DDoS-vågen mot banker (2013): fem lärdomar om betalningar

Vad som hände

Från början av april 2013 drabbades banker av DDoS-attacker: att medvetet överbelasta webbplatser och tjänster med enorma mängder trafik. En bank var det första målet och träffades på kort tid flera gånger, så att kunderna inte kunde använda sin internet- och mobilbank. Strax därefter följde andra banker och även iDEAL föll bort, vilket gjorde att det tillfälligt inte gick att betala online i webbutiker. Vid en DDoS-attack sker inget intrång och ingen data stjäls; syftet är att lamslå. Vilka som låg bakom attackerna blev aldrig känt. Bankerna och NCSC tog därefter gemensamt tag i frågan.

Lärdom 1: Var snabb och ärlig, även utan att känna orsaken

Kunder som inte kan betala eller föra över pengar vill genast veta vad som pågår. Vid en DDoS-attack är det i början ofta ännu inte klart hur länge det varar. Vänta inte med det: ge snabbt ett ärligt meddelande om att det finns en störning, att ni arbetar med den och vad kunderna kan och inte kan göra. Var tydlig med att ingen data har kommit på avvägar. Vid betalproblem tänker människor snabbt på bedrägeri; den oron måste ni aktivt undanröja.

Lärdom 2: Kommunicera via en kanal som inte drabbas med

Om er webbplats och app är målet kan ni inte lita på dem för er kommunikation.

• Använd en statussida som körs på oberoende infrastruktur, fristående från de system som attackeras.
• Sätt in sociala medier och pressen för att nå kunder som inte besöker era egna kanaler.
• Se till att kundtjänsten har samma aktuella budskap; inget är skadligare än motstridig information.
• Erbjud ett alternativ där det går, till exempel per telefon eller vid kontoret.

Lärdom 3: Betalningar är kedjetrafik

När iDEAL föll bort märkte inte bara bankkunderna det, utan även webbutikerna och deras kunder. Betalningar är en kedja: ett problem hos en bank eller i den gemensamma betalinfrastrukturen berör många parter samtidigt. Stäm därför av inom sektorn och med betalinfrastrukturen. Entydig kommunikation förhindrar att varje länk berättar sin egen historia och gör oron större.

Lärdom 4: Skydda förtroendet, för det är ert kapital

För en bank är förtroende den viktigaste tillgången. Ett avbrott på några timmar är tråkigt; känslan att banken inte har kontroll eller inte kommunicerar ärligt är mycket skadligare. Var därför transparent, visa att ni tar situationen på allvar och håll era löften. Kulans vid påvisbar skada och en tydlig eftervård bidrar mer till förtroendet än en perfekt teknisk återställning som ni inte förklarar.

Lärdom 5: Känn till era anmälningsplikter (DORA, NIS2 och CER)

För finanssektorn gäller sedan 2025 DORA (Digital Operational Resilience Act): en allvarlig IKT-incident anmäler ni till De Nederlandsche Bank (DNB), med en första anmälan, mellanliggande uppdateringar och en slutrapport. DORA är för finansiella entiteter den specifika regleringen för IKT-incidenter. Därutöver är banker kritiska entiteter enligt lagen om kritiska entiteters motståndskraft (CER) för fysisk och all-hazards-motståndskraft; cybersäkerhetslagen (NIS2) utgör det bredare cyberramverket. Dokumentera under krisen vilka anmälningar som gjorts när och till vem.

Så hjälper CrisisRadar

CrisisRadar ger ert kristeam en gemensam lägesbild: ledning, IT, betalexperter, kundtjänst och kommunikation arbetar med samma information. Ni dokumenterar fakta, formulerar på några minuter ett lugnande kundbudskap och en anmälan till tillsynsmyndigheten, och publicerar statusen på en egen statussida som körs fristående från era kärnsystem. Anmälningsplikt-timers bevakar DORA-tidsfristerna. Vill ni se hur en störning i betalningarna ser ut steg för steg i plattformen? Titta då på det tillhörande praktikscenariot.

Stappenplan

Veelgestelde vragen

Vad är en DDoS-attack och stjäls data då?

En DDoS-attack överbelastar en webbplats eller tjänst med enormt mycket trafik, så att den blir oåtkomlig. Det sker inget intrång och ingen data stjäls; syftet är att lamslå tillgängligheten.

Hur kommunicerar man när den egna webbplatsen och appen ligger nere?

Använd en statussida på oberoende infrastruktur, och sätt in sociala medier, pressen och kundtjänsten med samma aktuella budskap. Så når ni kunderna även om de attackerade kanalerna inte fungerar.

Vilken anmälningsplikt gäller för banker vid en IKT-incident?

För finanssektorn gäller DORA: en allvarlig IKT-incident anmäler ni till De Nederlandsche Bank (DNB), med en första anmälan, mellanliggande uppdateringar och en slutrapport. Banker är därutöver kritiska entiteter enligt CER, med NIS2 som bredare cyberramverk.