A vaga de DDoS contra os bancos (2013): 5 lições sobre pagamentos

O que aconteceu

A partir do início de abril de 2013, os bancos passaram a confrontar-se com ataques DDoS: a sobrecarga intencional de sítios web e serviços com enormes volumes de tráfego. Um banco foi o primeiro alvo e, em pouco tempo, foi atingido várias vezes, o que impediu os clientes de utilizarem a sua banca pela Internet e a partir do telemóvel.

Pouco depois, seguiram-se outros bancos e o iDEAL também deixou de funcionar, o que impossibilitou temporariamente os pagamentos em linha nas lojas online. Num ataque DDoS não há intrusão nem roubo de dados; o objetivo é a disrupção. Nunca se chegou a saber quem estava por detrás dos ataques. Os bancos e o NCSC passaram, depois, a tratar da abordagem em conjunto.

Lição 1: Seja rápido e honesto, mesmo sem conhecer a causa

Os clientes que não conseguem pagar com o cartão ou fazer transferências querem saber de imediato o que se passa. Num ataque DDoS, no início muitas vezes ainda não é claro quanto tempo vai durar. Não espere por isso: dê rapidamente uma mensagem honesta a informar que existe uma perturbação, que está a trabalhar na sua resolução e o que os clientes podem e não podem fazer.

Seja claro quanto ao facto de não terem sido subtraídos dados. Perante problemas de pagamento, as pessoas pensam rapidamente em fraude; essa preocupação deve ser ativamente afastada.

Lição 2: Comunique através de um canal que não fique também fora de serviço

Se o seu sítio web e a sua aplicação forem o alvo, não pode confiar neles para a sua comunicação.

• Utilize uma página de estado que funcione em infraestrutura independente, separada dos sistemas que estão a ser atacados.
• Recorra às redes sociais e à imprensa para alcançar os clientes que não acedem aos seus canais.
• Garanta que o serviço de apoio ao cliente tem a mesma mensagem atualizada; nada é mais prejudicial do que informação contraditória.
• Ofereça uma alternativa sempre que possível, por exemplo por telefone ou ao balcão.

Lição 3: Os pagamentos funcionam em cadeia

Quando o iDEAL deixou de funcionar, não foram apenas os clientes dos bancos a notá-lo, mas também as lojas online e os seus clientes. Os pagamentos são uma cadeia: um problema num banco ou na infraestrutura de pagamentos partilhada afeta muitas partes em simultâneo.

Por isso, articule-se dentro do setor e com a infraestrutura de pagamentos. Uma comunicação inequívoca evita que cada elo conte a sua própria versão e aumente a inquietação.

Lição 4: Proteja a confiança, porque é esse o seu capital

Para um banco, a confiança é o bem mais importante. Uma avaria de algumas horas é incómoda; a sensação de que o banco não está no controlo ou de que não comunica com honestidade é muito mais prejudicial.

Por isso, seja transparente, demonstre que leva a situação a sério e cumpra os compromissos. A flexibilidade perante danos comprovados e um acompanhamento claro contribuem mais para a confiança do que uma reposição técnica perfeita que não é explicada.

Lição 5: Conheça os seus deveres de notificação (DORA, NIS2 e CER)

Para o setor financeiro, aplica-se desde 2025 o DORA (Digital Operational Resilience Act): um incidente grave de TIC deve ser notificado ao De Nederlandsche Bank (DNB), com uma notificação inicial, atualizações intermédias e um relatório final. Para as entidades financeiras, o DORA é o regime específico para os incidentes de TIC.

Além disso, os bancos são uma entidade crítica ao abrigo da Lei da resiliência das entidades críticas (CER) para a resiliência física e face a todos os riscos (all-hazards); a Lei da cibersegurança (NIS2) constitui o quadro cibernético mais amplo. Registe durante a crise que notificações foram feitas, quando e a quem.

Como o CrisisRadar ajuda neste contexto

O CrisisRadar dá à sua equipa de crise uma perceção partilhada: a direção, as TI, os especialistas em pagamentos, o serviço de apoio ao cliente e a comunicação com a imprensa trabalham com a mesma informação. Regista factos, elabora em minutos uma mensagem tranquilizadora para os clientes e uma notificação para a entidade supervisora, e publica o estado numa página de estado própria que funciona de forma independente dos seus sistemas centrais. Os temporizadores dos deveres de notificação controlam os prazos do DORA.

Quer ver como uma perturbação nos pagamentos se apresenta passo a passo na plataforma? Então consulte a situação prática correspondente.

Stappenplan

Veelgestelde vragen

O que é um ataque DDoS e são roubados dados nesse processo?

Um ataque DDoS sobrecarrega um sítio web ou um serviço com um enorme volume de tráfego, de modo a torná-lo inacessível. Não há intrusão nem roubo de dados; o objetivo é a disrupção da disponibilidade.

Como comunicar quando o próprio sítio web e a própria aplicação estão em baixo?

Utilize uma página de estado em infraestrutura independente e recorra às redes sociais, à imprensa e ao serviço de apoio ao cliente com a mesma mensagem atualizada. Assim, alcança os clientes mesmo quando os canais atacados não funcionam.

Que dever de notificação se aplica aos bancos num incidente de TIC?

Para o setor financeiro aplica-se o DORA: um incidente grave de TIC deve ser notificado ao De Nederlandsche Bank (DNB), com uma notificação inicial, atualizações intermédias e um relatório final. Os bancos são, além disso, uma entidade crítica ao abrigo da CER, com o NIS2 como quadro cibernético mais amplo.