El grupo bancario francés Crédit Mutuel Arkéa ha revelado más detalles sobre un ciberataque que involucra un monto estimado en aproximadamente 133 millones de dólares, e indicó que los atacantes accedieron a sus sistemas a través de un proveedor de servicios externo y que podrían haber movido parte de los fondos a criptomonedas.

En una actualización publicada el 4 de noviembre, el banco explicó que los atacantes aprovecharon la plataforma de un proveedor de servicios externo para ganar acceso a sus sistemas. Una vez dentro, utilizaron una cuenta perteneciente al banco para transferir fondos a otras instituciones financieras. Las intrusiones enrutadas a través de proveedores externos son un patrón de riesgo reconocido para los bancos, que dependen de una variedad de plataformas y proveedores externos para sus operaciones centrales, una dependencia que puede extender la exposición de una institución más allá de su propia infraestructura.

El incidente ha llamado la atención sobre el posible papel de las plataformas de criptomonedas en el movimiento del dinero robado. Según información reportada por Wu Blockchain, los fondos transferidos podrían posteriormente haber sido convertidos en criptomonedas a través de plataformas especializadas. Sin embargo, los detalles disponibles no establecen cuánto dinero, si es que hubo alguno, fue finalmente convertido en activos digitales. Esa pregunta abierta es importante porque los fondos que pasan por dichas plataformas pueden ser más difíciles de rastrear y recuperar, razón por la cual los observadores frecuentemente monitorean si el dinero robado llega a servicios de activos digitales en incidentes de este tipo.

El banco no confirma el monto exacto

Los reportes han situado la suma involucrada en 118 millones de euros, equivalente a aproximadamente 133 millones de dólares. Crédit Mutuel Arkéa dijo que no podía confirmar la cifra exacta, pero reconoció que el monto reportado era del orden de magnitud correcto.

La distinción es significativa porque el banco no ha confirmado de manera independiente el impacto financiero preciso del ataque. Su declaración indica, en cambio, que la estimación de mercado ampliamente difundida es en términos generales consistente con la escala del incidente.

El banco también dijo que parte de los fondos afectados había sido bloqueada y que los esfuerzos para recuperar el dinero continuaban. Su declaración no especificó cuánto había sido congelado ni cuánto podría finalmente recuperarse, cifras que serán centrales para evaluar el costo final del incidente una vez que el banco proporcione más actualizaciones.

Fortuneo y los activos de los clientes no se vieron afectados

Crédit Mutuel Arkéa rechazó los reportes que sugerían que los atacantes habían ingresado a sus sistemas a través de Fortuneo, su filial de banca en línea. El banco subrayó que los activos de los clientes no se vieron afectados por el incidente y que el ataque externo había sido contenido. Esa aclaración reduce la pregunta sobre el punto de entrada al proveedor externo mencionado en el propio relato del banco, manteniendo el foco en el canal externo a través del cual ocurrió la violación en lugar de las plataformas orientadas a los clientes del banco.

Si bien los esfuerzos de recuperación continúan, la divulgación del banco separa la escala financiera reportada del incidente del estado confirmado de los fondos de los clientes y del contenido de la violación. Los puntos principales que aún deben aclararse son la cifra confirmada de pérdidas, los montos congelados y recuperados, y si alguna porción de los fondos fue realmente convertida en criptomonedas.

La información fue reportada por Wu Blockchain, que citó la divulgación del banco del 4 de noviembre. Crédit Mutuel Arkéa ha reconocido la escala aproximada de la pérdida reportada de 118 millones de euros, aunque se negó a confirmar un monto exacto.