El grupo bancario francés Crédit Mutuel Arkéa confirmó este 4 de noviembre que ha sido víctima de un ciberataque de gran magnitud, capaz de generar operaciones fraudulentas desde una cuenta interna. Con más de 5,8 millones de socios y clientes, la entidad aseguró que, aunque el monto sustraído podría superar los 133 millones de dólares, sus pérdidas reales serían menores y aún no ha publicado una cifra definitiva. El ataque se originó a través de la plataforma de un proveedor externo, sin involucrar a Fortuneo, su banco digital, lo que evidencia la vulnerabilidad de la cadena de suministro tecnológica.
El caso salió a la luz cuando el investigador de blockchain ZachXBT alertó el 2 de noviembre sobre movimientos sospechosos vinculados a una entidad europea sin identificar. Tras varios días de análisis, el 4 de noviembre señaló a Crédit Mutuel Arkéa como objetivo, y la entidad bancaria explicó que los cibercriminales usaron una cuenta propia para transferir fondos a otras instituciones y, de ahí, a criptomonedas. Esta vía permitió que el dinero fuera convertido a USDC y, posteriormente, a ether, dificultando su rastreo y recuperación.
Según ZachXBT, las retiradas iniciales superaron los 106 millones de dólares, a lo que se sumaron otros 27 millones identificados posteriormente. La firma de análisis Bitquery rastreó 108,8 millones de dólares en USDC distribuidos entre 15 direcciones en apenas 21 horas. Los fondos fueron enviados a plataformas como Kraken, Crypto.com y OKX, y parte de ellos fue transformada en ether, un activo que no puede ser bloqueado por su emisor. No obstante, Tether congeló alrededor de 1,14 millones de dólares en USDT y Crypto.com impidió nuevos movimientos relacionados con el incidente.
Crédit Mutuel Arkéa aseguró que los ahorros de sus clientes no fueron afectados, pues los atacantes operaron desde una cuenta interna del grupo. Las consecuencias se limitaron a retrasos puntuales en transferencias, y la entidad afirmó que la mayoría de los servicios volvió a la normalidad en la mañana del mismo día. Además, advirtió sobre posibles intentos de phishing dirigidos a sus usuarios, una táctica común para obtener información confidencial tras un brecha de seguridad.
Este episodio se suma a una serie de ciberataques que han golpeado a empresas europeas en la última semana, incluyendo supermercados de Bélgica, Suecia e Irlanda que vieron comprometidos sus sistemas de refrigeración. Aunque no hay evidencia de una conexión directa, los incidentes resaltan la creciente dependencia de la tecnología en operaciones cotidianas y la necesidad de reforzar la ciberseguridad.
En el contexto regulatorio, la Unión Europea implementará a partir de enero de 2025 el reglamento DORA, que obliga a las entidades financieras a gestionar riesgos tecnológicos, especialmente los derivados de proveedores externos. Este marco busca mejorar la capacidad de respuesta ante incidentes digitales y reducir la exposición a ataques como el sufrido por Crédit Mutuel Arkéa.
Fuente: xataka