Revolutov prekid pokazao je koliko banke ovise o infrastrukturi koju korisnici ne vide

Revolut je nakon prekida rada 20. listopada korisnicima poslao ispriku i uvjeravanje da su njihov novac i podaci cijelo vrijeme bili sigurni. U istoj je poruci, međutim, naveo detalj koji pokazuje koliko posljedice tehnološkog kvara mogu trajati dulje od samog prekida usluge. Kartične transakcije, uključujući povrate novca, mogle bi se u stanju računa prikazati tek nakon nekoliko dana.

Problem izazvan ispadom Google Clouda, prema Revolutovoj obavijesti, riješen je istoga dana i usluge ponovno rade normalno. Za korisnika koji još čeka ažuriranje računa oporavak ipak ima dodatnu fazu: usklađivanje onoga što je platio, onoga što mu je vraćeno i iznosa koji vidi u aplikaciji.

Takvi incidenti otkrivaju važan dio ekonomike digitalnog bankarstva. Korisnik bira banku, uspoređuje naknade i procjenjuje aplikaciju, dok pouzdanost usluge ovisi i o dobavljačima čija imena možda nikada nije provjerio. U pozadini njegova plaćanja nalaze se podatkovni centri, komunikacijske veze i niz međusobno povezanih sustava.

Dan nakon Googleova ispada hrvatski Nacionalni CERT upozorio je na dvije kritične ranjivosti u PHP-u, programskom jeziku koji koriste brojne internetske stranice i poslovne aplikacije. Riječ je o odvojenim događajima: Google je opisao problem s napajanjem svoje infrastrukture, a CERT sigurnosne propuste u softveru.

Njihova zajednička poslovna pouka jest koliko usluga može ovisiti o istom dobavljaču ili zajedničkoj programskoj komponenti. Ta ovisnost postaje osobito vidljiva kada usluga prestane raditi.

Različite banke mogu dijeliti isti rizik

Prema Googleovoj službenoj evidenciji, incident u londonskoj regiji europe-west2 trajao je nešto manje od osam sati. Problem s napajanjem izazvao je ispad jedne zone, uz nedostupnost tamošnjih usluga i smetnje u dijelu šire regije.

Google je tijekom oporavka kao moguću privremenu mjeru navodio premještanje pogođenih sustava na drugu dostupnu lokaciju, ako je to izvedivo. Upravo je taj uvjet važan za poslovne korisnike. Mogućnost prebacivanja ovisi o tome kako je pojedina usluga unaprijed organizirana.

Za banku koja obrađuje plaćanja potrebno je sačuvati ispravan slijed transakcija i pouzdano stanje računa. Revolutova obavijest o mogućem višednevnom čekanju na prikaz pojedinih transakcija pokazuje zašto korisnike zanima i završetak obrade nakon ponovne uspostave usluge.

Očuvanje novca i podataka te dostupnost usluge različiti su dijelovi istog obećanja korisniku. Za građanina koji pokušava platiti kupnju ili poduzetnika kojem kartica treba za poslovni trošak važan je trenutak u kojem plaćanje može izvršiti. Vrijeme potrošeno na provjeravanje transakcija i komunikaciju s podrškom također ima ekonomsku vrijednost.

Korištenje velikih tehnoloških dobavljača bankama omogućuje pristup infrastrukturi i stručnosti koje bi bilo skupo samostalno razvijati. Zajednička infrastruktura zato može donijeti znatne koristi. Istodobno, koncentracija na mali broj pružatelja stvara rizik da isti problem pogodi više njihovih klijenata.

Europska središnja banka u izvješću o nadzornim aktivnostima za 2025. navodi da su prikupljeni podaci potvrdili rastuće oslanjanje banaka na vanjske tehnološke pružatelje, koncentraciju među malim brojem dobavljača i teškoće njihove zamjene. Upozorava i na poteškoće vraćanja prethodno izdvojenih usluga unutar samih banaka.

Za klijenta to znači da dvije bankovne aplikacije mogu predstavljati manju razinu neovisnosti nego što njihovi različiti brendovi sugeriraju. Druga kartica može pomoći pri problemu jedne banke, ali njezina korisnost kao rezerve ovisi i o tome dijele li usluge neku ključnu točku infrastrukture.

Europska uredba DORA, koja se primjenjuje od 17. siječnja 2025., uređuje digitalnu operativnu otpornost financijskog sektora i rizike povezane s tehnološkim dobavljačima. Financijske institucije ostaju odgovorne za ispunjavanje svojih obveza i kada koriste vanjske pružatelje usluga.

Za procjenu otpornosti banke zato su važni konkretni rezultati: koliko brzo ponovno omogućuje ključna plaćanja, kako provjerava transakcije nastale tijekom prekida i koliko precizno korisnicima objašnjava što još čeka obradu.

Održavanje postaje pitanje poslovnog kontinuiteta

Upozorenje CERT-a otvara drugi dio iste poslovne teme. Organizacija može imati ugovor s pouzdanim pružateljem infrastrukture, a istodobno koristiti ranjivu programsku komponentu unutar svoje aplikacije.

Dvije kritične ranjivosti u PHP-u mogle bi omogućiti napadaču da bez prijave u sustav na daljinu izvršava vlastiti programski kod na pogođenom poslužitelju. Sigurnosne nadogradnje objavljene su 21. listopada, a PHP-ov razvojni tim pozvao je na njihovu hitnu primjenu.

Najnovija objava Nacionalnog CERT-a pritom navodi da zasad nema potvrđenih informacija o aktivnom iskorištavanju tih ranjivosti. Ozbiljnost upozorenja proizlazi iz mogućih posljedica i široke uporabe PHP-a.

Nizozemski Nacionalni centar za kibernetičku sigurnost potvrdio je da je zbog propusta preventivno privremeno isključio vlastitu internetsku stranicu. Isto su učinile i druge organizacije, uključujući državne institucije. Privremena nedostupnost u takvim okolnostima može biti svjesna zaštitna odluka, poduzeta radi smanjenja opasnosti od znatno težeg incidenta.

Za tvrtke upozorenje zato počinje vrlo praktičnim pitanjem: znaju li gdje sve koriste pogođeni softver i tko je zadužen za njegovo održavanje?

CERT preporučuje popisivanje sustava koji koriste PHP i prioritetnu nadogradnju poslužitelja dostupnih s interneta. Takav popis omogućuje da se na upozorenje reagira bez prethodnog traženja odgovornih osoba i pregledavanja starih ugovora.

Trošak zaštite pritom obuhvaća rad administratora, provjeru kompatibilnosti aplikacija, testiranje i mogući prekid usluge tijekom zahvata. Ugovor o izradi internetske stranice ili poslovnog sustava dugoročno dobiva dodatnu vrijednost ako jasno određuje tko prati sigurnosna upozorenja i u kojem roku reagira.

Googleov ispad i PHP-ove ranjivosti tako otvaraju pitanje načina na koji se odobravaju tehnološki troškovi. Nove funkcije lako je pokazati korisnicima i povezati s rastom poslovanja. Rezervni kapaciteti, redovite nadogradnje i provjere oporavka svoju vrijednost dokazuju u trenutku poremećaja.

Revolutova obavijest konkretan je primjer koliko je važna komunikacija tijekom tog oporavka. Korisniku trebaju podaci o dostupnosti usluga, očekivanom prikazu transakcija i postupanju kada se stanje računa još nije uskladilo. Pouzdanost digitalne banke uključuje cijeli taj proces, od prvog pokušaja plaćanja do konačnog prikaza njegova rezultata.