Une vague DDoS massive a paralysé la Bourse de Nouvelle-Zélande quatre jours de suite

Dans l'après-midi du mardi 25 août 2020, le NZX — la Bourse de Nouvelle-Zélande — a été frappé par ce qu'il a décrit comme une attaque par déni de service distribué volumétrique arrivant de l'étranger via son fournisseur de services réseau. Le flux a saturé la connectivité réseau du NZX et fait tomber ses sites web ainsi que sa plateforme d'annonces de marché, le canal sur lequel les acteurs du marché s'appuient pour les informations susceptibles d'influencer les cours. Le NZX a suspendu les négociations sur ses marchés au comptant vers 15 h 57 et n'a pu rétablir la connectivité qu'après avoir atténué l'attaque.

Les attaques ne se sont pas arrêtées. Le mercredi 26 août, une nouvelle attaque DDoS a contraint le NZX à suspendre à nouveau les négociations à 11 h 14, le marché principal, le marché de la dette et le marché des actionnaires de Fonterra rouvrant environ quatre heures plus tard. Le jeudi a apporté une troisième suspension. Le vendredi 28 août, le NZX a connu une quatrième panne, due à ce qu'il a qualifié de problèmes de connectivité similaires à ceux causés par les attaques de la semaine, avec une reprise à 13 h. Spark, le fournisseur de réseau, a indiqué que le trafic était passé par la passerelle mondiale et provenait donc clairement de l'étranger, mais que remonter à son origine était quasiment impossible.

Au quatrième jour, le gouvernement avait activé les mécanismes de sécurité nationale : le ministre des Finances, Grant Robertson, a déclaré que le Bureau de la sécurité des communications du gouvernement et l'agence nationale de lutte contre la cybercriminalité avaient été mobilisés. Des experts en sécurité ont publiquement demandé comment une Bourse nationale pouvait être perturbée quatre jours d'affilée par une attaque par saturation aussi rudimentaire. Personne n'a jamais été identifié ni inculpé, et la réponse du NZX à cette semaine a été un coûteux programme de renforcement — nouvelle protection DDoS, modifications d'architecture et investissements continus dans la résilience.

Quatre jours consécutifs de suspension des négociations sur les marchés au comptant, de la dette, de Fonterra et des produits dérivés du NZX, avec la mobilisation du GCSB — les attaquants n'ont jamais été identifiés

La connectivité publique du NZX — les sites web et la plateforme de divulgation — se trouvait dans le rayon d'impact d'une saturation au niveau du réseau, et les négociations ne peuvent légalement se poursuivre sans la plateforme d'annonces.

L'atténuation dépendait du fournisseur de services réseau, et aucune capacité de débordement contrôlée de manière indépendante n'a permis d'éviter quatre jours consécutifs de pannes.

Une attaque DDoS volumétrique est l'attaque la plus rudimentaire et la moins coûteuse qui existe ; des défenses dimensionnées pour les pics de trafic ordinaires étaient très loin de suffire face à un flux soutenu.

La Bourse n'a cessé de reprendre puis d'être mise à terre au lieu de passer à une architecture protégée dès le premier jour — le gouvernement a dû intervenir au quatrième jour.

La véritable surface d'attaque d'une Bourse, c'est son tuyau réseau. Si l'atténuation dépend de la bonne volonté d'un seul fournisseur et qu'il n'existe aucun plan de débordement, une attaque par saturation rudimentaire peut paralyser un marché national pendant des jours.

La semaine s'est achevée avec le NZX de nouveau en négociation — la séance du vendredi a repris à 13 h — mais la Bourse a passé les années suivantes à reconstruire sa résilience réseau sous la surveillance des régulateurs. La Financial Markets Authority a maintenu sous examen les investissements du NZX dans ses capacités et sa résilience ; dans son examen annuel des obligations pour l'exercice clos en juin 2025, publié en juin 2026, la FMA a conclu que le NZX s'était acquitté de manière effective de ses obligations d'opérateur de marché, citant des investissements continus dans les capacités et la résilience du marché, et n'a formulé aucune recommandation formelle. L'identité des attaquants n'a jamais été établie.