Una avalancha DDoS masiva detuvo la bolsa de Nueva Zelanda cuatro días seguidos

En la tarde del martes 25 de agosto de 2020, NZX —la bolsa de valores de Nueva Zelanda— sufrió lo que describió como un ataque volumétrico de denegación de servicio distribuido que llegó desde el exterior a través de su proveedor de servicios de red. La avalancha saturó la conectividad de red de NZX y tumbó sus sitios web y su Plataforma de Anuncios de Mercado, el canal del que dependen los participantes del mercado para las divulgaciones sensibles al precio. NZX detuvo la negociación en sus mercados de renta variable hacia las 15:57 y solo pudo restablecer la conectividad tras mitigar el ataque.

Los ataques no cesaron. El miércoles 26 de agosto, un DDoS renovado obligó a NZX a detener de nuevo la negociación a las 11:14, y el mercado principal, el mercado de deuda y el mercado de accionistas de Fonterra reabrieron unas cuatro horas después. El jueves trajo una tercera paralización. El viernes 28 de agosto NZX cayó por cuarta vez por lo que calificó como problemas de conectividad similares a los causados por los ataques de la semana, reanudando a la 1 de la tarde. Spark, el proveedor de red, dijo que el tráfico llegó a través de la pasarela global y por tanto era claramente originado en el exterior, pero rastrear su origen era casi imposible.

Para el cuarto día, el gobierno había activado los mecanismos de seguridad nacional: el ministro de Finanzas, Grant Robertson, dijo que se había convocado a la Oficina de Seguridad de las Comunicaciones del Gobierno y a la agencia nacional de ciberdelincuencia. Expertos en seguridad preguntaron públicamente cómo una bolsa nacional podía verse interrumpida cuatro días seguidos por un ataque de inundación tan burdo. Nunca se identificó ni se acusó a nadie, y la respuesta de NZX a esa semana fue un costoso programa de refuerzo: nueva protección DDoS, cambios de arquitectura y una inversión continuada en resiliencia.

Cuatro días seguidos de negociación detenida en los mercados de renta variable, deuda, Fonterra y derivados de NZX, con la GCSB convocada; los atacantes nunca fueron identificados

La conectividad de cara al público de NZX —los sitios web y la plataforma de divulgación— quedó dentro del radio de impacto de una inundación a nivel de red, y la negociación no puede legalmente continuar sin la plataforma de anuncios.

La mitigación dependía del proveedor de servicios de red, y ninguna capacidad de desbordamiento controlada de forma independiente impidió cuatro días consecutivos de caídas.

Un DDoS volumétrico es el ataque más burdo y barato del manual; las defensas dimensionadas para picos de tráfico ordinarios estaban muy lejos de ser suficientes para una inundación sostenida.

La bolsa siguió reanudando y volviendo a caer en lugar de pasar a una arquitectura protegida tras el primer día; el gobierno tuvo que intervenir para el cuarto día.

La verdadera superficie de ataque de una bolsa es su tubería de red. Si la mitigación depende de la buena voluntad de un solo proveedor y no hay un plan de desbordamiento, un ataque de inundación burdo puede cerrar un mercado nacional durante días.

La semana terminó con NZX negociando de nuevo —la sesión del viernes se reanudó a la 1 de la tarde—, pero la bolsa pasó los años siguientes reconstruyendo su resiliencia de red bajo escrutinio regulatorio. La Autoridad de Mercados Financieros mantuvo bajo revisión la inversión de NZX en capacidad y resiliencia; en su revisión anual de obligaciones para el año terminado en junio de 2025, publicada en junio de 2026, la FMA concluyó que NZX cumplió efectivamente sus obligaciones como operador de mercado, citando la inversión continuada en capacidad y resiliencia del mercado, y no formuló recomendaciones formales. La identidad de los atacantes nunca se ha establecido.