Awaria infrastruktury Google Cloud zakłóciła 20 października 2026 r. działanie usług finansowych i cyfrowych w Wielkiej Brytanii. Problemy dotknęły między innymi Revolut, Lloyds i HSBC. Dzień później europejscy regulatorzy zwrócili się do Google o dodatkowe informacje. Incydent pokazał, jak silnie współczesna bankowość zależy od technologii dostarczanych przez zewnętrzne firmy.
Co to oznacza dla klientów? Czy awaria aplikacji może uniemożliwić dostęp do własnych pieniędzy? I czy banki są wystarczająco przygotowane na sytuację, w której przestaje działać infrastruktura ich technologicznego partnera?
Kilka godzin problemów. Przyczyną była awaria infrastruktury
Według informacji opublikowanych przez Google Cloud problemy rozpoczęły się w londyńskim regionie europe-west2. Firma wskazała na zdarzenie związane z zasilaniem w obiekcie zewnętrznego dostawcy. Awaria spowodowała błędy i okresowe problemy z łącznością w wielu usługach chmurowych.
Skutki wykraczały poza pojedynczą aplikację. Problemy z dostępnością usług zgłaszały instytucje finansowe, a zakłócenia dotyczyły również wybranych serwisów publicznych. Google poinformowało później o przywróceniu działania usług.
Dla klientów takie zdarzenie może oznaczać brak możliwości zalogowania się do aplikacji, trudności z realizacją płatności kartą lub niedostępność niektórych funkcji bankowych. Nie oznacza to jednak automatycznie utraty środków ani naruszenia bezpieczeństwa danych.
Revolut potwierdził, że pieniądze i dane klientów pozostały bezpieczne. W dostępnych doniesieniach nie ma podstaw, by twierdzić, że awaria doprowadziła do kradzieży pieniędzy z rachunków.
Dlaczego awaria Google stała się problemem banków?
Współczesna bankowość nie opiera się wyłącznie na własnych systemach informatycznych instytucji finansowych. Banki i firmy płatnicze korzystają również z usług zewnętrznych dostawców, którzy zapewniają infrastrukturę obliczeniową, przechowywanie danych i działanie aplikacji.
Chmura obliczeniowa pozwala szybko rozwijać usługi, zwiększać ich wydajność i ograniczać konieczność samodzielnego utrzymywania całej infrastruktury. Jednocześnie oznacza, że awaria jednego dostawcy może dotknąć wiele niezależnych przedsiębiorstw.
To właśnie koncentracja zależności technologicznych jest jednym z najważniejszych problemów ujawnionych przez październikowy incydent. Banki mogą ze sobą konkurować, ale jeśli część ich usług opiera się na tej samej infrastrukturze, niektóre zagrożenia stają się wspólne.
Nie oznacza to, że każda firma korzystająca z Google Cloud zostanie dotknięta każdą awarią. Skala skutków zależy między innymi od wykorzystywanych usług, lokalizacji infrastruktury, architektury systemów oraz dostępnych rozwiązań awaryjnych.
Regulatorzy pytają o bezpieczeństwo sektora finansowego
21 października Europejski Urząd Nadzoru Bankowego (EBA) potwierdził agencji Reuters, że pozostaje w kontakcie z Google Cloud, aby uzyskać dodatkowe informacje o incydencie i ocenić jego potencjalny wpływ na instytucje finansowe w Unii Europejskiej.
Zainteresowanie regulatorów nie jest przypadkowe. Problemy z dostępnością usług bankowych mogą wpływać na możliwość wykonywania podstawowych operacji przez klientów i przedsiębiorstwa. Z perspektywy nadzorczej istotne jest więc nie tylko to, co spowodowało awarię, lecz także to, jak szybko udało się przywrócić działanie usług i czy procedury awaryjne zadziałały prawidłowo.
Sprawą zainteresowała się również brytyjska Komisja Skarbu, która zwróciła się do Banku Anglii i Urzędu Nadzoru Finansowego o informacje dotyczące skali zakłóceń oraz ich skutków.
To ważny sygnał dla całego rynku: odpowiedzialność za odporność cyfrową nie może kończyć się na granicach pojedynczej instytucji finansowej.
DORA. Unia Europejska chce ograniczyć ryzyko
W Unii Europejskiej obowiązuje rozporządzenie DORA, czyli akt o cyfrowej odporności operacyjnej sektora finansowego. Regulacja ma pomóc instytucjom finansowym przygotować się na incydenty technologiczne, skuteczniej nimi zarządzać i szybciej przywracać działanie kluczowych usług.
DORA obejmuje między innymi zarządzanie ryzykiem informatycznym, testowanie odporności systemów oraz kontrolę ryzyka związanego z zewnętrznymi dostawcami usług ICT. Przewiduje także ramy nadzoru nad dostawcami uznanymi za krytycznych dla sektora finansowego.
Znaczenie tych przepisów jest szczególnie widoczne w przypadku usług chmurowych. Instytucja finansowa może korzystać z technologii zewnętrznej firmy, ale nadal musi odpowiednio zarządzać ryzykiem związanym z jej wykorzystaniem.
Sama awaria nie dowodzi jednak naruszenia przepisów. Aby to ustalić, potrzebna byłaby szczegółowa ocena okoliczności zdarzenia, obowiązków poszczególnych podmiotów i zastosowanych procedur.
Czy klienci banków mają powody do obaw?
Awaria usług cyfrowych nie jest tym samym co utrata pieniędzy. Warto rozróżnić trzy kwestie: dostęp do aplikacji, możliwość realizacji transakcji oraz bezpieczeństwo środków i danych.
Każda z nich wymaga osobnej oceny. Niedostępność aplikacji może utrudnić korzystanie z rachunku, ale nie przesądza o tym, że pieniądze zniknęły. Z kolei zapewnienie o bezpieczeństwie środków nie oznacza, że wszyscy klienci mogli bez przeszkód wykonywać operacje w czasie awarii.
Dla klientów praktyczny wniosek jest prosty: warto znać alternatywne sposoby kontaktu z bankiem i sprawdzić, jakie rozwiązania są dostępne w razie problemów z aplikacją. Nie ma natomiast podstaw, by na podstawie tego incydentu zakładać, że środki klientów banków zostały zagrożone.
Dla przedsiębiorstw sytuacja jest bardziej złożona. Niedostępność systemu płatniczego lub bankowego może opóźnić rozliczenia, utrudnić obsługę zamówień i zakłócić bieżącą działalność. Dlatego ciągłość działania powinna być uwzględniana w planowaniu ryzyka operacyjnego.
Cyfryzacja daje przewagę, ale tworzy nowe zależności
Październikowa awaria nie oznacza, że banki powinny rezygnować z chmury. Usługi tego rodzaju pozostają istotnym elementem rozwoju cyfrowej gospodarki. Incydent przypomina jednak, że sprawność systemu w normalnych warunkach nie wystarcza do oceny jego odporności.
Ważne są również scenariusze awaryjne, możliwość przenoszenia obciążeń do innych środowisk, testowanie procedur oraz jasny podział odpowiedzialności między instytucją finansową a dostawcą technologii.
Nie każda firma musi utrzymywać całkowicie niezależną infrastrukturę. Powinna jednak wiedzieć, od których usług zależy jej działalność i jakie konsekwencje przyniesie ich niedostępność.
Najważniejsze pytanie nie brzmi, czy technologia chmurowa jest bezpieczna, lecz czy cały system potrafi działać, gdy jeden z jego kluczowych elementów zawiedzie.
Awaria Google Cloud przypomniała, że w cyfrowej gospodarce bezpieczeństwo finansowe zależy nie tylko od banków, lecz także od odporności infrastruktury, na której opierają się ich usługi.
