Die französische Bankengruppe Crédit Mutuel Arkéa erklärt, ein Angreifer sei über die Plattform eines Dienstleisters in ihr Netzwerk eingedrungen und habe das eigene Konto der Bank für betrügerische Überweisungen genutzt, berichtete BleepingComputer am 7. November. Die Bank setzte einige Systeme aus, wodurch sich bestimmte Überweisungen verzögerten, betont aber, dass Kundenvermögen nicht betroffen waren.
Die genossenschaftliche Bankengruppe, die mehr als 5,8 Millionen Mitglieder und 211,5 Milliarden Euro an Vermögenswerten hat, machte den Vorfall am 4. November öffentlich. Nach eigenen Angaben war er eingedämmt, und der Betrieb normalisiert sich schrittweise in ihren Verbünden und Tochtergesellschaften.
Der potenzielle Schaden ist erheblich. Der Blockchain-Ermittler ZachXBT schätzte, dass bis zu 118 Millionen Euro (133 Millionen US-Dollar) gestohlen worden sein könnten. Arkéa wollte diese Summe nicht bestätigen und räumte lediglich deren Größenordnung ein; zudem seien einige Gelder gesperrt worden.
Überweisungen vom eigenen Konto der Bank
In einem separaten FAQ, das BleepingComputer beschreibt, erklärte Arkéa, der Angreifer sei direkt über die Plattform eines Dienstleisters in das Netzwerk gelangt. Als betroffene Plattform schloss die Bank Fortuneo aus.
Der Angreifer nutzte danach das eigene Konto von Arkéa statt Kundenkonten, um mit anderen Kreditinstituten Transaktionen durchzuführen und Gelder in Kryptowährung umzuwandeln. Menschliches Versagen innerhalb der Organisation schloss die Bank aus und bezeichnete den Vorfall als „ausgeklügelten Angriff“.
Erste Berichte tauchten am 2. November auf, als ZachXBT vor großen unautorisierten Abhebungen von mehreren zentralisierten Kryptowährungsbörsen-Konten warnte, die am Vortag stattgefunden hatten. Solche Börsen verwahren und verarbeiten Kryptowährungstransaktionen für Kontoinhaber. Der Ermittler sagte, der Angreifer könnte die Gelder als USDC und USDT abgehoben haben, Stablecoins, die den Wert des US-Dollars abbilden sollen.
ZachXBT nannte das betroffene Unternehmen zunächst nicht. Der Ermittler behauptete außerdem, das Ausbleiben einer öffentlichen Meldung habe es dem Angreifer ermöglicht, bis zum 3. November 30 Millionen US-Dollar zu waschen, Gelder, die andernfalls von Strafverfolgungsbehörden der Europäischen Union eingefroren worden wären.
Arkéa arbeitet mit Justizbehörden und der Polizei zusammen, um den genauen Ursprung des Angriffs und dessen Ablauf zu klären. BleepingComputer erklärte, man habe die Bank um weitere Details zum Angriff und zur Untersuchung gebeten, bis zur Veröffentlichung jedoch keine Antwort erhalten.
Kunden vor Phishing gewarnt
Für Kunden meldete die Bank Verzögerungen bei der Ausführung einiger Überweisungen und versicherte gleichzeitig, deren Vermögen sei nicht betroffen. Außerdem warnte sie vor einem erhöhten Phishing-Risiko: betrügerische Nachrichten, die Empfänger dazu bringen sollen, sensible Informationen preiszugeben.
Arkéa forderte Kunden auf, bei unaufgeforderten Nachrichten wachsam zu bleiben und sensible Daten weder telefonisch noch per E-Mail weiterzugeben. Kunden, die verdächtige Nachrichten erhalten, sollten diese überprüfen, indem sie direkt ihren Bankberater anrufen.
