De DDoS-golf tegen banken (2013): 5 lessen over betaalverkeer

Wat er gebeurde

Vanaf begin april 2013 kregen banken te maken met DDoS-aanvallen: het bewust overbelasten van websites en diensten met enorme hoeveelheden verkeer. Een bank was als eerste doelwit en werd in korte tijd meerdere keren geraakt, waardoor klanten hun internet- en mobiel bankieren niet konden gebruiken.

Kort daarna volgden andere banken en viel ook iDEAL uit, waardoor online betalen bij webwinkels tijdelijk niet lukte. Bij een DDoS-aanval wordt niet ingebroken en worden geen gegevens gestolen; het doel is ontwrichting. Wie achter de aanvallen zat, is nooit bekend geworden. Banken en het NCSC pakten de aanpak daarna gezamenlijk op.

Les 1: Wees snel en eerlijk, ook zonder de oorzaak te kennen

Klanten die niet kunnen pinnen of overboeken willen meteen weten wat er speelt. Bij een DDoS-aanval is in het begin vaak nog niet duidelijk hoe lang het duurt. Wacht daar niet mee: geef snel een eerlijk bericht dat er een verstoring is, dat u eraan werkt en wat klanten wel en niet kunnen.

Wees duidelijk dat er geen gegevens zijn buitgemaakt. Bij betaalproblemen denken mensen al snel aan fraude; die zorg moet u actief wegnemen.

Les 2: Communiceer op een kanaal dat niet meevalt

Als uw website en app het doelwit zijn, kunt u daar niet op vertrouwen voor uw communicatie.

• Gebruik een statuspagina die op onafhankelijke infrastructuur draait, los van de systemen die worden aangevallen.
• Zet sociale media en de pers in om klanten te bereiken die niet op uw kanalen komen.
• Zorg dat de klantenservice dezelfde, actuele boodschap heeft; niets is schadelijker dan tegenstrijdige informatie.
• Bied een alternatief waar mogelijk, bijvoorbeeld telefonisch of via de balie.

Les 3: Betaalverkeer is ketenverkeer

Toen iDEAL uitviel, merkten niet alleen bankklanten dat, maar ook webwinkels en hun klanten. Betaalverkeer is een keten: een probleem bij een bank of bij de gedeelde betaalinfrastructuur raakt veel partijen tegelijk.

Stem daarom af binnen de sector en met de betaalinfrastructuur. Eenduidige communicatie voorkomt dat elke schakel een eigen verhaal vertelt en de onrust groter maakt.

Les 4: Bescherm het vertrouwen, want dat is uw kapitaal

Voor een bank is vertrouwen het belangrijkste bezit. Een storing van een paar uur is vervelend; het gevoel dat de bank niet in controle is of niet eerlijk communiceert, is veel schadelijker.

Wees daarom transparant, toon dat u de situatie serieus neemt en kom afspraken na. Coulance bij aantoonbare schade en een heldere nazorg dragen meer bij aan het vertrouwen dan een perfect technisch herstel dat u niet uitlegt.

Les 5: Ken uw meldplichten (DORA, NIS2 en CER)

Voor de financiele sector geldt sinds 2025 DORA (Digital Operational Resilience Act): een ernstig ICT-incident meldt u bij De Nederlandsche Bank (DNB), met een eerste melding, tussentijdse updates en een eindrapport. DORA is voor financiele entiteiten de specifieke regeling voor ICT-incidenten.

Daarnaast zijn banken kritieke entiteit onder de Wet weerbaarheid kritieke entiteiten (CER) voor fysieke en all-hazards weerbaarheid; de Cyberbeveiligingswet (NIS2) vormt het bredere cyberkader. Leg tijdens de crisis vast welke meldingen wanneer en bij wie zijn gedaan.

Hoe CrisisRadar hierbij helpt

CrisisRadar geeft uw crisisteam een gedeeld beeld: directie, IT, betaalexperts, klantenservice en woordvoering werken met dezelfde informatie. U legt feiten vast, stelt in minuten een geruststellend klantbericht en een melding voor de toezichthouder op, en publiceert de status op een eigen statuspagina die los van uw kernsystemen draait. Meldplicht-timers bewaken de DORA-termijnen.

Wilt u zien hoe een storing in het betalingsverkeer er stap voor stap uitziet in het platform? Bekijk dan de bijbehorende praktijksituatie.

Stappenplan

Veelgestelde vragen

Wat is een DDoS-aanval en wordt daarbij data gestolen?

Een DDoS-aanval overbelast een website of dienst met enorm veel verkeer, zodat die onbereikbaar wordt. Er wordt niet ingebroken en er worden geen gegevens gestolen; het doel is ontwrichting van de beschikbaarheid.

Hoe communiceer je als je eigen website en app plat liggen?

Gebruik een statuspagina op onafhankelijke infrastructuur, en zet sociale media, de pers en de klantenservice in met dezelfde actuele boodschap. Zo bereikt u klanten ook als de aangevallen kanalen niet werken.

Welke meldplicht geldt voor banken bij een ICT-incident?

Voor de financiele sector geldt DORA: een ernstig ICT-incident meldt u bij De Nederlandsche Bank (DNB), met een eerste melding, tussentijdse updates en een eindrapport. Banken zijn daarnaast kritieke entiteit onder de CER, met NIS2 als bredere cyberkader.