Crédit Mutuel Arkéa, grupo bancario francés con más de 5,8 millones de socios y clientes, confirmó el 4 de noviembre que sufrió un ciberataque que permitió realizar operaciones fraudulentas. Según la propia entidad, los atacantes entraron a través de la plataforma de un proveedor. Es un escenario que interesa directamente a las empresas españolas, sobre todo a las del sector financiero sujetas a DORA.
Qué ha ocurrido en Crédit Mutuel Arkéa
El caso salió a la luz el 2 de noviembre, cuando el investigador de blockchain ZachXBT alertó de movimientos sospechosos relacionados con una entidad europea que aún no había identificado. El 4 de noviembre señaló a Crédit Mutuel Arkéa.
En una aclaración posterior, el grupo explicó que los atacantes habían accedido a través de la plataforma de uno de sus proveedores, sin pasar por Fortuneo, su banco digital. Desde una cuenta propia de Arkéa ejecutaron transferencias hacia otras entidades bancarias, que después pudieron facilitar la conversión del dinero a criptomonedas.
El ataque no se centró en las cuentas de los clientes, sino en un proceso: cómo se autorizan y ejecutan las transferencias y qué controles saltan cuando algo no encaja.
El dinero: rastrear no es recuperar
El alcance económico todavía no está claro. Las cifras que circulan proceden de analistas externos y no de la entidad:
- ZachXBT estima que se sustrajeron más de 133 millones de dólares (unos 118 millones de euros). Primero identificó retiradas superiores a 106 millones y después otros 27 millones.
- Bitquery rastreó movimientos por 108,8 millones de dólares en USDC, repartidos entre 15 direcciones de criptomonedas durante unas 21 horas. La propia firma reconoce que no pudo identificar al titular de las cuentas ni verificar el importe total denunciado.
- El banco dijo a Reuters que sus pérdidas serían inferiores, aunque no ha comunicado una cifra definitiva.
Según Bitquery, las retiradas se hicieron desde cuentas de Kraken, Crypto.com y OKX en USDC, y buena parte acabó convertida en ether, un activo que una entidad emisora no puede bloquear directamente. Hubo algunas medidas de contención: Tether congeló aproximadamente 1,14 millones de dólares en USDT y Crypto.com confirmó a CoinDesk que había impedido nuevos movimientos de fondos relacionados con el incidente. Por ahora se desconoce cuánto podrá recuperarse.
Impacto en clientes y mensaje para las empresas
Crédit Mutuel Arkéa asegura que los fondos de sus clientes permanecen protegidos, porque los atacantes utilizaron una cuenta del propio grupo. Las consecuencias operativas reconocidas se limitaron a retrasos en determinadas transferencias, y según la entidad prácticamente todas las operaciones se habían normalizado la mañana del 4 de noviembre. También ha advertido de posibles intentos de phishing.
Que los ahorros de los clientes no estén afectados no resta gravedad al incidente. Un intruso con acceso a procesos de pago puede mover dinero de la propia entidad, y el daño se mide en pérdidas, reputación y confianza, además de en saldos de clientes.
DORA y el riesgo de terceros
El caso llega en una semana en la que otras empresas europeas también han sufrido ataques. Varios supermercados de Bélgica, Suecia e Irlanda vieron alterados sus sistemas de refrigeración y tuvieron que retirar alimentos de la venta. Son incidentes distintos, sin relación demostrada, pero muestran hasta qué punto la operativa cotidiana depende de la tecnología.
En el sector financiero, la Unión Europea aplica desde enero de 2025 el reglamento DORA. Establece obligaciones para gestionar los riesgos tecnológicos, incluidos los de proveedores externos, y para reforzar la capacidad de respuesta ante incidentes. Con un acceso a través de un proveedor como punto de entrada, la gestión del riesgo de terceros pasa a ser un asunto central de seguridad.
Qué deberían hacer las empresas y cómo puede ayudar CGC
Con la información disponible, que procede de la entidad y de analistas externos y puede cambiar, hay varias revisiones razonables:
- Inventariar proveedores con acceso a procesos críticos, en especial pagos, y evaluar qué podrían ejecutar si su acceso se viera comprometido.
- Revisar los controles de autorización de operaciones: límites, doble validación, segregación de funciones y alertas ante patrones anómalos.
- Comprobar los requisitos contractuales y de seguridad exigidos a terceros, incluida la notificación de incidentes, y verificar que se cumplen.
- Ensayar la respuesta: coordinación con proveedores, comunicación a clientes y contención rápida, con ejercicios periódicos.
- Preparar a clientes y empleados ante el phishing que suele seguir a un incidente público.
En CGC Spain acompañamos a equipos de seguridad, IT y cumplimiento en este tipo de revisiones: evaluación del riesgo de terceros, análisis de controles sobre procesos críticos y preparación de la respuesta a incidentes, con la regulación aplicable como referencia. Si quiere contrastar cómo está su organización frente a un escenario similar, estaremos encantados de conversar.
Fuente: Xataka.
