Die französische Bankengruppe Crédit Mutuel Arkéa hat weitere Details zu einem Cyberangriff bekanntgegeben, bei dem ein Betrag von schätzungsweise rund 133 Millionen Dollar im Spiel ist. Nach Angaben der Bank drangen Angreifer über einen Drittanbieter in ihre Systeme ein und haben möglicherweise einen Teil der Gelder in Kryptowährungen verlagert.

In einem am 4. November veröffentlichten Update erklärte die Bank, dass die Angreifer die Plattform eines externen Dienstleisters ausnutzten, um Zugang zu ihren Systemen zu erhalten. Von dort aus nutzten sie ein Konto der Bank, um Gelder an andere Finanzinstitute zu überweisen. Eindringlinge über externe Anbieter sind ein bekanntes Risikomuster für Banken, die für ihre Kernprozesse auf eine Vielzahl externer Plattformen und Dienstleister angewiesen sind – eine Abhängigkeit, die das Risiko einer Institution über ihre eigene Infrastruktur hinaus ausweiten kann.

Der Vorfall hat die Aufmerksamkeit auf die mögliche Rolle von Kryptowährungsplattformen bei der Bewegung der gestohlenen Gelder gelenkt. Nach Informationen von Wu Blockchain könnten die überwiesenen Gelder anschließend über spezialisierte Plattformen in Kryptowährungen umgewandelt worden sein. Die verfügbaren Details belegen jedoch nicht, wie viel Geld, wenn überhaupt, letztlich in digitale Assets umgewandelt wurde. Diese offene Frage ist relevant, weil Gelder, die über solche Plattformen laufen, schwerer nachzuverfolgen und wiederzubeschaffen sind – weshalb Beobachter bei Vorfällen dieser Art häufig verfolgen, ob gestohlenes Geld zu Digital-Asset-Diensten gelangt.

Bank bestätigt exakten Betrag nicht

Berichten zufolge geht es um einen Betrag von 118 Millionen Euro, umgerechnet rund 133 Millionen Dollar. Crédit Mutuel Arkéa erklärte, die exakte Zahl nicht bestätigen zu können, räumte jedoch ein, dass der berichtete Betrag der richtigen Größenordnung entspricht.

Diese Unterscheidung ist bedeutsam, weil die Bank die genaue finanzielle Auswirkung des Angriffs nicht unabhängig bestätigt hat. Ihre Erklärung deutet vielmehr darauf hin, dass die weithin berichtete Marktschätzung grob mit dem Ausmaß des Vorfalls übereinstimmt.

Die Bank sagte auch, dass ein Teil der betroffenen Gelder blockiert wurde und die Bemühungen um Wiederbeschaffung andauern. Ihre Erklärung gab nicht an, wie viel eingefroren wurde oder letztlich zurückgeholt werden kann – Zahlen, die entscheidend dafür sein werden, die endgültigen Kosten des Vorfalls zu beziffern, sobald die Bank weitere Updates liefert.

Fortuneo und Kundengelder nicht betroffen

Crédit Mutuel Arkéa wies Berichte zurück, denen zufolge die Angreifer über Fortuneo, ihre Online-Banking-Tochter, in die Systeme eingedrungen waren. Die Bank betonte, dass Kundengelder von dem Vorfall nicht betroffen waren und dass der externe Angriff eingedämmt werden konnte. Diese Klarstellung verlagert die Frage nach dem Einstiegspunkt zurück auf den in der eigenen Darstellung der Bank genannten Drittanbieter und lenkt den Fokus auf den externen Kanal, über den der Angriff erfolgte, statt auf die kundengerichteten Plattformen der Bank.

Während die Wiederbeschaffungsbemühungen weiterlaufen, trennt die Offenlegung der Bank das berichtete finanzielle Ausmaß des Vorfalls von dem bestätigten Status der Kundengelder und der Eindämmung des Angriffs. Die noch offenen Punkte sind die bestätigte Verlustsumme, die eingefrorenen und wiederge_description in Kryptowährungen umgewandelt wurde.

Die Informationen stammen von Wu Blockchain, das sich auf die Offenlegung der Bank vom 4. November berief. Crédit Mutuel Arkéa hat die ungefähre Größenordnung des berichteten Verlusts von 118 Millionen Euro anerkannt, will aber einen exakten Betrag nicht bestätigen.