rivendicazioni degli hacktivisti può consentire alle organizzazioni di individuare eventuali minacce dirette contro i propri servizi.
Le aziende dovrebbero inoltre predisporre procedure di gestione degli incidenti, accordi con i fornitori di connettività e test periodici di resilienza svolti in ambienti autorizzati.
Kaspersky raccomanda anche l’utilizzo di servizi di monitoraggio dell’esposizione digitale, programmi di formazione per il personale e soluzioni di rilevamento e risposta gestite da specialisti.
La capacità di distinguere gli annunci propagandistici dalle minacce credibili resta un aspetto essenziale: non tutte le rivendicazioni pubblicate dai gruppi di hacktivisti corrispondono necessariamente a un attacco riuscito.
