Cr\u00e9dit Mutuel Ark\u00e9a, grupo bancario franc\u00e9s con m\u00e1s de 5,8 millones de socios y clientes, confirm\u00f3 el 4 de noviembre que sufri\u00f3 un ciberataque que permiti\u00f3 realizar operaciones fraudulentas. Seg\u00fan la propia entidad, los atacantes entraron a trav\u00e9s de la plataforma de un proveedor. Es un escenario que interesa directamente a las empresas espa\u00f1olas, sobre todo a las del sector financiero sujetas a DORA.<\/p>\n
El caso sali\u00f3 a la luz el 2 de noviembre, cuando el investigador de blockchain ZachXBT alert\u00f3 de movimientos sospechosos relacionados con una entidad europea que a\u00fan no hab\u00eda identificado. El 4 de noviembre se\u00f1al\u00f3 a Cr\u00e9dit Mutuel Ark\u00e9a.<\/p>\n
En una aclaraci\u00f3n posterior, el grupo explic\u00f3 que los atacantes hab\u00edan accedido a trav\u00e9s de la plataforma de uno de sus proveedores, sin pasar por Fortuneo, su banco digital. Desde una cuenta propia de Ark\u00e9a ejecutaron transferencias hacia otras entidades bancarias, que despu\u00e9s pudieron facilitar la conversi\u00f3n del dinero a criptomonedas.<\/p>\n
El ataque no se centr\u00f3 en las cuentas de los clientes, sino en un proceso: c\u00f3mo se autorizan y ejecutan las transferencias y qu\u00e9 controles saltan cuando algo no encaja.<\/p>\n
El alcance econ\u00f3mico todav\u00eda no est\u00e1 claro. Las cifras que circulan proceden de analistas externos y no de la entidad:<\/p>\n
Seg\u00fan Bitquery, las retiradas se hicieron desde cuentas de Kraken, Crypto.com y OKX en USDC, y buena parte acab\u00f3 convertida en ether, un activo que una entidad emisora no puede bloquear directamente. Hubo algunas medidas de contenci\u00f3n: Tether congel\u00f3 aproximadamente 1,14 millones de d\u00f3lares en USDT y Crypto.com confirm\u00f3 a CoinDesk que hab\u00eda impedido nuevos movimientos de fondos relacionados con el incidente. Por ahora se desconoce cu\u00e1nto podr\u00e1 recuperarse.<\/p>\n
Cr\u00e9dit Mutuel Ark\u00e9a asegura que los fondos de sus clientes permanecen protegidos, porque los atacantes utilizaron una cuenta del propio grupo. Las consecuencias operativas reconocidas se limitaron a retrasos en determinadas transferencias, y seg\u00fan la entidad pr\u00e1cticamente todas las operaciones se hab\u00edan normalizado la ma\u00f1ana del 4 de noviembre. Tambi\u00e9n ha advertido de posibles intentos de phishing.<\/p>\n
Que los ahorros de los clientes no est\u00e9n afectados no resta gravedad al incidente. Un intruso con acceso a procesos de pago puede mover dinero de la propia entidad, y el da\u00f1o se mide en p\u00e9rdidas, reputaci\u00f3n y confianza, adem\u00e1s de en saldos de clientes.<\/p>\n
El caso llega en una semana en la que otras empresas europeas tambi\u00e9n han sufrido ataques. Varios supermercados de B\u00e9lgica, Suecia e Irlanda vieron alterados sus sistemas de refrigeraci\u00f3n y tuvieron que retirar alimentos de la venta. Son incidentes distintos, sin relaci\u00f3n demostrada, pero muestran hasta qu\u00e9 punto la operativa cotidiana depende de la tecnolog\u00eda.<\/p>\n
En el sector financiero, la Uni\u00f3n Europea aplica desde enero de 2025 el reglamento DORA. Establece obligaciones para gestionar los riesgos tecnol\u00f3gicos, incluidos los de proveedores externos, y para reforzar la capacidad de respuesta ante incidentes. Con un acceso a trav\u00e9s de un proveedor como punto de entrada, la gesti\u00f3n del riesgo de terceros pasa a ser un asunto central de seguridad.<\/p>\n
Con la informaci\u00f3n disponible, que procede de la entidad y de analistas externos y puede cambiar, hay varias revisiones razonables:<\/p>\n
En CGC Spain acompa\u00f1amos a equipos de seguridad, IT y cumplimiento en este tipo de revisiones: evaluaci\u00f3n del riesgo de terceros, an\u00e1lisis de controles sobre procesos cr\u00edticos y preparaci\u00f3n de la respuesta a incidentes, con la regulaci\u00f3n aplicable como referencia. Si quiere contrastar c\u00f3mo est\u00e1 su organizaci\u00f3n frente a un escenario similar, estaremos encantados de conversar.<\/p>\n