Vlna DDoS útokov na banky (2013): 5 ponaučení o platobnom styku

Čo sa stalo

Od začiatku apríla 2013 čelili banky DDoS útokom: zámernému preťažovaniu webových stránok a služieb obrovským množstvom prevádzky. Prvým terčom sa stala jedna banka, ktorú v krátkom čase zasiahli viackrát, takže zákazníci nemohli používať internetové ani mobilné bankovníctvo. Krátko nato nasledovali ďalšie banky a vypadol aj systém iDEAL, pre ktorý sa dočasne nedalo platiť online v internetových obchodoch. Pri DDoS útoku nedochádza k prieniku ani ku krádeži údajov; cieľom je narušiť prevádzku. Kto stál za útokmi, sa nikdy nezistilo. Banky a NCSC sa potom pustili do riešenia spoločne.

Ponaučenie 1: Buďte rýchli a úprimní, aj bez poznania príčiny

Zákazníci, ktorí nemôžu platiť ani prevádzať, chcú hneď vedieť, čo sa deje. Pri DDoS útoku často zo začiatku ešte nie je jasné, ako dlho to potrvá. Nečakajte na to: rýchlo vydajte úprimný odkaz, že došlo k narušeniu, že na tom pracujete a čo zákazníci môžu a nemôžu robiť. Jasne uveďte, že nedošlo ku krádeži údajov. Pri platobných problémoch ľudia hneď pomyslia na podvod; túto obavu musíte aktívne rozptýliť.

Ponaučenie 2: Komunikujte kanálom, ktorý nevypadne spolu

Ak sú terčom vaša webová stránka a aplikácia, nemôžete sa na ne pri komunikácii spoliehať.

• Použite stavovú stránku, ktorá beží na nezávislej infraštruktúre, oddelene od napádaných systémov.
• Nasaďte sociálne siete a tlač, aby ste oslovili zákazníkov, ktorí na vaše kanály nechodia.
• Zabezpečte, aby zákaznícka linka mala rovnaký, aktuálny odkaz; nič nie je škodlivejšie ako protichodné informácie.
• Kde sa dá, ponúknite alternatívu, napríklad telefonicky alebo cez pobočku.

Ponaučenie 3: Platobný styk je záležitosťou celého reťazca

Keď vypadol iDEAL, nezbadali to len klienti bánk, ale aj internetové obchody a ich zákazníci. Platobný styk je reťazec: problém v banke alebo v zdieľanej platobnej infraštruktúre zasiahne naraz mnoho strán. Koordinujte sa preto v rámci sektora a s platobnou infraštruktúrou. Jednotná komunikácia zabráni tomu, aby každý článok rozprával svoj vlastný príbeh a znepokojenie sa ešte prehlbovalo.

Ponaučenie 4: Chráňte dôveru, lebo tá je vaším kapitálom

Pre banku je dôvera najdôležitejším majetkom. Výpadok na pár hodín je nepríjemný; pocit, že banka nemá situáciu pod kontrolou alebo nekomunikuje úprimne, je oveľa škodlivejší. Buďte preto transparentní, ukážte, že beriete situáciu vážne, a dodržte dohody. Ústretovosť pri preukázateľnej škode a jasná následná starostlivosť prispejú k dôvere viac než dokonalé technické obnovenie, ktoré nevysvetlíte.

Ponaučenie 5: Poznajte svoje ohlasovacie povinnosti (DORA, NIS2 a CER)

Pre finančný sektor platí od roku 2025 nariadenie DORA (Digital Operational Resilience Act): závažný IKT incident nahlásite holandskej centrálnej banke De Nederlandsche Bank (DNB), a to prvotným hlásením, priebežnými aktualizáciami a záverečnou správou. DORA je pre finančné subjekty osobitnou úpravou pre IKT incidenty. Okrem toho sú banky kritickým subjektom podľa zákona o odolnosti kritických subjektov (CER) pre fyzickú a all-hazards odolnosť; zákon o kybernetickej bezpečnosti (NIS2) tvorí širší kybernetický rámec. Počas krízy zaznamenávajte, ktoré hlásenia ste podali kedy a komu.

Ako pri tom pomáha CrisisRadar

CrisisRadar dáva vášmu krízovému tímu spoločný obraz: vedenie, IT, platobní experti, zákaznícka linka a komunikácia s médiami pracujú s rovnakými informáciami. Fakty zaznamenávate, v priebehu niekoľkých minút zostavíte upokojujúci odkaz pre zákazníkov aj hlásenie pre dozorný orgán a stav zverejníte na vlastnej stavovej stránke, ktorá beží nezávisle od vašich kľúčových systémov. Časovače ohlasovacích povinností strážia lehoty podľa DORA. Chcete vidieť, ako výpadok platobného styku vyzerá v platforme krok za krokom? Pozrite si súvisiacu praktickú situáciu.

Stappenplan

Veelgestelde vragen

Čo je DDoS útok a dochádza pri ňom ku krádeži údajov?

DDoS útok preťaží webovú stránku alebo službu obrovským množstvom prevádzky, takže sa stane nedostupnou. Nedochádza k prieniku ani ku krádeži údajov; cieľom je narušiť dostupnosť.

Ako komunikovať, keď máte vlastnú webovú stránku a aplikáciu mimo prevádzky?

Použite stavovú stránku na nezávislej infraštruktúre a nasaďte sociálne siete, tlač a zákaznícku linku s rovnakým, aktuálnym odkazom. Tak oslovíte zákazníkov aj vtedy, keď napadnuté kanály nefungujú.

Aká ohlasovacia povinnosť platí pre banky pri IKT incidente?

Pre finančný sektor platí DORA: závažný IKT incident nahlásite holandskej centrálnej banke De Nederlandsche Bank (DNB), a to prvotným hlásením, priebežnými aktualizáciami a záverečnou správou. Banky sú okrem toho kritickým subjektom podľa CER, so zákonom o kybernetickej bezpečnosti (NIS2) ako širším kybernetickým rámcom.