El grupo bancario francés Crédit Mutuel Arkéa afirma que un atacante accedió a su red a través de la plataforma de un proveedor de servicios y utilizó la cuenta propia del banco para realizar transferencias fraudulentas, según informó BleepingComputer el 7 de noviembre. El banco suspendió algunos sistemas, lo que retrasó ciertas transferencias, pero asegura que los activos de los clientes no se vieron afectados.
El grupo bancario cooperativo, que cuenta con más de 5,8 millones de socios y 211.500 millones de euros en activos, hizo pública el 4 de noviembre la incidencia. Afirmó que el incidente estaba contenido y que las operaciones volvían gradualmente a la normalidad en sus federaciones y filiales.
La pérdida potencial es considerable. El investigador de fraudes en blockchain ZachXBT estimó que podrían haberse robado hasta 118 millones de euros (133 millones de dólares). Arkéa se negó a confirmar esa cifra y solo reconoció su orden de magnitud, y explicó que algunos fondos habían sido bloqueados.
Transferencias desde la cuenta propia del banco
En unas preguntas frecuentes separadas, descritas por BleepingComputer, Arkéa señaló que el atacante llegó a su red directamente a través de la plataforma de un proveedor de servicios. Descartó a Fortuneo como la plataforma implicada.
Después, el atacante utilizó la cuenta propia de Arkéa, en lugar de las cuentas de los clientes, para operar con otras entidades bancarias y convertir fondos en criptomonedas. El banco descartó un error humano dentro de su organización y calificó el incidente de «ataque sofisticado».
Las primeras informaciones surgieron el 2 de noviembre, cuando ZachXBT alertó de grandes retiradas no autorizadas de varias cuentas en exchanges centralizados de criptomonedas el día anterior. Estos exchanges custodian y gestionan las operaciones con criptomonedas de sus titulares. El investigador afirmó que el atacante pudo haber retirado los fondos en USDC y USDT, stablecoins diseñadas para seguir el valor del dólar estadounidense.
Inicialmente, ZachXBT no identificó a la entidad afectada. El investigador afirmó además que la falta de divulgación pública permitió al atacante blanquear 30 millones de dólares hasta el 3 de noviembre, fondos que las fuerzas de seguridad de la Unión Europea habrían congelado de no ser así.
Arkéa trabaja con las autoridades judiciales y la policía para determinar el origen exacto del ataque y cómo se llevó a cabo. BleepingComputer indicó que había pedido más detalles al banco sobre el ataque y la investigación, pero que no había recibido respuesta antes de la publicación.
Advertencia a los clientes sobre phishing
Para los clientes, el banco informó de retrasos en la ejecución de algunas transferencias, aunque sostuvo que sus activos no se habían visto afectados. También advirtió de un mayor riesgo de phishing: comunicaciones fraudulentas destinadas a engañar a los destinatarios para que revelen información sensible.
Arkéa instó a los clientes a estar atentos a los mensajes no solicitados y a no compartir datos sensibles por teléfono o correo electrónico. Quienes reciban comunicaciones sospechosas deben verificarlas llamando directamente a su asesor bancario.
