Val DDoS napada na banke (2013.): 5 pouka o platnom prometu

Što se dogodilo

Od početka travnja 2013. banke su se suočile s DDoS napadima: namjernim preopterećenjem web-stranica i usluga golemim količinama prometa. Jedna banka bila je prva meta i u kratkom je vremenu više puta pogođena, zbog čega klijenti nisu mogli koristiti internetsko i mobilno bankarstvo. Ubrzo su uslijedile druge banke te je ispao i iDEAL, zbog čega online plaćanje u web-trgovinama privremeno nije bilo moguće. Pri DDoS napadu ne provaljuje se i ne kradu se podaci; cilj je ometanje. Tko je stajao iza napada nikad nije utvrđeno. Banke i NCSC nakon toga su zajednički prionuli rješavanju.

Pouka 1: Budite brzi i iskreni, čak i bez saznanja o uzroku

Klijenti koji ne mogu plaćati ni obavljati prijenose žele odmah znati što se događa. Kod DDoS napada na početku često još nije jasno koliko će trajati. Nemojte s tim čekati: brzo dajte iskrenu poruku da postoji poremećaj, da radite na rješenju te što klijenti mogu, a što ne mogu. Budite jasni u tome da nikakvi podaci nisu ukradeni. Kod problema s plaćanjem ljudi brzo pomisle na prijevaru; tu brigu morate aktivno otkloniti.

Pouka 2: Komunicirajte na kanalu koji nije pod udarom

Ako su vaša web-stranica i aplikacija meta, ne možete se na njih osloniti za svoju komunikaciju.

• Upotrijebite statusnu stranicu koja radi na neovisnoj infrastrukturi, odvojenoj od sustava koji su pod napadom.
• Uključite društvene mreže i medije da biste dosegnuli klijente koji ne dolaze na vaše kanale.
• Pobrinite se da korisnička služba ima istu, aktualnu poruku; ništa nije štetnije od proturječnih informacija.
• Ponudite alternativu gdje je moguće, primjerice telefonom ili na šalteru.

Pouka 3: Platni promet je lančani promet

Kad je iDEAL ispao, to nisu primijetili samo klijenti banaka, nego i web-trgovine i njihovi kupci. Platni promet je lanac: problem kod jedne banke ili u zajedničkoj platnoj infrastrukturi istodobno pogađa mnogo strana. Zato se usklađujte unutar sektora i s platnom infrastrukturom. Jednoznačna komunikacija sprječava da svaka karika priča svoju priču i time povećava nemir.

Pouka 4: Zaštitite povjerenje, jer ono je vaš kapital

Za banku je povjerenje najvažnija imovina. Kvar od nekoliko sati je neugodan; osjećaj da banka nije pod kontrolom ili da ne komunicira iskreno mnogo je štetniji. Zato budite transparentni, pokažite da situaciju shvaćate ozbiljno i držite se dogovora. Susretljivost kod dokazive štete i jasna naknadna skrb pridonose povjerenju više nego savršen tehnički oporavak koji ne objasnite.

Pouka 5: Poznajte svoje obveze prijave (DORA, NIS2 i CER)

Za financijski sektor od 2025. vrijedi DORA (Digital Operational Resilience Act): ozbiljan ICT incident prijavljujete središnjoj banci De Nederlandsche Bank (DNB), uz prvu prijavu, međuizvještaje i završno izvješće. DORA je za financijske subjekte posebna regulativa za ICT incidente. Uz to su banke kritični subjekti prema Zakonu o otpornosti kritičnih entiteta (CER) za fizičku i sveobuhvatnu (all-hazards) otpornost; Zakon o kibernetičkoj sigurnosti (NIS2) čini širi kiberokvir. Tijekom krize bilježite koje su prijave, kada i kome podnesene.

Kako tu pomaže CrisisRadar

CrisisRadar vašem kriznom timu daje zajedničku sliku: uprava, IT, stručnjaci za platni promet, korisnička služba i glasnogovornik rade s istim informacijama. Bilježite činjenice, u nekoliko minuta sastavljate umirujuću poruku za klijente i prijavu za nadzorno tijelo te objavljujete status na vlastitoj statusnoj stranici koja radi neovisno o vašim ključnim sustavima. Brojači obveza prijave prate DORA-rokove. Želite li vidjeti kako poremećaj u platnom prometu korak po korak izgleda u platformi? Pogledajte pripadajući scenarij.

Stappenplan

Veelgestelde vragen

Što je DDoS napad i kradu li se pritom podaci?

DDoS napad preopterećuje web-stranicu ili uslugu golemom količinom prometa tako da postane nedostupna. Ne provaljuje se i ne kradu se podaci; cilj je ometanje dostupnosti.

Kako komunicirati kad su vlastita web-stranica i aplikacija pale?

Upotrijebite statusnu stranicu na neovisnoj infrastrukturi te uključite društvene mreže, medije i korisničku službu s istom aktualnom porukom. Tako dosežete klijente i kad napadnuti kanali ne rade.

Koja obveza prijave vrijedi za banke pri ICT incidentu?

Za financijski sektor vrijedi DORA: ozbiljan ICT incident prijavljujete središnjoj banci De Nederlandsche Bank (DNB), uz prvu prijavu, međuizvještaje i završno izvješće. Banke su uz to kritični subjekti prema CER-u, a NIS2 čini širi kiberokvir.