NodoCrédit Mutuel Arkéa confirma un ciberataque con transferencias fraudulentas
Los atacantes accedieron a través de la plataforma de un proveedor y utilizaron una cuenta del grupo bancario. La entidad asegura que los fondos de sus clientes están protegidos, pero aún no ha comunicado una cifra definitiva de pérdidas.
Crédit Mutuel Arkéa ha confirmado un ciberataque que permitió realizar transferencias fraudulentas desde una cuenta del propio grupo bancario francés. La entidad, que cuenta con más de 5,8 millones de socios y clientes, asegura que las cuentas de estos no fueron utilizadas y que sus fondos permanecen protegidos.
El alcance económico todavía no está cerrado. El investigador de blockchain ZachXBT estima que se sustrajeron más de 133 millones de dólares, mientras que el banco sostiene que sus pérdidas serían inferiores y no ha comunicado una cifra definitiva.
El acceso se produjo a través de un proveedor
Según la explicación del grupo, los atacantes accedieron a través de la plataforma de uno de sus proveedores, sin pasar por Fortuneo, su banco digital. Desde una cuenta de Arkéa realizaron transferencias hacia otras entidades bancarias, que posteriormente pudieron facilitar la conversión del dinero a criptomonedas.
ZachXBT había alertado el 2 de noviembre de movimientos sospechosos vinculados a una entidad europea cuya identidad no había revelado. El investigador amplió después sus estimaciones y señaló a Crédit Mutuel Arkéa el 4 de noviembre, día en que el grupo confirmó el incidente.
Qué se sabe del recorrido del dinero
La firma de análisis Bitquery rastreó movimientos por 108,8 millones de dólares en USDC, una criptomoneda diseñada para mantener un valor próximo al dólar. Según su investigación, los fondos se distribuyeron entre 15 direcciones de criptomonedas durante unas 21 horas. La firma reconoció, no obstante, que no había podido identificar al titular de las cuentas ni verificar el importe total denunciado.
Seguir el rastro de los fondos no equivale a recuperarlos. Bitquery señala que buena parte se convirtió en ether, un activo que no puede ser bloqueado directamente por una entidad emisora. También identificó medidas de contención: Tether congeló aproximadamente 1,14 millones de dólares en USDT. Por ahora se desconoce cuánto dinero podrá recuperarse.
Qué implica para los clientes
Arkéa atribuye las operaciones fraudulentas a una cuenta del grupo, no a las de sus clientes. Entre las consecuencias operativas reconocidas figuran retrasos en determinadas transferencias; según la entidad, prácticamente todas las operaciones habían recuperado su funcionamiento durante la mañana del 4 de noviembre.
El banco también ha advertido de posibles intentos de phishing, en los que los delincuentes se hacen pasar por una entidad de confianza para obtener información confidencial. El caso pone el foco, además, en los riesgos asociados a proveedores externos, incluidos en las obligaciones de gestión tecnológica del reglamento europeo DORA, aplicable desde enero de 2025.
