Hacker erbeuten 133 Millionen Dollar von der französischen Bank Crédit Mutuel Arkéa über einen Dienstleister

Die Crédit Mutuel Arkéa, eine französische Genossenschaftsbank mit mehr als 5,8 Millionen Mitgliedern und rund 211,5 Milliarden Euro an Vermögenswerten, wurde Opfer eines Cyberangriffs, der es den Eindringlingen ermöglichte, bis zu 133 Millionen Dollar (118 Millionen Euro) aus den eigenen Konten der Bank abzuziehen. Das geht aus einem am 7. November veröffentlichten Bericht von BleepingComputer hervor. Die Bank hatte den Vorfall am 4. November offengelegt und erklärt, er sei nun «vollständig eingedämmt und unter Kontrolle» - die genannte Dollarsumme hat sie jedoch nicht bestätigt.

Bank-Hacks zielen normalerweise direkt auf Kundenkonten. Dieser nicht. Arkéa erklärt, der Angreifer sei über die Plattform eines externen Dienstleisters eingedrungen und nicht über eine Schwachstelle in den eigenen Systemen, und habe anschließend das institutionelle Konto der Bank selbst genutzt, um Transaktionen mit anderen Finanzinstituten durchzuführen und die Erträge in die Stablecoins USDC und USDT umzuwandeln. Dieser Unterschied ist wichtig: Ein Einbruch, der über die Infrastruktur eines Dienstleisters läuft, ist für eine Bank mit ihrer eigenen internen Überwachung schwerer zu erkennen, da der ursprüngliche Zugangspunkt außerhalb der Systeme liegt, die das Sicherheitsteam direkt überwacht.

Die Dollarschätzung stammt vom Blockchain-Ermittler ZachXBT, der Anfang November zunächst ungewöhnliche Abhebungen von mehreren Konten bei zentralisierten Börsen meldete und erklärte, bis zum 3. November seien bereits rund 30 Millionen Dollar gewaschen worden. Arkéa ist bislang nur so weit gegangen zu sagen, man könne «die Größenordnung» der Zahl von ZachXBT bestätigen, nicht die Zahl selbst. Ein Teil der gestohlenen Gelder wurde seitdem blockiert, wie viel, hat die Bank jedoch nicht angegeben.

Arkéa erklärt, der Einbruch habe keine Auswirkungen auf die Vermögenswerte der Kunden gehabt, lediglich eine Verzögerung bei der Abwicklung bestimmter Überweisungen, und hat ihre Online-Bank Fortuneo als Ursprung der Sicherheitslücke ausgeschlossen. Justizbehörden und Polizei sind eingeschaltet, um den Ursprung des Angriffs zurückzuverfolgen, und die Bank warnt ihre Kunden vor einer Welle von Phishing-Versuchen, die die Berichterstattung über den Vorfall ausnutzen wollen - verdächtige Nachrichten sollten telefonisch beim eigenen Berater überprüft werden, statt auf Links zu klicken.

Der Vorfall ereignet sich in derselben Woche, in der Binance einen Hack über 6,3 Milliarden Dollar offenlegte - den größten Krypto-Diebstahl, der je verzeichnet wurde - und hält damit Finanzkriminalität rund um Kryptowährungen weiter in den Schlagzeilen. Für Banken ist das eine Erinnerung daran, dass Dienstleister-Risiko inzwischen zum eigenen Risiko der Bank geworden ist: Die Sicherheitslage eines Dienstleisters kann zum schwächsten Glied in der Verteidigung einer Institution werden, egal wie gut die eigenen Kernsysteme geschützt sind. Der Bericht stammt von Bill Toulas von BleepingComputer; Crédit Mutuel Arkéa hatte bis zur Veröffentlichung nicht auf die Bitte des Mediums um einen Kommentar reagiert.