Il gruppo bancario francese Crédit Mutuel Arkéa afferma che un aggressore ha avuto accesso alla rete tramite la piattaforma di un fornitore di servizi e ha usato il conto della banca per effettuare bonifici fraudolenti, come riferito da BleepingComputer il 7 novembre. La banca ha sospeso alcuni sistemi, ritardando alcuni bonifici, ma sostiene che i patrimoni dei clienti non sono stati toccati.
Il gruppo bancario cooperativo, che conta più di 5,8 milioni di soci e 211,5 miliardi di euro di attivi, ha comunicato l'incidente il 4 novembre. Ha dichiarato che l'incidente è stato contenuto e che le operazioni stanno tornando gradualmente alla normalità nelle sue federazioni e nelle sue controllate.
La potenziale perdita è ingente. L'investigatore blockchain ZachXBT ha stimato che fino a 118 milioni di euro (133 milioni di dollari) potrebbero essere stati rubati. Arkéa non ha confermato questa cifra, ammettendone solo l'ordine di grandezza, e ha affermato che alcuni fondi sono stati bloccati.
Bonifici dal conto della banca
In una FAQ separata, descritta da BleepingComputer, Arkéa ha affermato che l'aggressore ha raggiunto direttamente la sua rete tramite la piattaforma di un fornitore di servizi. La banca ha escluso che la piattaforma coinvolta fosse quella di Fortuneo.
L'aggressore ha quindi utilizzato il conto proprio di Arkéa, anziché quelli dei clienti, per effettuare transazioni con altri istituti bancari e convertire i fondi in criptovalute. La banca ha escluso errori umani all'interno dell'organizzazione e ha definito l'incidente un «attacco sofisticato».
Le prime segnalazioni sono emerse il 2 novembre, quando ZachXBT ha avvertito di grossi prelievi non autorizzati da più conti presso exchange di criptovalute centralizzati il giorno prima. Questi exchange detengono e gestiscono le transazioni in criptovalute per conto dei titolari dei conti. L'investigatore ha affermato che l'aggressore potrebbe aver prelevato i fondi in USDC e USDT, stablecoin progettate per seguire il valore del dollaro statunitense.
ZachXBT non ha inizialmente identificato l'entità coinvolta. L'investigatore ha inoltre sostenuto che l'assenza di una comunicazione pubblica avrebbe permesso all'aggressore di riciclare 30 milioni di dollari entro il 3 novembre, fondi che le forze dell'ordine dell'Unione europea avrebbero altrimenti congelato.
Arkéa sta collaborando con le autorità giudiziarie e con la polizia per accertare l'origine esatta dell'attacco e le modalità con cui è stato condotto. BleepingComputer ha riferito di aver chiesto alla banca ulteriori dettagli sull'attacco e sull'indagine, ma di non aver ricevuto risposta al momento della pubblicazione.
Clienti messi in guardia dal phishing
Per i clienti, la banca ha segnalato ritardi nell'esecuzione di alcuni bonifici, pur sostenendo che i loro patrimoni non sono stati interessati. Ha inoltre avvertito di un aumento del rischio di phishing, cioè di comunicazioni fraudolente volte a indurre i destinatari a rivelare informazioni sensibili.
Arkéa ha invitato i clienti a restare vigili di fronte ai messaggi non richiesti e a evitare di condividere dati sensibili per telefono o via email. I clienti che ricevono comunicazioni sospette dovrebbero verificarle chiamando direttamente il proprio consulente bancario.
