✨︎ Resumen (TL;DR):
- Crédit Mutuel Arkéa atribuye el acceso a la plataforma de un proveedor y reporta operaciones fraudulentas con fondos propios.
- El banco calcula unos 100 millones de euros afectados, pero mantiene abierta la evaluación del monto.
- La Fiscalía de París investiga el caso; Kraken y Crypto.com informaron de bloqueos de cuentas o fondos relacionados con el presunto robo.
Crédit Mutuel Arkéa estima que un ciberataque que permitió operaciones fraudulentas afectó unos 100 millones de euros. La entidad francesa atribuyó el acceso a la plataforma de un proveedor, afirmó que parte de los fondos fue bloqueada y sostuvo que los activos de sus clientes no resultaron afectados. La Fiscalía de París abrió una investigación.
El acceso pasó por la plataforma de un proveedor
En la comunicación sobre el incidente, difundida por AFP el 4 de noviembre, Arkéa explicó que los atacantes usaron una cuenta propia del banco para transferir dinero hacia otras entidades financieras. Después, el dinero se convirtió en criptomonedas mediante plataformas especializadas.
El grupo sostuvo que no se utilizaron cuentas de clientes de sus federaciones ni de sus filiales. También rechazó que Fortuneo, su banco en línea, hubiera sido la vía de entrada y descartó un error humano dentro de Arkéa como origen del ataque.
AFP no identificó al proveedor ni detalló cómo vulneraron su plataforma. La comunicación pública del banco sí indicó que algunas transferencias de clientes se ejecutaron con retraso después de las medidas adoptadas.
La versión de Arkéa distingue entre las operaciones fraudulentas con fondos propios y el dinero de sus clientes. La entidad sostiene que las cuentas de clientes no se utilizaron y que sus activos no fueron afectados.
Dos estimaciones todavía distintas
Los 100 millones de euros son una cifra provisional. AFP informó que Arkéa busca recuperar el dinero afectado y que la entidad todavía evalúa el monto total.
Antes de que el banco confirmara el ataque, ZachXBT, investigador de movimientos en cadenas de bloques, había identificado a Arkéa como la presunta entidad afectada.
Según Cointelegraph, elevó su estimación a más de 133 millones de dólares tras localizar otros 27 millones de dólares en retiros sospechosos, que se sumaron a una alerta inicial de más de 106 millones de dólares.
Los cálculos proceden de evaluaciones distintas. Arkéa no ha explicado si su cifra comprende exactamente los mismos movimientos rastreados por ZachXBT ni cómo refleja los fondos bloqueados. La estimación del investigador tampoco equivale a un importe final confirmado por el banco.
USDC y USDT son criptomonedas diseñadas para mantener una paridad con el dólar estadounidense. La alerta inicial mencionó retiros en ambos activos, cuando todavía no se conocía la identidad de la entidad afectada y la titularidad de las cuentas seguía sin confirmarse.
Fondos bloqueados e investigación abierta
Arkéa dijo que una parte del dinero fue bloqueada y que continúa trabajando para recuperarlo. No precisó cuánto quedó inmovilizado ni cuánto regresó a su poder. Bloquear fondos puede impedir nuevos movimientos, pero no significa por sí mismo que ya hayan sido devueltos.
Kraken y Crypto.com informaron por separado a Cointelegraph que habían restringido cuentas o bloqueado fondos relacionados con el presunto robo. Ambas plataformas aseguraron que sus propios sistemas seguían protegidos.
El banco avisó a las autoridades y a los supervisores después de detectar el ataque. También suspendió temporalmente algunas operaciones para impedir nuevos movimientos fraudulentos; estas comenzaron a reanudarse de manera gradual tras las comprobaciones de seguridad.
La Fiscalía de París abrió la investigación después de recibir una denuncia del grupo y encargó las pesquisas a la oficina francesa contra la ciberdelincuencia, informó AFP. El ataque no había sido reivindicado.
Arkéa advirtió a sus clientes sobre posibles intentos de suplantación relacionados con el incidente y les pidió no compartir contraseñas, datos bancarios ni códigos recibidos por SMS. Esa advertencia no confirma una filtración: AFP indicó que el banco no había reportado un robo de datos de clientes.
El monto final y la cantidad recuperada siguen pendientes, igual que la relación exacta entre el rastreo de ZachXBT y la cifra de Arkéa. Por ahora, la entidad sostiene que las operaciones fraudulentas involucraron fondos propios y que los activos de sus clientes no fueron afectados.
