Vlna DDoS útoků na banky (2013): 5 ponaučení o platebním styku

Co se stalo

Od začátku dubna 2013 čelily banky DDoS útokům: záměrnému přetěžování webů a služeb obrovským množstvím provozu. Jedna banka byla prvním cílem a byla v krátkém čase několikrát zasažena, takže zákazníci nemohli používat internetové ani mobilní bankovnictví. Krátce poté následovaly další banky a vypadl i systém iDEAL, kvůli čemuž dočasně nešlo platit online v internetových obchodech. Při DDoS útoku nedochází k průniku ani ke krádeži dat; cílem je narušení. Kdo za útoky stál, se nikdy nezjistilo. Banky a NCSC pak vzaly obranu do rukou společně.

Ponaučení 1: Buďte rychlí a upřímní, i když neznáte příčinu

Zákazníci, kteří nemohou platit kartou ani převádět peníze, chtějí okamžitě vědět, co se děje. Při DDoS útoku není zpočátku často jasné, jak dlouho to potrvá. Nečekejte na to: rychle vydejte upřímné sdělení, že došlo k narušení, že na tom pracujete a co zákazníci mohou a nemohou. Jasně řekněte, že nebyla odcizena žádná data. U problémů s platbami lidé rychle pomyslí na podvod; tuto obavu musíte aktivně rozptýlit.

Ponaučení 2: Komunikujte na kanálu, který nespadne s vámi

Pokud jsou cílem váš web a aplikace, nemůžete se na ně při komunikaci spoléhat.

• Použijte stavovou stránku, která běží na nezávislé infrastruktuře, odděleně od napadaných systémů.
• Zapojte sociální sítě a tisk, abyste zasáhli zákazníky, kteří na vaše kanály nechodí.
• Zajistěte, aby zákaznická linka měla totéž aktuální sdělení; nic není škodlivější než protichůdné informace.
• Kde je to možné, nabídněte alternativu, například telefonicky nebo na přepážce.

Ponaučení 3: Platební styk je řetězcový provoz

Když vypadl iDEAL, nezaznamenali to jen klienti bank, ale i internetové obchody a jejich zákazníci. Platební styk je řetězec: problém u banky nebo u sdílené platební infrastruktury zasáhne mnoho stran zároveň. Proto se koordinujte v rámci sektoru i s platební infrastrukturou. Jednotná komunikace brání tomu, aby každý článek vyprávěl svůj příběh a zvyšoval neklid.

Ponaučení 4: Chraňte důvěru, protože ta je vaším kapitálem

Pro banku je důvěra tím nejdůležitějším majetkem. Několikahodinový výpadek je nepříjemný; pocit, že banka nemá věci pod kontrolou nebo nekomunikuje upřímně, je mnohem škodlivější. Buďte proto transparentní, ukažte, že situaci berete vážně, a dostojte svým slibům. Vstřícnost při prokazatelné škodě a jasná následná péče přispějí k důvěře víc než dokonalá technická náprava, kterou nevysvětlíte.

Ponaučení 5: Znejte své oznamovací povinnosti (DORA, NIS2 a CER)

Pro finanční sektor platí od roku 2025 nařízení DORA (Digital Operational Resilience Act): závažný ICT incident oznamujete De Nederlandsche Bank (DNB), s prvotním oznámením, průběžnými aktualizacemi a závěrečnou zprávou. DORA je pro finanční subjekty zvláštní úpravou pro ICT incidenty. Kromě toho jsou banky kritický subjekt podle zákona o odolnosti kritických subjektů (CER) pro fyzickou a all-hazards odolnost; zákon o kybernetické bezpečnosti (NIS2) tvoří širší kybernetický rámec. Během krize zaznamenávejte, která oznámení byla kdy a komu podána.

Jak vám s tím CrisisRadar pomůže

CrisisRadar poskytne vašemu krizovému týmu sdílený obraz: vedení, IT, platební experti, zákaznická linka a mluvčí pracují s toutéž informací. Zaznamenáváte fakta, během několika minut sestavíte uklidňující sdělení pro zákazníky i oznámení pro dozorový orgán a zveřejňujete stav na vlastní stavové stránce, která běží nezávisle na vašich klíčových systémech. Časovače oznamovacích povinností hlídají lhůty DORA. Chcete vidět, jak výpadek platebního styku vypadá krok za krokem v platformě? Podívejte se na související případovou situaci.

Stappenplan

Veelgestelde vragen

Co je DDoS útok a kradou se při něm data?

DDoS útok přetíží web nebo službu obrovským množstvím provozu, takže se stane nedostupnou. Nedochází k průniku ani ke krádeži dat; cílem je narušit dostupnost.

Jak komunikovat, když vám vypadne vlastní web a aplikace?

Použijte stavovou stránku na nezávislé infrastruktuře a zapojte sociální sítě, tisk a zákaznickou linku s týmž aktuálním sdělením. Zasáhnete tak zákazníky i tehdy, když napadené kanály nefungují.

Jaká oznamovací povinnost platí pro banky při ICT incidentu?

Pro finanční sektor platí DORA: závažný ICT incident oznamujete De Nederlandsche Bank (DNB), s prvotním oznámením, průběžnými aktualizacemi a závěrečnou zprávou. Banky jsou kromě toho kritický subjekt podle CER, s NIS2 jako širším kybernetickým rámcem.