Datum 7 maart 2018 Betreft Beantwoording Kamervragen van het lid Nijboer (PvdA) en van het lid Alkaya (SP) over DDoS-aanvallen op Nederlandse banken

Transcriptie

1 > Retouradres Postbus EE Den Haag Voorzitter van de Tweede Kamer der Staten-Generaal Postbus EA Den Haag Korte Voorhout CW Den Haag Postbus EE Den Haag Uw brief (kenmerk) 2018Z01643 en 2018Z01773 Datum 7 maart 2018 Betreft Beantwoording Kamervragen van het lid Nijboer (PvdA) en van het lid Alkaya (SP) over DDoS-aanvallen op Nederlandse banken Geachte voorzitter, Hierbij ontvangt u de antwoorden op de vragen die het lid Nijboer (PvdA) op 1 februari jl. aan ons heeft gesteld over de aanhoudende DDoS-aanvallen op Nederlandse banken en de Belastingdienst (2018Z01643). Ook ontvangt u de antwoorden op de vragen die het lid Alkaya (SP) op 2 februari jl. aan de minister van Financiën heeft gesteld over de DDoS-aanvallen op banken (2018Z01773). Hoogachtend, de minister van Financiën, W.B. Hoekstra de staatssecretaris van Financiën, Menno Snel Pagina 1 van 10

2 2018Z01643 Vragen van het lid Nijboer (PvdA) aan de minister en staatssecretaris van Financiën over de aanhoudende DDoS-aanvallen op Nederlandse banken en de Belastingdienst (ingezonden 1 februari 2018) Vraag 1 Bent u bekend met de berichtgeving over de DDoS-aanvallen op ABN AMRO, ING, Rabobank en de Belastingdienst? 1) Vraag 2 Kunt u uiteenzetten wat er is gebeurd? Houden deze aanvallen verband met elkaar? Vraag 3 Zijn gegevens van klanten en/of belastingplichtigen op straat gekomen? Is er bij deze aanvallen data gelekt? Kunnen klanten en belastingplichtigen er zeker van zijn dat hun gegevens en geld veilig zijn? Antwoord op vragen 1, 2 en 3 De berichten over de recente DDoS-aanvallen zijn bekend en hier heb ik ook eerder met uw Kamer tijdens het Algemeen Overleg Bankensector op 7 februari jl. over gesproken. Eind januari had een aantal Nederlandse banken gedurende enkele dagen last van tijdelijke verstoringen in of onbeschikbaarheid van hun dienstverlening (internetbankieren, mobiele bankapps en ideal-betalingen) door omvangrijke en geavanceerde DDoS-aanvallen (distributed denial-of-service). De websites van een aantal Nederlandse banken zijn in die dagen regelmatig vanuit verschillende locaties bestookt met grote hoeveelheden data. Klanten van ABN AMRO, ING, Rabobank, Volksbank, Triodos en Bunq hebben in verschillende mate hinder ondervonden van de DDoS-aanvallen. Door de aanvallen raakten de webservers van deze banken tijdelijk overbelast waardoor hun websites tijdelijk trager werden, of moeilijk of niet bereikbaar waren. Elke digitale aanval die tot overlast leidt is vervelend voor de consument. De DDoS-aanvallen op de Belastingdienst waren ook gericht op het onderbreken van de dienstverlening van de Belastingdienst. Tussen maandag 29 januari 2018 en woensdag 1 februari 2018 signaleerde het Security Operations Center (SOC) van de Belastingdienst meerdere aanvallen op de infrastructuur. Tijdens een aantal aanvalsgolven is er een periode geweest van ongeveer tien minuten waarin burgers en bedrijven de websites van de Belastingdienst niet konden benaderen. Dit heeft tot gevolg gehad dat burgers en bedrijven op dat moment tijdelijk geen aangifte konden doen of toeslagen aan konden vragen. Dat is voor burgers vervelend. DDoS-aanvallen zijn geen fraudeaanvallen en leiden niet direct tot financiële schade. Er wordt niet in de systemen en netwerken van banken en de Belastingdienst binnengedrongen. Er is geen gevaar voor de persoonsgegevens van klanten en/of belastingplichtigen of voor de veiligheid van hun gegevens en geld, en er is geen sprake geweest van een datalek. Phishing (een vorm van oplichting via ) is bij een aantal banken meer waargenomen direct na de DDoS-aanvallen. De verwarring die de aanvallen zelf Pagina 2 van 10

3 en de nieuwsberichten hierover veroorzaakte bij klanten, is mogelijk een voedingsbodem voor meer phishing geweest. DNB heeft in dit verband op 31 januari jl. een persbericht uitgebracht waarin zij waarschuwt voor phishing s. 1 Ook de banken zelf waarschuwen hun klanten voor phishing-berichten, via hun eigen websites en de gezamenlijke website Hier lichten zij klanten voor over wat zij tegen phishing kunnen doen en hoe zij valse berichten kunnen herkennen. Vraag 4 Op welke manier wordt onderzocht wat er gebeurd is, en is het mogelijk te achterhalen wie de daders zijn? Zo ja, worden deze daders vervolgd? Welke straffen kunnen tegen hen worden geëist? Antwoord op vraag 4 Nadat de politie in september 2017 informatie over de DDoS-aanvallen op Bunq bank had ontvangen, werd onder leiding van het Landelijk Parket door het Team High Tech Crime (THTC) van de Landelijke Eenheid een onderzoek gestart. Na de recente aanvallen heeft ook de Belastingdienst de bij haar bekende gegevens overgedragen aan THTC, en heeft aangifte gedaan. Zoals blijkt uit mediaberichten wees het opsporingsonderzoek daags na de recente DDoS-aanvallen in de richting van een 18-jarige man uit Oosterhout. Deze man werd op 1 februari jl. aangehouden. Het uitvoeren van een DDoS-aanval is strafbaar en wordt gestraft met een gevangenisstraf van maximaal zes jaar indien gemeen gevaar voor goederen of verlening van diensten te duchten is. Indien er levensgevaar voor een ander te duchten is of het feit de dood ten gevolge heeft, is de maximum gevangenisstraf negen respectievelijk vijftien jaar. Vraag 5 In hoeverre hebben banken afdoende maatregelen getroffen om DDoS-aanvallen te voorkomen, aangezien zij in het verleden daar vaker slachtoffer van zijn geweest? Hoe is het mogelijk dat zij nu toch weer slachtoffer zijn van dit soort aanvallen? Vraag 6 Welke stappen ondernemen de banken en de Belastingdienst om toekomstige aanvallen te voorkomen en/of af te slaan? Hoe wordt erop toegezien dat deze maatregelen afdoende zijn? Antwoord op vragen 5 en 6 Banken zijn zelf verantwoordelijk voor de beveiliging van hun systemen en moeten storingen in de beschikbaarheid bij De Nederlandsche Bank (DNB) melden. DNB zet zich in voor een betrouwbaar en veilig betalingsverkeer en is aanspreekpunt van de financiële sector voor de cyberweerbaarheid van de financiële kerninfrastructuur. 2 Zo zijn DNB en de banken in 2017 het samenwerkingsverband Threat Intelligence Based Ethical Red Teaming (TIBER) gestart. Met dit programma wordt beoogd de cyberweerbaarheid van financiële kerninstellingen te verhogen, onder meer door aanvallen gecontroleerd na te De financiële kerninfrastructuur (FKI) bestaat uit de financiële instellingen en marktinfrastructuren die van essentieel belang zijn voor het Nederlandse betalings- en effectenverkeer. De FKI-instellingen zijn verantwoordelijk voor de belangrijkste transactiestromen en betaal- en effectenafwikkelsystemen en daarmee voor de vitale processen van de financiële sector. Pagina 3 van 10

4 bootsen op basis van actuele dreigingsinformatie. 3 Daarnaast toetst DNB als toezichthouder of financiële instellingen hun beveiligingseisen op orde hebben. Verder werken banken in het bestrijden van cybercriminaliteit, waaronder DDoSaanvallen, onderling nauw samen, alsook met gespecialiseerde cybersecuritybedrijven en met verschillende autoriteiten. Naast DNB gaat het onder meer om de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) die primair verantwoordelijk is voor het voorkomen en beperken van maatschappelijke ontwrichting door cybercriminaliteit, en het daaronder vallende Nationaal Cyber Security Centrum (NCSC) dat het centrale informatieknooppunt en expertisecentrum voor cyberveiligheid in Nederland is. Tijdens en na de DDoS-aanvallen is op ambtelijk niveau direct contact geweest met de NCTV. Ook heeft het ministerie van Financiën in het kader van het tripartiete crisismanagement geschakeld met DNB, de AFM en de Nederlandse grootbanken, en met die partijen de stand van zaken rond de operationele verstoringen besproken. 4 Ik vind het van belang om zorgvuldig en waakzaam te blijven om ongemak door verstoring en digitale vormen van criminaliteit zoveel mogelijk te voorkomen en bestrijden. DDoS-aanvallen komen wereldwijd vaak voor en de modus operandi van aanvallers wijzigt voortdurend. Daardoor hebben instellingen, waaronder banken, dagelijks te maken met kleine en omvangrijke DDoS-aanvallen. De meeste aanvallen worden door de afweersystemen van banken succesvol afgeslagen voordat ze leiden tot overlast door tijdelijke uitval of onbeschikbaarheid van hun dienstverlening. Evenwel kunnen banken opnieuw worden getroffen door (omvangrijke) geslaagde DDoS-aanvallen, zoals eind januari het geval was. Banken nemen dan maatregelen om de impact te minimaliseren en de aanvallen zo snel mogelijk af te slaan. Het gaat om maatregelen rond het versterken van ITafweersystemen, en het vergroten van de dataverwerkingscapaciteit in combinatie met het plaatsen van filters, waardoor de getroffen webservers niet langer overbelast raken. Daarnaast wisselden de banken onderling en met het Nationaal Cyber Security Centrum (NCSC), onder meer via de in 2013 aangestelde bankenliaison, 5 continu informatie uit tijdens de aanvallen. Mede hierdoor werd de toegepaste DDoS-aanvalsmethode snel onderling gedeeld, wat heeft bijgedragen aan het wegnemen van de verstoringen. De Belastingdienst heeft middels het SOC veel kennis en middelen om aanvallen succesvol af te wenden. Het volledig voorkomen van dergelijke aanvallen is niet mogelijk. Met haar Internet Service Providers (ISP s) neemt de Belastingdienst maatregelen die de negatieve gevolgen van aanvallen moeten verminderen. Het SOC zorgt ervoor dat het kennisniveau van haar medewerkers en de benodigde apparatuur ruimschoots toereikend en op niveau zijn, en dat deze gelijke pas houden met ontwikkelingen in het domein van cyberveiligheid. Voordat nieuwe diensten of apparatuur in gebruik worden genomen, ondergaan deze een zogeheten Aanval en Penetratietest en een kwetsbaarhedenonderzoek. Daarnaast vindt er tweemaal per jaar een DDoS-oefening plaats met medewerking van een groot aantal gekwalificeerde partners om de maatregelen te testen. Uit diverse Zie MoU sector crisismanagement: 5 Banken en het NCSC hebben in 2013 besloten hun samenwerking verder te bestendigen. Onderdeel hiervan was het aanstellen van een bankenliaison. Zie Pagina 4 van 10

5 kennisnetwerken haalt het SOC informatie om haar kennisniveau, en daarmee de weerbaarheid van de ICT-systemen van de Belastingdienst, te verhogen. Vraag 7 Het gebruikmaken van bankrekeningen is een nutsfunctie; is er voldoende voor gezorgd dat deze functie goed functioneert? Houdt De Nederlandsche Bank (DNB) daar toezicht op? Vraag 8 Heeft DNB de afgelopen jaren maatregelen afgedwongen om ervoor te zorgen dat de nutsfunctie van het betalingsverkeer door banken goed wordt vervuld? Zo ja welke? Zo nee, waarom niet? Antwoord op vragen 7 en 8 Het is van belang dat de toegang tot geld op orde is en blijft. De toegang tot geld, inclusief de infrastructuur van het betalingsverkeer en het gebruik kunnen maken van een bankrekening, is nodig voor het functioneren van de Nederlandse economie en daarmee van belang voor iedereen in Nederland. DNB heeft tot taak om de goede werking van het betalingsverkeer te bevorderen. Zij heeft normen gesteld voor de veiligheid en beschikbaarheid van het betalingsverkeer in Nederland. Op basis van deze regeling houdt DNB toezicht op het retailbetalingsverkeer. Op verzoek van DNB hebben de relevante instellingen 2016 een plan van aanpak opgesteld waarin zij lieten zien hoe zij kunnen voldoen aan de veiligheids-en beschikbaarheidseisen. De Betaalvereniging Nederland publiceert op haar website actuele beschikbaarheidscijfers van het internet- en mobielbankieren voor de meeste banken. Uit deze cijfers blijkt dat de beschikbaarheid hoog is: over 2017 >99,75% voor internetbankieren en >99,73% voor mobiel bankieren. 6 Vraag 9 Wat gaat u doen om ervoor te zorgen dat mensen gewoon bij hun geld kunnen, hun bankzaken kunnen doen, belastingaangifte kunnen doen en dat hun gegevens veilig zijn bij banken en de Belastingdienst? Vraag 10 Deelt u de mening dat er na dit weekend verscherpte waakzaamheid en alertheid nodig is bij banken, DNB en de Belastingdienst? Zo nee, waarom niet? Antwoord op vragen 9 en 10 De ICT-systemen van de Belastingdienst worden beschermd door diverse maatregelen, en er wordt op gelet dat deze optimaal blijven functioneren. De waakzaamheid bij de Belastingdienst voor de DDoS-aanvallen en andere risico s voor de cyberveiligheid was, is en blijft op het hoogste niveau. Het SOC monitort voortdurend en behoudt haar verscherpte waakzaamheid en alertheid. Het is voor rekeninghouders vervelend als zij tijdelijk niet bij hun bankgegevens of geld kunnen. De actuele beschikbaarheidscijfers van het internet- en mobielbankieren laten gelukkig zien dat de beschikbaarheid van het betalingsverkeer hoog is. Dit, tezamen met de maatregelen die banken in 6 Pagina 5 van 10

6 samenwerking met elkaar, cybersecuritybedrijven en overheidsinstanties nemen, geeft mij het vertrouwen dat de toegang tot het betalingsverkeer voldoende op orde is. Tegelijk laten de recente DDoS-aanvallen zien dat dergelijke aanvallen blijven voorkomen en aan verandering onderhevig zijn. Dit maakt het van belang dat banken, DNB en andere betrokken waakzaam en alert zijn en zich voortdurend blijven inspannen voor een weerbaar betalings-verkeer zodat cyberaanvallen zoveel mogelijk kunnen voorkomen dan wel tijdig kunnen worden gedetecteerd, zodat de impact ervan relatief laag blijft. 1) Pagina 6 van 10

7 2018Z01773 Vragen van het lid Alkaya (SP) aan de minister van Financiën over DDoSaanvallen op banken (ingezonden 2 februari 2018) Vraag 1 Is er economische schade opgetreden als gevolg van het onbereikbaar zijn van internetbankieren door de DDoS-aanvallen op banken? Zo ja, hoe groot is de totale schade? 1) Antwoord op vraag 1 Als gevolg van de DDoS-aanvallen (distributed denial-of-service) had een aantal Nederlandse banken gedurende enkele dagen last van tijdelijke verstoringen in of beschikbaarheid van hun dienstverlening (internetbankieren, mobiele bankapps en ideal-betalingen). Door de aanvallen raakten de webservers van enkele banken tijdelijk overbelast waardoor hun websites trager werden, of moeilijk of niet bereikbaar waren, wat met name tot ongemak voor klanten heeft geleid. In hoeverre er economische schade is opgetreden als gevolg van onbeschikbare internetdiensten, laat zich lastig bepalen. Het gegeven dat klanten die op het moment van de DDoS-aanvallen een betaling via internet- of mobielbankieren mogelijk niet konden uitvoeren, is daarbij op zichzelf niet voldoende. Zij konden hun betaling namelijk later alsnog doen. In geval van een verstoring in ideal konden zij voor hun betaling uitwijken naar een andere betaalmethode, waaronder betalen met creditcard of Paypal. Deze mogelijkheden om op een andere manier of op een ander moment alsnog te kunnen betalen, geven mij het vertrouwen dat de economische schade beperkt is. Vraag 2 Klopt het dat gemiddeld genomen zo n tien à elf miljoen betalingen per dag worden verricht? Hebben de DDoS-aanvallen invloed gehad op het aantal betalingen? Zo ja, in hoeverre is het aantal betalingen beïnvloed door de DDoSaanvallen? Antwoord op vraag 2 Gemiddeld genomen worden er dagelijks zo n 9,5 miljoen betalingen via internetbankieren en mobiele bankapps verricht, waaronder ongeveer 1 miljoen idealbetalingen. 7 De recente DDoS-aanvallen en de daaruit voortvloeiende tijdelijke beschikbaarheidsproblemen van de getroffen banken hebben volgens de Betaalvereniging geen zichtbare invloed gehad op het aantal via deze kanalen verrichte betalingen. Vraag 3 Welke wettelijke vereisten worden gesteld aan banken om het betalingsverkeer te beveiligen tegen DDoS-aanvallen? Bent u van mening dat banken deze wettelijke vereisten in voldoende mate naleven? Kunt u uw antwoord toelichten? Antwoord op vraag 3 DNB heeft normen gesteld voor de veiligheid en beschikbaarheid van het betalingsverkeer in Nederland, die in de Regeling Oversight goede werking betalingsverkeer zijn vastgelegd. Daarin zijn onder meer beschikbaarheidsnormen 7 Gebaseerd op Pagina 7 van 10

8 opgenomen en is bepaald dat een instelling haar systemen zo heeft ingericht dat deze een hoog niveau van beschikbaarheid en veiligheid waarborgen. Op basis van deze regeling houdt DNB toezicht op het retailbetalingsverkeer, en DNB beoordeelt of banken de normen in voldoende mate naleven. Alle instelling waarop de regeling van toepassing is, hebben maatregelen genomen om zich tegen DDoSaanvallen te beveiligen. De modus operandi van DDoS-aanvallen wijzigt echter, en het kost tijd om mitigerende maatregelen aan te passen en om de beveiliging tegen nieuwe soorten DDoS-aanvallen in te regelen. DNB heeft hier aandacht voor in het kader van het toezicht dat zij op basis van de regeling houdt. Wanneer instellingen structureel niet aan de regeling voldoen, acteert DNB hierop. Vraag 4 Zijn de DDoS-aanvallen van de laatste week geavanceerder dan eerdere DDOSaanvallen op banken? Kunt u uitleggen in welk opzicht deze aanvallen geavanceerder zijn? Antwoord op vraag 4 De DDoS-aanvallen van eind januari jl. waren omvangrijker en geavanceerder dan eerdere aanvallen op banken. De modus operandi die de aanvaller(s) toepaste, was anders dan voorheen. De DDoS-aanvallen waren niet alleen gericht op de zogeheten mijnbank- en ideal-omgevingen van de bank in kwestie, maar ook op de netwerkproviders en alle publieke IP-adressen van de bank. De aanvaller hield daarbij rekening met wat er met het aanvalsdataverkeer werd gedaan. Op basis van de reactie van de banken koos de aanvaller een andere methode, of werd de aanval in bandbreedte verzwaard. Vraag 5 Waaruit blijkt dat Nederlandse banken er om bekend staan hun cyberveiligheid goed op orde te hebben? 2) Vraag 6 Wat is uw reactie op de bewering dat banken laks zijn en dat ons land alles in huis heeft om onaantastbaar te blijven voor DDoS-aanvallen? 3) Vraag 7 Hebt u, net als techneut Erik Bais, twijfels over de strategie van ABN AMRO ten aanzien van het afslaan van deze aanvallen? Vraag 8 Kunt u uitleggen waardoor ABN AMRO vaker is getroffen dan andere banken? 4) Antwoord op vragen 5, 6, 7 en 8 DDoS-aanvallen komen wereldwijd vaak voor en de modus operandi van de aanvallers wijzigt voortdurend. Daardoor hebben instellingen, waaronder banken, dagelijks met dergelijke veranderlijke aanvallen te maken en dit maakt volledige onaantastbaarheid voor DDoS-aanvallen onmogelijk. De meeste aanvallen worden evenwel succesvol door de afweersystemen van banken afgeslagen voordat ze leiden tot overlast door tijdelijke uitval of onbeschikbaarheid van dienstverlening. Eind januari bleek dat banken bovendien in staat zijn om ook op nieuwe geslaagde aanvallen direct te reageren en ze af te slaan, onder meer door het nemen van maatregelen rond het versterken van hun IT-afweersystemen. In het bestrijden Pagina 8 van 10

9 van cybercriminaliteit werken banken onderling nauw samen 8, alsook met bedrijven gespecialiseerd in cybersecurity en met verschillende autoriteiten, waaronder DNB, de NCTV en het NCSC. De NCTV gaf daags na de aanvallen aan dat de situatie goed en professioneel door de (financiële instellingen) is opgepakt. 9 Uit cijfers die de Betaalvereniging Nederland jaarlijks publiceert, blijkt dat de beschikbaarheid van het internet- en mobielbankieren voor de meeste banken hoog is: over 2017 >99,75% voor internetbankieren en >99,73% voor mobiel bankieren. 10 Daarnaast is de fraude in het betalingsverkeer de afgelopen jaren structureel gedaald. Verschillende maatregelen op het gebied van preventie, voorlichting van consumenten en samenwerking tussen partijen, hebben aan die daling bijgedragen. Waar de totale schade als gevolg van fraude in het betalingsverkeer in 2012 nog bijna 82 miljoen euro betrof, was dit bedrag in 2016 gedaald naar iets meer dan 10 miljoen euro. 11 Ik heb geen signalen ontvangen dat de website van ABN AMRO vaker is getroffen dan andere banken. De beschikbaarheids- en fraudecijfers, alsook de directe reactie van de banken op DDoS-aanvallen en de uitspraken van de NCTV, geven mij het vertrouwen dat de banken voortdurend werken aan hun cyberveiligheid om de beschikbaarheid van het betalingsverkeer goed op orde te houden. Vraag 9 Zijn DDoS-aanvallen in deze orde van grootte ook op buitenlandse banken voorgekomen? Zo ja, wanneer? Antwoord op vraag 9 Mij zijn geen signalen bekend dat de recente DDoS-aanvallen ook waren gericht op buitenlandse banken. Dat laat onverlet dat ook buitenlandse banken met dergelijke aanvallen te maken hebben. DDoS-aanvallen komen wereldwijd vaak voor. Vraag 10 Welke lessen kunnen worden getrokken uit de recente DDoS-aanvallen op banken? Hoe ziet u er op toe dat deze lessen ook leiden tot concrete actie van zowel de overheid als van de banken? Antwoord op vraag 10 De veranderlijkheid van de DDoS-aanvallen noopt ertoe dat banken voortdurend werken aan hun cyberveiligheid en de beschikbaarheid van het betalingsverkeer, opdat deze goed op orde blijft. Hiervoor is nauwe samenwerking van belang, tussen banken onderling maar ook van banken met bedrijven gespecialiseerd in cybersecurity en met verschillende autoriteiten. Die publiek-private samenwerking vindt al plaats. De in 2013 aangestelde bankenliaison fungeert daarbij als permanente verbindingsofficier tussen de banken en overheidsinstanties, en draagt eraan bij dat snel informatie over de cyberveiligheid tussen die partijen kan worden uitgewisseld. Ik span mij ervoor in om de kwaliteit en intensiteit van deze 8 Banken en het NCSC hebben in 2013 besloten hun samenwerking verder te bestendigen. Onderdeel hiervan was het aanstellen van een bankenliaison. Zie Pagina 9 van 10

10 samenwerking op peil te houden, opdat ook op toekomstige DDoS-aanvallen adequaat kan worden gereageerd. Vraag 11 Bent u bezig met het creëren van een back-upmogelijkheid voor directe digitale betalingen, bijvoorbeeld decentraal, voor het geval er op grote schaal aanvallen blijven plaatsvinden? Antwoord op vraag 11 Gelet op de zeer hoge beschikbaarheid van het Nederlandse betalingsverkeer en de beperkte invloed daarop van de recente DDoS-aanvallen vertrouw ik erop dat banken ook in de toekomst in staat zullen zijn om een goede beschikbaarheid van hun digitale betaaldienstverlening zullen waarborgen. Hierbij acht ik het inrichten van een back-upmogelijkheid voor directe digitale betalingen niet proportioneel. 1) 2) 3) 4) Pagina 10 van 10