Hackers desviam 133 milhões de dólares do banco francês Crédit Mutuel Arkéa através de um prestador de serviços

O Crédit Mutuel Arkéa, banco cooperativo francês com mais de 5,8 milhões de membros e cerca de 211,5 bilhões de euros em ativos, sofreu um ataque cibernético que permitiu aos invasores retirar até 133 milhões de dólares (118 milhões de euros) das próprias contas do banco, segundo um relatório publicado em 7 de novembro pelo BleepingComputer. O banco revelou o incidente em 4 de novembro, afirmando que estava «totalmente contido e sob controle», mas não confirmou o valor em dólares atribuído ao roubo.

Violações bancárias costumam atingir diretamente as contas dos clientes. Esta não. O Arkéa afirma que o atacante entrou pela plataforma de um prestador de serviços terceirizado, e não por uma vulnerabilidade em seus próprios sistemas, e então usou a conta institucional do próprio banco para realizar transações com outras instituições financeiras e converter o produto em stablecoins USDC e USDT. Essa distinção importa: uma violação que passa pela infraestrutura de um fornecedor é mais difícil de detectar para um banco com seu próprio monitoramento interno, já que o ponto de acesso inicial fica fora dos sistemas monitorados diretamente pela equipe de segurança.

A estimativa em dólares vem do investigador de blockchain ZachXBT, que detectou primeiro retiradas incomuns de várias contas em corretoras centralizadas no início de novembro e disse que, até 3 de novembro, cerca de 30 milhões de dólares já haviam sido lavados. O Arkéa só foi até dizer que pode «validar a ordem de grandeza» do valor de ZachXBT, sem confirmá-lo diretamente. Parte dos fundos roubados foi bloqueada desde então, embora o banco não tenha informado quanto.

O Arkéa afirma que a invasão não teve impacto nos ativos dos clientes, apenas um atraso no processamento de algumas transferências, e descartou seu banco digital, o Fortuneo, como origem da violação. As autoridades judiciais e a polícia já estão envolvidas para rastrear a origem do ataque, e o banco alerta os clientes para esperarem uma onda de tentativas de phishing que buscarão explorar a notícia da violação, recomendando que verifiquem qualquer mensagem suspeita por telefone com seu consultor, em vez de clicar em links.

O incidente ocorre na mesma semana em que a Binance revelou um ataque de 6,3 bilhões de dólares, o maior roubo de criptomoedas já registrado, mantendo o crime financeiro ligado a criptomoedas nas manchetes. Para os bancos, é um lembrete de que o risco de fornecedores agora é risco do próprio banco: a postura de segurança de um prestador de serviços pode se tornar o elo mais fraco nas defesas de uma instituição, independentemente da proteção de seus sistemas principais. A informação foi reportada por Bill Toulas, do BleepingComputer; o Crédit Mutuel Arkéa não havia respondido ao pedido de comentário do veículo até a publicação.