Val napadov DDoS na banke (2013): 5 lekcij o plačilnem prometu

Kaj se je zgodilo

Od začetka aprila 2013 so se banke soočale z napadi DDoS: namernim preobremenjevanjem spletnih strani in storitev z ogromnimi količinami prometa. Neka banka je bila prva tarča in je bila v kratkem času večkrat prizadeta, tako da stranke niso mogle uporabljati spletnega in mobilnega bančništva. Kmalu zatem so sledile druge banke in odpovedal je tudi iDEAL, zaradi česar spletno plačevanje v spletnih trgovinah nekaj časa ni delovalo. Pri napadu DDoS ne pride do vdora in ni ukradenih podatkov; cilj je motenje. Kdo je stal za napadi, ni bilo nikdar razkrito. Banke in NCSC so pristop nato prevzeli skupaj.

Lekcija 1: Bodite hitri in iskreni, tudi če vzroka še ne poznate

Stranke, ki ne morejo plačati ali nakazati, hočejo takoj vedeti, kaj se dogaja. Ob napadu DDoS na začetku pogosto še ni jasno, kako dolgo bo trajalo. Ne odlašajte s tem: hitro dajte iskreno sporočilo, da gre za motnjo, da na tem delate in kaj stranke lahko in česa ne morejo. Bodite jasni, da ni bil zajet noben podatek. Ob težavah s plačili ljudje hitro pomislijo na goljufijo; to skrb morate dejavno odpraviti.

Lekcija 2: Komunicirajte prek kanala, ki ni prizadet

Če sta vaša spletna stran in aplikacija tarča, se pri komuniciranju ne morete zanašati nanju.

• Uporabite stran stanja, ki deluje na neodvisni infrastrukturi, ločeno od napadenih sistemov.
• Za doseg strank, ki ne pridejo na vaše kanale, vključite družbena omrežja in medije.
• Poskrbite, da ima služba za pomoč strankam enako, aktualno sporočilo; nič ni bolj škodljivo kot nasprotujoče si informacije.
• Kjer je mogoče, ponudite alternativo, na primer po telefonu ali na okencu.

Lekcija 3: Plačilni promet je promet v verigi

Ko je iDEAL odpovedal, tega niso opazile le stranke bank, temveč tudi spletne trgovine in njihove stranke. Plačilni promet je veriga: težava pri banki ali pri skupni plačilni infrastrukturi prizadene veliko strani hkrati. Zato se usklajujte znotraj panoge in s plačilno infrastrukturo. Enotno komuniciranje prepreči, da bi vsak člen pripovedoval svojo zgodbo in še povečeval nemir.

Lekcija 4: Varujte zaupanje, saj je to vaš kapital

Za banko je zaupanje najpomembnejše premoženje. Nekajurna motnja je neprijetna; občutek, da banka ni v nadzoru ali ne komunicira iskreno, je veliko bolj škodljiv. Zato bodite pregledni, pokažite, da situacijo jemljete resno, in izpolnjujte dogovore. Prizanesljivost ob dokazljivi škodi in jasna poznejša oskrba prispevajo k zaupanju bolj kot brezhibna tehnična obnovitev, ki je ne pojasnite.

Lekcija 5: Poznajte svoje obveznosti poročanja (DORA, NIS2 in CER)

Za finančni sektor od leta 2025 velja DORA (Digital Operational Resilience Act): resen incident IKT prijavite pri centralni banki De Nederlandsche Bank (DNB), s prvo prijavo, vmesnimi posodobitvami in končnim poročilom. DORA je za finančne subjekte posebna ureditev za incidente IKT. Poleg tega so banke kritični subjekt po zakonu o odpornosti kritičnih subjektov (CER) za fizično odpornost in odpornost na vse vrste nevarnosti; zakon o kibernetski varnosti (NIS2) je širši kibernetski okvir. Med krizo beležite, katere prijave so bile opravljene kdaj in pri kom.

Kako pri tem pomaga CrisisRadar

CrisisRadar vašemu kriznemu timu daje skupno sliko: vodstvo, IT, plačilni strokovnjaki, služba za pomoč strankam in stiki z javnostjo delajo z istimi informacijami. Dejstva zabeležite, v nekaj minutah pripravite pomirjujoče sporočilo za stranke in prijavo za nadzorni organ ter objavite stanje na lastni strani stanja, ki deluje neodvisno od vaših ključnih sistemov. Časovniki obveznosti poročanja spremljajo roke po DORA. Želite videti, kako motnja v plačilnem prometu korak za korakom izgleda na platformi? Oglejte si pripadajoči praktični scenarij.

Stappenplan

Veelgestelde vragen

Kaj je napad DDoS in ali se pri njem kradejo podatki?

Napad DDoS preobremeni spletno stran ali storitev z ogromno prometa, tako da postane nedosegljiva. Ne pride do vdora in ni ukradenih podatkov; cilj je motenje razpoložljivosti.

Kako komunicirati, ko vaša spletna stran in aplikacija ne delujeta?

Uporabite stran stanja na neodvisni infrastrukturi ter vključite družbena omrežja, medije in službo za pomoč strankam z istim aktualnim sporočilom. Tako dosežete stranke tudi, ko napadeni kanali ne delujejo.

Katera obveznost poročanja velja za banke ob incidentu IKT?

Za finančni sektor velja DORA: resen incident IKT prijavite pri centralni banki De Nederlandsche Bank (DNB), s prvo prijavo, vmesnimi posodobitvami in končnim poročilom. Banke so poleg tega kritični subjekt po CER, z NIS2 kot širšim kibernetskim okvirom.