Bankalara yönelik DDoS dalgası (2013): ödeme trafiği üzerine 5 ders

Ne oldu

Nisan 2013 başından itibaren bankalar DDoS saldırılarıyla karşı karşıya kaldı: web siteleri ve hizmetlerin devasa miktarda trafikle bilinçli olarak aşırı yüklenmesi. Bir banka ilk hedef oldu ve kısa sürede birçok kez vuruldu; bu yüzden müşteriler internet ve mobil bankacılıklarını kullanamadı. Kısa süre sonra başka bankalar da etkilendi ve iDEAL de devre dışı kaldı; böylece internet mağazalarında çevrimiçi ödeme geçici olarak yapılamadı. Bir DDoS saldırısında sisteme sızılmaz ve veri çalınmaz; amaç düzeni bozmaktır. Saldırıların arkasında kimin olduğu hiçbir zaman öğrenilemedi. Bankalar ve NCSC bunun ardından yaklaşımı birlikte ele aldı.

Ders 1: Nedeni bilmeseniz bile hızlı ve dürüst olun

Para çekemeyen ya da havale yapamayan müşteriler ne olduğunu hemen bilmek ister. Bir DDoS saldırısında başlangıçta çoğu zaman ne kadar süreceği henüz belli değildir. Bunu beklemeyin: bir aksaklık olduğunu, üzerinde çalıştığınızı ve müşterilerin neyi yapabilip neyi yapamayacağını içeren dürüst bir mesajı hızlıca verin. Hiçbir verinin ele geçirilmediğini net biçimde belirtin. İnsanlar ödeme sorunlarında hemen dolandırıcılığı düşünür; bu kaygıyı etkin biçimde gidermelisiniz.

Ders 2: Aksamayan bir kanaldan iletişim kurun

Web siteniz ve uygulamanız hedefse, iletişiminiz için onlara güvenemezsiniz.

• Saldırıya uğrayan sistemlerden ayrı, bağımsız altyapıda çalışan bir durum sayfası kullanın.
• Kanallarınıza uğramayan müşterilere ulaşmak için sosyal medyayı ve basını devreye alın.
• Müşteri hizmetlerinin aynı, güncel mesaja sahip olmasını sağlayın; çelişkili bilgiden daha zararlı bir şey yoktur.
• Mümkün olduğunda telefonla ya da gişe üzerinden bir alternatif sunun.

Ders 3: Ödeme trafiği bir zincir trafiğidir

iDEAL devre dışı kaldığında bunu yalnızca banka müşterileri değil, internet mağazaları ve onların müşterileri de fark etti. Ödeme trafiği bir zincirdir: bir bankadaki ya da ortak ödeme altyapısındaki bir sorun pek çok tarafı aynı anda etkiler. Bu nedenle sektör içinde ve ödeme altyapısıyla koordinasyon sağlayın. Tutarlı bir iletişim, her halkanın ayrı bir hikâye anlatmasını ve huzursuzluğu büyütmesini önler.

Ders 4: Güveni koruyun, çünkü o sizin sermayenizdir

Bir banka için güven en önemli varlıktır. Birkaç saatlik bir arıza can sıkıcıdır; ama bankanın kontrolde olmadığı ya da dürüst iletişim kurmadığı duygusu çok daha zararlıdır. Bu yüzden şeffaf olun, durumu ciddiye aldığınızı gösterin ve sözlerinizi tutun. Kanıtlanabilir bir zarar durumunda gösterilen esneklik ve net bir sonraki bakım, açıklamadığınız kusursuz bir teknik onarımdan daha çok güvene katkı sağlar.

Ders 5: Bildirim yükümlülüklerinizi bilin (DORA, NIS2 ve CER)

Finans sektörü için 2025'ten bu yana DORA (Dijital Operasyonel Dayanıklılık Yasası) geçerlidir: ciddi bir BİT olayını Hollanda Merkez Bankası'na (DNB) bildirirsiniz; bir ilk bildirim, ara güncellemeler ve bir nihai raporla. DORA, finansal kuruluşlar için BİT olaylarına ilişkin özel düzenlemedir. Ayrıca bankalar, fiziksel ve tüm tehlikelere karşı dayanıklılık için Kritik Kuruluşların Dayanıklılığı Yasası (CER) kapsamında kritik kuruluştur; Siber Güvenlik Yasası (NIS2) daha geniş siber çerçeveyi oluşturur. Kriz sırasında hangi bildirimlerin ne zaman ve kime yapıldığını kayıt altına alın.

CrisisRadar bu konuda nasıl yardımcı olur

CrisisRadar kriz ekibinize paylaşılan bir tablo sunar: yönetim, BT, ödeme uzmanları, müşteri hizmetleri ve sözcülük aynı bilgiyle çalışır. Gerçekleri kayıt altına alır, dakikalar içinde güven verici bir müşteri mesajı ve denetleyici kuruma bir bildirim hazırlar ve durumu, çekirdek sistemlerinizden ayrı çalışan kendi durum sayfanızda yayımlarsınız. Bildirim yükümlülüğü sayaçları DORA sürelerini takip eder. Ödeme trafiğindeki bir aksamanın platformda adım adım nasıl göründüğünü görmek ister misiniz? O hâlde ilgili uygulama senaryosunu inceleyin.

Stappenplan

Veelgestelde vragen

DDoS saldırısı nedir ve bu sırada veri çalınır mı?

Bir DDoS saldırısı, bir web sitesini ya da hizmeti devasa miktarda trafikle aşırı yükler ve onu ulaşılamaz hâle getirir. Sisteme sızılmaz ve veri çalınmaz; amaç erişilebilirliği bozmaktır.

Kendi web siteniz ve uygulamanız çöktüğünde nasıl iletişim kurulur?

Bağımsız altyapıda çalışan bir durum sayfası kullanın ve sosyal medya, basın ile müşteri hizmetlerini aynı güncel mesajla devreye alın. Böylece saldırıya uğrayan kanallar çalışmasa da müşterilere ulaşırsınız.

Bir BİT olayında bankalar için hangi bildirim yükümlülüğü geçerlidir?

Finans sektörü için DORA geçerlidir: ciddi bir BİT olayını Hollanda Merkez Bankası'na (DNB) bildirirsiniz; bir ilk bildirim, ara güncellemeler ve bir nihai raporla. Bankalar ayrıca CER kapsamında kritik kuruluştur; NIS2 ise daha geniş siber çerçeveyi oluşturur.