La banca cooperativa francese Crédit Mutuel Arkéa ha dichiarato che gli aggressori hanno avuto accesso ai suoi sistemi attraverso la piattaforma di uno dei suoi fornitori di servizi, smentendo le informazioni secondo cui Fortuneo, la banca online del gruppo, fosse il punto di ingresso.

La banca ha fornito l'informazione in un comunicato in formato domanda e risposta pubblicato a Brest il 4 novembre alle 17:30, dopo un primo comunicato diffuso alle 13:00 dello stesso giorno. Il comunicato rispondeva alle domande della stampa su come si sia verificato l'attacco e chi ne sia stato interessato. Il comunicato ufficiale della banca è disponibile qui.

Crédit Mutuel Arkéa ha riferito che gli aggressori hanno utilizzato uno dei conti della stessa banca per inviare denaro ad altre banche. I fondi sarebbero stati poi convertiti in criptovalute tramite piattaforme specializzate.

Fortuneo Non Era il Punto di Ingresso

Alcune informazioni stampa avevano sostenuto che gli aggressori fossero entrati attraverso Fortuneo. Crédit Mutuel Arkéa ha respinto questa versione, dichiarando: «Nonostante quanto riportato, non vi è stata alcuna 'entrata' attraverso Fortuneo».

Gli aggressori hanno invece utilizzato la piattaforma di un fornitore di servizi per raggiungere direttamente Crédit Mutuel Arkéa, ha detto la banca, senza identificare il fornitore. La banca ha anche affermato che un errore umano interno non è responsabile dell'incidente, descrivendolo come «un attacco sofisticato dall'esterno» che è stato successivamente contenuto. Un'intruzione instradata attraverso la piattaforma di un fornitore, anziché attraverso i sistemi rivolti ai clienti della banca stessa, è il tipo di esposizione a terzi che le norme europee affrontano ora in modo esplicito: il Digital Operational Resilience Act dell'UE, in vigore da gennaio 2025, richiede agli istituti finanziari di gestire i rischi derivanti dai fornitori di servizi ICT e di segnalare gli incidenti maggiori alle autorità di vigilanza.

Secondo Crédit Mutuel Arkéa, gli aggressori non hanno utilizzato i conti dei clienti delle sue federazioni o controllate. La banca ha dichiarato che l'incidente non ha avuto conseguenze finanziarie per i clienti, anche se alcuni bonifici sono stati ritardati.

Come precauzione, il gruppo ha temporaneamente sospeso alcune transazioni. Quasi tutte le operazioni sono riprese nel corso della mattina, dopo il completamento dei controlli e l'adozione di misure di sicurezza aggiuntive.

Il gruppo ha detto di aver informato le autorità competenti e gli organismi di vigilanza. I suoi team stanno lavorando con le autorità giudiziarie e di polizia per determinare l'origine dell'attacco e le modalità della sua esecuzione.

La banca ha inoltre avvertito i clienti riguardo al phishing, precisando che incidenti di questo tipo sono spesso seguiti da un aumento dei tentativi di phishing volti a rubare informazioni personali e invitando i clienti a rimanere vigili.

Il seguente post è stato pubblicato da Crypto Banter su X il 4 novembre:

🚨FRENCH BANK ATTACK CONFIRMED: FORTUNEO HIT, $133M+ DRAINED INTO CRYPTO! New reporting confirms that @fortuneo , the online arm of Crédit Mutuel Arkéa, was targeted. Attackers issued transfers and moved the funds into crypto exchange accounts opened with forged identities.… pic.twitter.com/YemTytogpM — Crypto Banter (@crypto_banter) November 4, 2026

Il post è disponibile su X.

ZachXBT Traccia i Fondi Attraverso le Blockchain

ZachXBT, un investigatore on-chain indipendente noto per aver tracciato pubblicamente criptovalute rubate attraverso exchange e blockchain, ha segnalato per la prima volta l'exploit pubblicamente il 2 novembre. Ha stimato perdite superiori a 133 milioni di dollari e ha detto che l'importo potrebbe aumentare. Ha spiegato che l'attacco si è svolto nell'arco di diversi giorni e potrebbe aver incluso anche operazioni over-the-counter aggiuntive che potrebbero far salire il totale.

Secondo ZachXBT, l'aggressore ha scambiato USDC, una stablecoin ancorata al dollaro statunitense, con ETH e ha spostato gli asset tramite exchange istantanei tra cui WellWallet e Kyrrex. I fondi sono stati anche convertiti in Monero (XMR) tramite Wagyu e trasferiti in bridge su più blockchain. Gli exchange istantanei consentono agli utenti di scambiare rapidamente una criptovaluta con un'altra, spesso senza i controlli completi di identità richiesti dalle piattaforme più grandi. Monero è progettata in modo che mittenti, destinatari e importi non siano visibili sul suo registro pubblico, il che rende il tracciamento più difficile rispetto a blockchain trasparenti come Bitcoin o Ethereum.

ZachXBT ha detto di avere un «alto grado di fiducia» che il gruppo Lazarus della Corea del Nord non fosse responsabile dell'attacco. Crédit Mutuel Arkéa non ha indicato alcun sospettato.

La banca conta 12.073 dipendenti e più di 5,8 milioni di soci e clienti. Riporta attivi totali per 211,5 miliardi di euro (238,1 miliardi di dollari).

Interpellata su un possibile furto di 118 milioni di euro (133 milioni di dollari), Crédit Mutuel Arkéa ha declinato di confermare la cifra, affermando di poter validare solo l'ordine di grandezza. La banca ha detto che parte dei fondi è stata bloccata e che ulteriori azioni di recupero sono in corso.

Ha aggiunto che è troppo presto per fornire un importo definitivo, ma ha detto che le perdite «non sono in alcun modo tali da compromettere la solidità e la robustezza finanziaria» del gruppo. L'identità del fornitore di servizi utilizzato per ottenere l'accesso, l'importo finale esatto delle perdite e l'esito del lavoro della banca con le autorità giudiziarie e di polizia restano tutti da chiarire.

Fonte: CoinCentral