Crédit Mutuel Arkéa confirma un ciberataque con transferencias fraudulentas desde su propia cuenta

El banco francés Crédit Mutuel Arkéa informó el miércoles de que un ciberataque permitió a los atacantes realizar transferencias fraudulentas desde la propia cuenta de la entidad. La entidad, con sede en Bretaña, aseguró que el incidente está bajo control y que las operaciones se reanudan. Suspendió algunas transacciones como medida de precaución.

Este incidente no ha tenido impacto en los activos (de los clientes) y solo ha causado un retraso en la ejecución de ciertas transferencias.

Crédit Mutuel Arkéa, según la traducción publicada por Reuters

Cómo se produjo el ataque

Según la entidad, los atacantes accedieron a través de la plataforma de uno de sus proveedores de servicios y llegaron directamente al banco. Usaron la cuenta del propio banco para enviar transacciones a otros bancos, lo que potencialmente les permitió convertir el dinero en criptomonedas mediante plataformas especializadas.

El banco aseguró que no se utilizaron cuentas de clientes de sus federaciones o filiales. Negó las informaciones de la prensa francesa que apuntaban a una entrada por Fortuneo, su banca en línea, y habló de un «ataque sofisticado desde el exterior», no de un error humano.

La cuantía del robo

Arkéa no ha dado una cifra final. Preguntado por si se habían sustraído 118 millones de euros, unos 133 millones de dólares, respondió que no confirma el número y que solo puede «validar el orden de magnitud». AFP informó de que la entidad estimaba el ataque en unos 100 millones de euros en una cifra provisional. Reuters recogió que el banco situaba las pérdidas por debajo de 133 millones de dólares.

Parte de los fondos ha sido congelada y hay otras gestiones en marcha para recuperar el resto. El banco afirmó que los importes en juego no amenazan «en absoluto» su solidez financiera.

Lo que sostiene ZachXBT

El investigador on-chain ZachXBT alertó del incidente el lunes sin nombrar a la víctima. Escribió en su canal de Telegram que se sospechaba que una entidad de la UE había perdido más de 106 millones de dólares desde varias cuentas de plataformas centralizadas el 1 de noviembre. Los fondos se retiraron como USDC y USDT, se cambiaron por ether y se movieron por varias cadenas.

Después halló otros 27 millones de dólares o más en retiradas, hasta superar los 133 millones. Una publicación posterior nombró a Arkéa como presunta víctima. Según ZachXBT, el ataque se prolongó durante varios días y sospecha que la cifra real es mayor si se cuenta la actividad extrabursátil.

El banco no ha confirmado ni su cifra ni su cronología. Tampoco ha precisado cuándo empezó el ataque, quién está detrás ni si se sustrajeron datos. Colabora con las autoridades judiciales y policiales para determinar el origen y advirtió a sus clientes de posibles intentos de phishing.

Crédit Mutuel Arkéa agrupa las federaciones de Crédit Mutuel de Bretaña y del Suroeste y forma parte del grupo Crédit Mutuel. Tiene 5,8 millones de clientes y 211.500 millones de euros en activos, unos 238.000 millones de dólares, según Reuters.