Hackers roban 133 millones de dólares al banco francés Crédit Mutuel Arkéa a través de un proveedor de servicios

Crédit Mutuel Arkéa, un banco cooperativo francés con más de 5,8 millones de socios y aproximadamente 211 500 millones de euros en activos, sufrió un ciberataque que permitió a los intrusos sacar hasta 133 millones de dólares (118 millones de euros) de sus propias cuentas, según un informe publicado el 7 de noviembre por BleepingComputer. El banco reveló el incidente el 4 de noviembre, afirmando que estaba «completamente cerrado y bajo control», pero no ha confirmado la cifra en dólares atribuida al robo.

Las brechas bancarias suelen apuntar directamente a las cuentas de los clientes. Esta no. Arkéa afirma que el atacante entró a través de la plataforma de un proveedor de servicios, y no por una vulnerabilidad en sus propios sistemas, y que luego usó la cuenta institucional del propio banco para realizar transacciones con otras instituciones financieras y convertir el producto en las stablecoins USDC y USDT. Esa distinción importa: una brecha que pasa por la infraestructura de un proveedor es más difícil de detectar para un banco con su propio monitoreo interno, ya que el punto de acceso inicial está fuera de los sistemas que vigila directamente su equipo de seguridad.

La cifra en dólares proviene del investigador de blockchain ZachXBT, quien a principios de noviembre detectó retiros inusuales de varias cuentas en exchanges centralizados y dijo que para el 3 de noviembre ya se habían blanqueado unos 30 millones de dólares. Arkéa solo ha llegado a decir que puede «validar el orden de magnitud» de la cifra de ZachXBT, sin confirmarla directamente. Parte de los fondos robados ha sido bloqueada desde entonces, aunque el banco no ha precisado cuánto.

Arkéa asegura que la intrusión no tuvo impacto en los activos de los clientes, solo un retraso en el procesamiento de algunas transferencias, y descartó a su banco en línea, Fortuneo, como origen de la brecha. Las autoridades judiciales y la policía ya intervienen para rastrear el origen del ataque, y el banco advierte a sus clientes que esperen una ola de intentos de phishing que buscarán aprovechar la noticia de la brecha, recomendándoles verificar cualquier mensaje sospechoso llamando directamente a su asesor en lugar de hacer clic en enlaces.

El incidente ocurre la misma semana en que Binance reveló un hackeo de 6300 millones de dólares, el mayor robo de criptomonedas registrado hasta ahora, lo que mantiene al delito financiero vinculado a las criptomonedas en los titulares. Para los bancos, es un recordatorio de que el riesgo de los proveedores es ahora riesgo propio del banco: la postura de seguridad de un proveedor de servicios puede convertirse en el eslabón más débil de las defensas de una institución, sin importar cuán protegidos estén sus sistemas principales. La información fue reportada por Bill Toulas de BleepingComputer; Crédit Mutuel Arkéa no había respondido a la solicitud de comentarios del medio al momento de la publicación.