Crédit Mutuel Arkéa confirma un ciberataque con 118 millones de euros en juego

Un ataque que entró por un proveedor externo

El grupo bancario explicó que los atacantes accedieron a través de la plataforma de uno de sus proveedores, sin pasar por Fortuneo, su banco digital. Desde una cuenta propia de Arkéa ejecutaron transferencias hacia otras entidades bancarias, que posteriormente pudieron facilitar la conversión del dinero a criptomonedas.

Este detalle es clave para entender el alcance del incidente: no se comprometieron cuentas de clientes, sino una cuenta interna del grupo. La entidad aseguró a Reuters que sus pérdidas serían inferiores a los 118 millones estimados y todavía no ha comunicado una cifra definitiva. La confirmación oficial llegó el mismo 4 de noviembre, después de que el investigador de blockchain ZachXBT señalara a la entidad como responsable de los movimientos sospechosos que había estado rastreando desde dos días antes.

El rastro del dinero: de bancos a criptomonedas

El investigador de blockchain ZachXBT fue quien alertó por primera vez el 2 de noviembre de movimientos sospechosos relacionados con una entidad europea cuya identidad no había revelado. Amplió sus estimaciones durante los días siguientes hasta señalar a Crédit Mutuel Arkéa el 4 de noviembre. En un primer momento, ZachXBT identificó retiradas superiores a 106 millones de dólares y posteriormente localizó otros 27 millones, lo que eleva su estimación total a más de 133 millones de dólares, unos 118 millones de euros.

La investigación de Bitquery aporta una segunda perspectiva: sus analistas rastrearon movimientos por 108,8 millones de dólares en USDC, distribuidos entre 15 direcciones de criptomonedas durante unas 21 horas. Sin embargo, la propia firma reconoció que no había podido identificar al titular de las cuentas ni verificar el importe total denunciado.

Las retiradas se realizaron desde cuentas de Kraken, Crypto.com y OKX en USDC, una criptomoneda diseñada para mantener su valor próximo al dólar. Buena parte del dinero acabó convertida en ether, un activo que no puede ser bloqueado directamente por una entidad emisora. Esta conversión dificulta la recuperación de los fondos, aunque se han tomado medidas de contención: Tether congeló aproximadamente 1,14 millones de dólares en USDT y Crypto.com confirmó a CoinDesk que había impedido nuevos movimientos de fondos relacionados con el incidente.

Impacto en los clientes y contexto europeo

Las consecuencias operativas para los clientes se limitaron a retrasos en determinadas transferencias. Según Crédit Mutuel Arkéa, prácticamente todas las operaciones habían recuperado su funcionamiento durante la mañana del 4 de noviembre. La entidad también ha advertido de posibles intentos de phishing, una práctica mediante la que los delincuentes buscan obtener información confidencial haciéndose pasar por entidades de confianza. Los ahorros de los clientes permanecen protegidos, según el banco, porque los atacantes utilizaron una cuenta del propio grupo y no las de sus clientes.

Este episodio llega en una semana en la que otras empresas europeas también han sufrido ataques informáticos. Varios supermercados de Bélgica, Suecia e Irlanda vieron alterados sus sistemas de refrigeración, lo que obligó a retirar alimentos de la venta. Son incidentes distintos, sin una relación demostrada, pero reflejan hasta qué punto las operaciones cotidianas dependen de la tecnología.

En el sector financiero, la Unión Europea aplica desde enero de 2025 el reglamento DORA, que establece obligaciones para gestionar los riesgos tecnológicos, incluidos los relacionados con proveedores externos, y reforzar la capacidad de las entidades para responder ante incidentes digitales. Este caso pone de manifiesto la relevancia de esa normativa, ya que el punto de entrada fue precisamente un proveedor.