一場粗劣的DDoS洪水攻擊連續四天癱瘓紐西蘭證券交易所

2020年8月25日星期二下午，紐西蘭證券交易所NZX遭到其所稱的流量型分散式阻斷服務攻擊，攻擊經由其網路服務供應商自境外湧入。這波洪水流量灌爆NZX的網路連線，癱瘓其網站以及市場公告平台——市場參與者仰賴該平台發布價格敏感資訊。NZX於下午約3時57分停止現金市場交易，直到緩解攻擊後才得以恢復連線。

攻擊並未停止。8月26日星期三，新一波DDoS迫使NZX於上午11時14分再次停止交易，主板、債券市場與恒天然股東市場約四小時後才重新開放。星期四又發生第三次停擺。8月28日星期五，NZX第四度當機，該所稱原因為與本週攻擊所致類似的連線問題，並於下午1時恢復交易。網路供應商Spark表示，流量是經由全球閘道進入，因此明顯源自境外，但幾乎不可能追查來源。

到了第四天，政府已啟動國家安全機制：財政部長Grant Robertson表示，政府通訊安全局與國家網路犯罪機構均已介入。安全專家公開質疑，一個國家級交易所何以連續四天遭粗劣的洪水攻擊癱瘓。始終無人被指認或起訴，而NZX對這一週的回應是一項所費不貲的強化計畫——新的DDoS防護、架構調整，以及持續的韌性投資。

NZX的現金、債券、恒天然與衍生品市場連續四天停止交易，政府通訊安全局亦被請出動——攻擊者始終身分不明

NZX對外的連線——網站與揭露平台——正處於網路層洪水攻擊的波及範圍內，而依法交易不能在沒有公告平台的情況下進行。

緩解措施取決於網路服務供應商，且沒有獨立控制的備援容量來阻止連續四天的中斷。

流量型DDoS是攻擊手法中最粗劣也最廉價的一種；僅為一般流量高峰設計的防禦，遠遠不足以抵擋持續的洪水流量。

交易所在第一天之後仍反覆恢復又被打垮，而非轉向受保護的架構——政府到了第四天不得不介入。

交易所真正的攻擊面在於其網路管道。若緩解措施取決於單一供應商的意願，且沒有備援計畫，一場粗劣的洪水攻擊就能讓一個國家市場停擺數日。

這一週以NZX恢復交易作結——星期五的盤於下午1時恢復——但該所在其後數年於監管審視下重建網路韌性。金融市場管理局持續檢視NZX的能力與韌性投資；在其截至2025年6月止年度、於2026年6月發布的年度義務審查中，金融市場管理局認定NZX有效履行其市場營運者義務，並提及該所持續投資於市場能力與韌性，且未提出正式建議。攻擊者的身分始終未能查明。