Um dilúvio DDoS bruto paralisou a bolsa de valores da Nova Zelândia por quatro dias consecutivos

Na tarde de terça-feira, 25 de agosto de 2020, a NZX — a bolsa de valores da Nova Zelândia — foi atingida pelo que descreveu como um ataque volumétrico de negação de serviço distribuída (DDoS) proveniente do exterior, chegando por meio de seu provedor de serviços de rede. O dilúvio saturou a conectividade de rede da NZX e derrubou seus sites e sua Plataforma de Anúncios de Mercado, o canal do qual os participantes do mercado dependem para divulgações sensíveis a preços. A NZX interrompeu a negociação em seus mercados à vista por volta das 15h57 e só conseguiu restaurar a conectividade após mitigar o ataque.

Os ataques não pararam. Na quarta-feira, 26 de agosto, um novo DDoS forçou a NZX a interromper a negociação novamente às 11h14, com o mercado principal, o mercado de dívida e o mercado de acionistas da Fonterra reabrindo cerca de quatro horas depois. A quinta-feira trouxe uma terceira paralisação. Na sexta-feira, 28 de agosto, a NZX caiu uma quarta vez, por aquilo que chamou de problemas de conectividade semelhantes aos causados pelos ataques da semana, retomando às 13h. A Spark, provedora de rede, afirmou que o tráfego passou pelo gateway global e, portanto, claramente se originou no exterior, mas rastrear a origem era quase impossível.

No quarto dia, o governo já havia acionado o aparato de segurança nacional: o ministro das Finanças, Grant Robertson, disse que o Bureau de Segurança de Comunicações do Governo e a agência nacional de crimes cibernéticos haviam sido convocados. Especialistas em segurança perguntaram publicamente como uma bolsa nacional poderia ser interrompida por quatro dias consecutivos por um ataque de inundação rudimentar. Ninguém jamais foi identificado ou acusado, e a resposta da NZX àquela semana foi um caro programa de reforço — nova proteção contra DDoS, mudanças de arquitetura e investimento contínuo em resiliência.

Quatro dias consecutivos de negociação interrompida nos mercados à vista, de dívida, da Fonterra e de derivativos da NZX, com o GCSB convocado — os atacantes nunca foram identificados

A conectividade voltada ao público da NZX — sites e a plataforma de divulgação — estava no raio de impacto de uma inundação em nível de rede, e a negociação legalmente não pode prosseguir sem a plataforma de anúncios.

A mitigação dependia do provedor de serviços de rede, e nenhuma capacidade de transbordamento controlada de forma independente impediu quatro dias consecutivos de interrupções.

Um DDoS volumétrico é o ataque mais rudimentar e barato que existe; defesas dimensionadas para picos de tráfego comuns estavam muito longe de serem suficientes para uma inundação sustentada.

A bolsa continuou retomando e sendo derrubada, em vez de migrar para uma arquitetura protegida após o primeiro dia — o governo teve de intervir no quarto dia.

A verdadeira superfície de ataque de uma bolsa é o seu canal de rede. Se a mitigação depende da boa vontade de um único provedor e não há plano de transbordamento, um ataque de inundação rudimentar pode paralisar um mercado nacional por dias.

A semana terminou com a NZX negociando novamente — a sessão de sexta-feira foi retomada às 13h —, mas a bolsa passou os anos seguintes reconstruindo sua resiliência de rede sob escrutínio regulatório. A Autoridade de Mercados Financeiros (FMA) manteve sob revisão o investimento da NZX em capacidade e resiliência; em sua revisão anual de obrigações referente ao ano encerrado em junho de 2025, publicada em junho de 2026, a FMA concluiu que a NZX cumpriu efetivamente suas obrigações como operadora de mercado, citando o investimento contínuo em capacidade e resiliência de mercado, e não fez recomendações formais. A identidade dos atacantes nunca foi estabelecida.