El grupo bancario francés Crédit Mutuel Arkéa ha confirmado un ciberataque que resultó en operaciones fraudulentas, con estimaciones de pérdidas que superan los 133 millones de dólares. El incidente, detectado por el investigador ZachXBT, involucró el acceso a través de la plataforma de un proveedor externo y la conversión de fondos a criptomonedas. Aunque la entidad asegura que los fondos de los clientes están protegidos, la investigación sobre el alcance total y la recuperación de los activos continúa.
Cuando se abordan los ciberataques a entidades bancarias, comúnmente se piensa en cuentas vaciadas o en la imposibilidad de los clientes para acceder a sus fondos. No obstante, la seguridad de una institución financiera abarca más allá de la aplicación de consulta de saldo. También involucra la autorización de operaciones, quién puede ejecutarlas y los controles de seguridad que se activan ante anomalías. En este contexto, una intrusión puede comprometer procesos específicos sin que ello implique directamente el riesgo de todos los ahorros de los clientes.
El caso más reciente conocido proviene de Francia, donde uno de sus grupos bancarios ha admitido un incidente de seguridad de considerable magnitud. Se trata de Crédit Mutuel Arkéa, una entidad con más de 5,8 millones de socios y clientes, que confirmó el 4 de noviembre haber sufrido un ciberataque que posibilitó la realización de operaciones fraudulentas. La posible magnitud es notable: el investigador de blockchain ZachXBT calcula que se sustrajeron más de 133 millones de dólares, equivalentes a unos 118 millones de euros. Sin embargo, el banco comunicó a Reuters que sus pérdidas serían menores y aún no ha proporcionado una cifra definitiva.
Para comprender cómo se hizo público este incidente, es necesario retroceder al 2 de noviembre. Ese día, ZachXBT alertó sobre movimientos sospechosos vinculados a una entidad europea cuya identidad aún no había revelado. El investigador amplió sus estimaciones durante los días siguientes hasta señalar a Crédit Mutuel Arkéa el 4 de noviembre. En una aclaración oficial posterior, el grupo explicó que los atacantes habían accedido a través de la plataforma de uno de sus proveedores, sin pasar por Fortuneo, su banco digital. Desde una cuenta propia de Arkéa, ejecutaron transferencias hacia otras entidades bancarias, lo que posteriormente facilitó la conversión del dinero a criptomonedas.
Una de las particularidades de este caso es que es posible seguir parte del rastro del dinero sin conocer aún el alcance completo del ataque. Inicialmente, ZachXBT identificó retiros superiores a 106 millones de dólares y posteriormente localizó otros 27 millones. La investigación de Bitquery ofrece una segunda perspectiva: sus analistas rastrearon movimientos por 108,8 millones de dólares en USDC, distribuidos entre 15 direcciones de criptomonedas durante aproximadamente 21 horas. No obstante, la propia firma reconoció no haber podido identificar al titular de las cuentas ni verificar el importe total reportado.
El seguimiento de estas operaciones también revela una dificultad adicional: rastrear los fondos no garantiza necesariamente su recuperación. Según Bitquery, los retiros se efectuaron desde cuentas de Kraken, Crypto.com y OKX en USDC, una criptomoneda diseñada para mantener su valor cercano al dólar. Una parte considerable se convirtió en ether, un activo que no puede ser bloqueado directamente por una entidad emisora. Sin embargo, la investigación también ha identificado medidas de contención: Tether congeló aproximadamente 1,14 millones de dólares en USDT y Crypto.com confirmó a CoinDesk que había impedido nuevos movimientos de fondos relacionados con el incidente. Por el momento, se desconoce cuánto dinero podrá recuperarse.
Mientras los investigadores intentan reconstruir lo sucedido, existe otra cuestión que afecta directamente a los clientes: qué ha ocurrido con sus cuentas. Según Crédit Mutuel Arkéa, sus fondos permanecen protegidos porque los atacantes utilizaron una cuenta del propio grupo y no las de sus clientes. Las consecuencias operativas reconocidas se limitaron a retrasos en determinadas transferencias, y la entidad asegura que prácticamente todas las operaciones habían recuperado su funcionamiento durante la mañana del 4 de noviembre. También ha advertido sobre posibles intentos de phishing, una práctica mediante la cual los delincuentes buscan obtener información confidencial haciéndose pasar por entidades de confianza.
Este episodio ocurre en una semana en la que otras empresas europeas también han sido objeto de ataques informáticos. Varios supermercados de Bélgica, Suecia e Irlanda sufrieron alteraciones en sus sistemas de refrigeración, lo que obligó a retirar alimentos de la venta. Estos son incidentes distintos, sin una relación demostrada, pero evidencian la dependencia de la tecnología en las operaciones cotidianas. En el sector financiero, la Unión Europea aplicará desde enero de 2025 el reglamento DORA, que establece obligaciones para la gestión de riesgos tecnológicos, incluidos los relacionados con proveedores externos, y para fortalecer la capacidad de las entidades para responder ante incidentes digitales.
