Crédit Mutuel Arkéa, o cooperativă bancară franceză cu peste 5,8 milioane de membri, a anunțat că a fost victima unui atac cibernetic care a permis efectuarea de tranzacții frauduloase în valoare de aproximativ €100 milioane.
Incidentul a fost detectat și declarat sub control. Banca a suspendat temporar anumite tranzacții ca măsură de precauție, iar operațiunile au fost reluate progresiv în cursul dimineții de 4 noiembrie.
Activele clienților nu au fost afectate.
Constatări principale
– Atacatorii au accesat rețeaua băncii prin platforma unui furnizor de servicii extern, nu prin Fortuneo (filială a grupului), contrar unor relatări anterioare din presă.
– Hackerii folosit contul propriu al Crédit Mutuel Arkéa pentru a efectua tranzacții către alte instituții bancare și apoi au convertit fondurile în criptomonede.
– Banca nu confirmă cifra de 118 milioane de euro ($133 de milioane) vehiculată de ZachXBT, dar validează „ordinul de mărime”. Suma exactă era încă în curs de evaluare la data comunicatului.
– O parte din fonduri a fost blocată; alte acțiuni de recuperare erau în desfășurare.
– Banca exclude o eroare umană internă și descrie atacul drept „sofisticat, venit din exterior“.
– Echipele băncii lucrează cu autoritățile judiciare și polițienești pentru a stabili originea și modul de operare al atacului.
– Banca a avertizat că, în contextul unor astfel de atacuri, tentativele de phishing (mesaje frauduloase care încearcă să obțină date personale sau bancare) sunt frecvente, și a îndemnat clienții la vigilență sporită.
Cronologia incidentului
– 1 noiembrie 2026: ZachXBT, investigator specializat în fraude pe blockchain, semnalează retrageri neautorizate masive din mai multe conturi de pe platforme centralizate de schimb de criptomonede, suspectand implicarea unei entitati din UE, cu o pierdere estimată inițial la peste 106 milioane de dolari.
– 2 noiembrie 2026: ZachXBT publică o actualizare în care estimează totalul la peste 133 de milioane de dolari, după identificarea unor retrageri suplimentare de 27 de milioane de dolari. Entitatea vizată nu era numită public la acel moment. ZachXBT avertizează că absența unei raportari oficiale a permis spălarea a peste 30 de milioane de dolari care ar fi putut fi înghețați de autoritățile europene.
– 4 noiembrie 2026: Crédit Mutuel Arkéa publică comunicatul oficial, confirma că incidentul este sub control și că operațiunile se reiau.
Metoda de spălare a banilor, conform ZachXBT
– Fondurile furate au fost retrase sub formă de stablecoins USDC și USDT (tipuri de criptomonede cu valoare fixată la dolar).
– Atacatorul a schimbat agresiv USDC în ETH (Ether), a transferat fonduri prin platforme de schimb instant (WellWallet, Kyrrex și altele), a convertit sume în Monero (XMR, o criptomonedă orientată spre confidențialitate) prin serviciul Wagyu și a distribuit fondurile pe mai multe rețele blockchain.
– ZachXBT a precizat că, pe baza mai multor indicatori specifici metodei de spălare, atacatorul nu este, cu un grad ridicat de certitudine, grupul Lazarus (entitate nord-coreeană de hacking). Autorul atacului rămâne neidentificat.
– ZachXBT a publicat 15 adrese de portofele digitale asociate tranzacțiilor suspecte.
Impactul asupra clienților și stabilitatea financiară
– Banca afirmă că incidentul nu a produs nicio consecință financiară pentru clienții federațiilor și filialelor sale.
– Întârzierea în executarea unor ordine de transfer reprezintă singurul efect operațional raportat pentru clienți.
– Banca precizează că sumele implicate nu sunt de natură să afecteze sănătatea și soliditatea financiară a grupului.
– Banca a avertizat clienții să nu comunice niciodată datele personale sau bancare (identificator, parolă, număr de card, cod primit prin SMS) prin canale nesolicitate și să contacteze direct consilierul lor bancar în caz de dubiu.
Limitări și incertitudini
– Suma exactă furată nu a fost confirmată oficial la data comunicatelor; banca precizeaza că evaluarea era în curs.
– Estimările ZachXBT (până la 133 de milioane de dolari) sunt ale unui investigator privat și nu sunt confirmate de bancă; banca validează doar ordinul de mărime.
– Furnizorul de servicii prin care s-a realizat accesul nu este identificat public în sursele disponibile.
