El grupo bancario francés Crédit Mutuel Arkéa ha confirmado un ciberataque significativo que resultó en operaciones fraudulentas. Aunque el banco asegura que los fondos de los clientes están protegidos, se estima que se sustrajeron millones de dólares a través de transferencias a otras entidades y posterior conversión a criptomonedas. Este incidente subraya la complejidad de la seguridad financiera y el rastreo de activos digitales.
Cuando se discuten los ciberataques bancarios, la mente suele evocar escenarios de cuentas vacías o clientes sin acceso a su dinero. Sin embargo, la seguridad de una institución financiera es mucho más amplia que la aplicación de consulta de saldo. También depende de los procesos de autorización de operaciones, quién está facultado para ejecutarlas y los controles que se activan ante anomalías. En este contexto, una intrusión puede comprometer procesos específicos sin que ello implique directamente un riesgo para todos los ahorros de los clientes.
El caso más reciente nos sitúa en Francia, donde uno de sus grupos bancarios ha tenido que admitir un incidente de seguridad de considerable magnitud. Se trata de Crédit Mutuel Arkéa, una entidad con más de 5,8 millones de socios y clientes, que confirmó el 4 de noviembre haber sido víctima de un ciberataque que posibilitó la realización de operaciones fraudulentas. La posible escala es notable: el investigador de blockchain ZachXBT calcula que se sustrajeron más de 133 millones de dólares, equivalentes a unos 118 millones de euros. No obstante, el banco comunicó a Reuters que sus pérdidas serían menores y aún no ha revelado una cifra definitiva.
Para comprender cómo se descubrió este incidente, es necesario retroceder al 2 de noviembre. Ese día, ZachXBT alertó sobre movimientos sospechosos vinculados a una entidad europea cuya identidad aún no había revelado. El investigador amplió sus estimaciones en los días siguientes hasta identificar a Crédit Mutuel Arkéa el 4 de noviembre. En una aclaración oficial posterior, el grupo explicó que los atacantes accedieron a través de la plataforma de uno de sus proveedores, sin pasar por Fortuneo, su banco digital. Desde una cuenta propia de Arkéa, se ejecutaron transferencias hacia otras entidades bancarias, que luego pudieron facilitar la conversión del dinero a criptomonedas.
Qué sabemos del ataque y del dinero comprometido
Una de las peculiaridades de este caso es que es posible seguir parte del rastro del dinero sin conocer aún el alcance total del ataque. Inicialmente, ZachXBT identificó retiros que superaban los 106 millones de dólares y posteriormente localizó otros 27 millones. La investigación de Bitquery ofrece una segunda perspectiva: sus analistas rastrearon movimientos por 108,8 millones de dólares en USDC, distribuidos entre 15 direcciones de criptomonedas durante aproximadamente 21 horas. Sin embargo, la propia firma reconoció que no había podido identificar al titular de las cuentas ni verificar el importe total denunciado.
El seguimiento de estas operaciones también revela una dificultad adicional: rastrear los fondos no garantiza necesariamente su recuperación. Según Bitquery, los retiros se realizaron desde cuentas de Kraken, Crypto.com y OKX en USDC, una criptomoneda diseñada para mantener su valor cercano al dólar. Una parte considerable terminó convertida en ether, un activo que no puede ser bloqueado directamente por una entidad emisora. A pesar de esto, la investigación también ha identificado medidas de contención: Tether congeló aproximadamente 1,14 millones de dólares en USDT y Crypto.com confirmó a CoinDesk que había impedido nuevos movimientos de fondos relacionados con el incidente. Por el momento, se desconoce cuánto dinero podrá recuperarse.
Mientras los investigadores intentan reconstruir lo sucedido, hay otra cuestión que afecta directamente a los clientes: qué ha ocurrido con sus cuentas. Según Crédit Mutuel Arkéa, sus fondos permanecen protegidos porque los atacantes utilizaron una cuenta del propio grupo y no las de sus clientes. Las consecuencias operativas reconocidas se limitaron a retrasos en determinadas transferencias, y la entidad asegura que prácticamente todas las operaciones habían recuperado su funcionamiento durante la mañana del 4 de noviembre. También ha alertado sobre posibles intentos de phishing, una práctica mediante la cual los delincuentes buscan obtener información confidencial haciéndose pasar por entidades de confianza.
Este episodio ocurre en una semana en la que otras empresas europeas también han sido blanco de ataques informáticos. Varios supermercados de Bélgica, Suecia e Irlanda sufrieron alteraciones en sus sistemas de refrigeración, lo que obligó a retirar alimentos de la venta. Estos son incidentes distintos, sin una relación demostrada, pero evidencian hasta qué punto las operaciones cotidianas dependen de la tecnología. En el sector financiero, la Unión Europea aplicará a partir de enero de 2025 el reglamento DORA, que establece obligaciones para gestionar los riesgos tecnológicos, incluidos los relacionados con proveedores externos, y fortalecer la capacidad de las entidades para responder ante incidentes digitales.
