Το κύμα DDoS εναντίον τραπεζών (2013): 5 μαθήματα για τις πληρωμές

Τι συνέβη

Από τις αρχές Απριλίου 2013 οι τράπεζες αντιμετώπισαν επιθέσεις DDoS: τη σκόπιμη υπερφόρτωση ιστότοπων και υπηρεσιών με τεράστιες ποσότητες κίνησης. Μία τράπεζα ήταν ο πρώτος στόχος και επλήγη σε σύντομο διάστημα πολλές φορές, με αποτέλεσμα οι πελάτες να μην μπορούν να χρησιμοποιήσουν την ηλεκτρονική και τη mobile τραπεζική τους. Λίγο αργότερα ακολούθησαν άλλες τράπεζες και τέθηκε εκτός λειτουργίας και το iDEAL, με αποτέλεσμα οι διαδικτυακές πληρωμές σε ηλεκτρονικά καταστήματα να μην είναι προσωρινά δυνατές. Σε μια επίθεση DDoS δεν γίνεται εισβολή και δεν κλέβονται δεδομένα· ο στόχος είναι η αποδιοργάνωση. Ποιος βρισκόταν πίσω από τις επιθέσεις δεν έγινε ποτέ γνωστό. Οι τράπεζες και το NCSC ανέλαβαν στη συνέχεια από κοινού την αντιμετώπιση.

Μάθημα 1: Να είστε γρήγοροι και ειλικρινείς, ακόμη κι όταν δεν γνωρίζετε την αιτία

Οι πελάτες που δεν μπορούν να πληρώσουν με κάρτα ή να κάνουν μεταφορά θέλουν να μάθουν αμέσως τι συμβαίνει. Σε μια επίθεση DDoS συχνά στην αρχή δεν είναι ακόμη σαφές πόσο θα διαρκέσει. Μην περιμένετε γι' αυτό: δώστε γρήγορα ένα ειλικρινές μήνυμα ότι υπάρχει διαταραχή, ότι εργάζεστε γι' αυτήν και τι μπορούν και τι δεν μπορούν να κάνουν οι πελάτες. Να είστε σαφείς ότι δεν εκλάπησαν δεδομένα. Σε προβλήματα πληρωμών οι άνθρωποι σκέφτονται γρήγορα την απάτη· αυτή την ανησυχία πρέπει να την εξαλείψετε ενεργά.

Μάθημα 2: Επικοινωνήστε σε ένα κανάλι που δεν πλήττεται μαζί

Αν ο ιστότοπός σας και η εφαρμογή σας είναι ο στόχος, δεν μπορείτε να βασιστείτε σε αυτά για την επικοινωνία σας.

• Χρησιμοποιήστε μια σελίδα κατάστασης που λειτουργεί σε ανεξάρτητη υποδομή, ξεχωριστά από τα συστήματα που δέχονται επίθεση.
• Αξιοποιήστε τα μέσα κοινωνικής δικτύωσης και τον Τύπο για να προσεγγίσετε πελάτες που δεν επισκέπτονται τα κανάλια σας.
• Φροντίστε ώστε η εξυπηρέτηση πελατών να έχει το ίδιο, επίκαιρο μήνυμα· τίποτα δεν είναι πιο επιζήμιο από αντιφατικές πληροφορίες.
• Προσφέρετε μια εναλλακτική όπου είναι δυνατόν, για παράδειγμα τηλεφωνικά ή μέσω του γκισέ.

Μάθημα 3: Οι πληρωμές είναι κίνηση αλυσίδας

Όταν τέθηκε εκτός λειτουργίας το iDEAL, το αντιλήφθηκαν όχι μόνο οι πελάτες των τραπεζών, αλλά και τα ηλεκτρονικά καταστήματα και οι πελάτες τους. Οι πληρωμές είναι μια αλυσίδα: ένα πρόβλημα σε μια τράπεζα ή στην κοινή υποδομή πληρωμών πλήττει πολλούς φορείς ταυτόχρονα. Γι' αυτό συντονιστείτε εντός του κλάδου και με την υποδομή πληρωμών. Η ενιαία επικοινωνία αποτρέπει το να αφηγείται κάθε κρίκος τη δική του ιστορία και να μεγαλώνει την ανησυχία.

Μάθημα 4: Προστατέψτε την εμπιστοσύνη, γιατί αυτή είναι το κεφάλαιό σας

Για μια τράπεζα η εμπιστοσύνη είναι το σημαντικότερο αγαθό. Μια βλάβη λίγων ωρών είναι ενοχλητική· η αίσθηση ότι η τράπεζα δεν ελέγχει την κατάσταση ή δεν επικοινωνεί με ειλικρίνεια είναι πολύ πιο επιζήμια. Γι' αυτό να είστε διαφανείς, να δείχνετε ότι παίρνετε την κατάσταση στα σοβαρά και να τηρείτε τις δεσμεύσεις σας. Η επιείκεια σε περίπτωση αποδεδειγμένης ζημιάς και μια σαφής μέριμνα μετά το περιστατικό συμβάλλουν περισσότερο στην εμπιστοσύνη από μια άψογη τεχνική αποκατάσταση που δεν εξηγείτε.

Μάθημα 5: Γνωρίστε τις υποχρεώσεις αναφοράς σας (DORA, NIS2 και CER)

Για τον χρηματοοικονομικό τομέα ισχύει από το 2025 το DORA (Digital Operational Resilience Act): ένα σοβαρό περιστατικό ΤΠΕ το αναφέρετε στην Κεντρική Τράπεζα των Κάτω Χωρών (DNB), με μια πρώτη αναφορά, ενδιάμεσες ενημερώσεις και μια τελική έκθεση. Το DORA είναι για τις χρηματοοικονομικές οντότητες η ειδική ρύθμιση για τα περιστατικά ΤΠΕ. Επιπλέον, οι τράπεζες είναι κρίσιμες οντότητες σύμφωνα με τον νόμο για την ανθεκτικότητα των κρίσιμων οντοτήτων (CER) για τη φυσική και all-hazards ανθεκτικότητα· ο νόμος για την κυβερνοασφάλεια (NIS2) αποτελεί το ευρύτερο πλαίσιο κυβερνοασφάλειας. Κατά τη διάρκεια της κρίσης καταγράψτε ποιες αναφορές έγιναν πότε και προς ποιον.

Πώς βοηθά εδώ το CrisisRadar

Το CrisisRadar δίνει στην ομάδα διαχείρισης κρίσης σας μια κοινή εικόνα: η διοίκηση, το τμήμα ΤΠ, οι ειδικοί πληρωμών, η εξυπηρέτηση πελατών και η εκπροσώπηση εργάζονται με τις ίδιες πληροφορίες. Καταγράφετε γεγονότα, συντάσσετε μέσα σε λίγα λεπτά ένα καθησυχαστικό μήνυμα προς τους πελάτες και μια αναφορά για την εποπτική αρχή, και δημοσιεύετε την κατάσταση σε μια δική σας σελίδα κατάστασης που λειτουργεί ανεξάρτητα από τα βασικά σας συστήματα. Οι χρονομετρητές υποχρεώσεων αναφοράς παρακολουθούν τις προθεσμίες του DORA. Θέλετε να δείτε πώς μοιάζει βήμα προς βήμα μέσα στην πλατφόρμα μια διαταραχή στο σύστημα πληρωμών; Δείτε τότε τη σχετική μελέτη περίπτωσης.

Stappenplan

Veelgestelde vragen

Τι είναι μια επίθεση DDoS και κλέβονται δεδομένα σε αυτήν;

Μια επίθεση DDoS υπερφορτώνει έναν ιστότοπο ή μια υπηρεσία με τεράστια ποσότητα κίνησης, ώστε να καταστεί μη προσβάσιμος. Δεν γίνεται εισβολή και δεν κλέβονται δεδομένα· ο στόχος είναι η αποδιοργάνωση της διαθεσιμότητας.

Πώς επικοινωνείτε όταν ο δικός σας ιστότοπος και η εφαρμογή είναι εκτός λειτουργίας;

Χρησιμοποιήστε μια σελίδα κατάστασης σε ανεξάρτητη υποδομή και αξιοποιήστε τα μέσα κοινωνικής δικτύωσης, τον Τύπο και την εξυπηρέτηση πελατών με το ίδιο επίκαιρο μήνυμα. Έτσι προσεγγίζετε τους πελάτες ακόμη κι όταν τα κανάλια που δέχονται επίθεση δεν λειτουργούν.

Ποια υποχρέωση αναφοράς ισχύει για τις τράπεζες σε ένα περιστατικό ΤΠΕ;

Για τον χρηματοοικονομικό τομέα ισχύει το DORA: ένα σοβαρό περιστατικό ΤΠΕ το αναφέρετε στην Κεντρική Τράπεζα των Κάτω Χωρών (DNB), με μια πρώτη αναφορά, ενδιάμεσες ενημερώσεις και μια τελική έκθεση. Οι τράπεζες είναι επιπλέον κρίσιμες οντότητες σύμφωνα με το CER, με το NIS2 ως ευρύτερο πλαίσιο κυβερνοασφάλειας.