De Franse bankgroep Crédit Mutuel Arkéa heeft verdere details vrijgegeven over een cyberaanval met een geschat bedrag van ongeveer 133 miljoen dollar, waarbij aanvallers via een externe dienstverlener toegang tot de systemen kregen en mogelijk een deel van de gelden in cryptocurrency heeft overgebracht.

In een update van 4 november legde de bank uit dat de aanvallers het platform van een externe dienstverlener misbruikten om toegang tot haar systemen te verkrijgen. Eenmaal binnen gebruikten ze een rekening van de bank om gelden naar andere financiële instellingen over te maken. Inbraken via externe leveranciers vormen een bekend risicopatroon voor banken, die voor hun kernactiviteiten afhankelijk zijn van diverse externe platforms en leveranciers; die afhankelijkheid kan de blootstelling van een instelling buiten de eigen infrastructuur uitbreiden.

Het incident heeft de aandacht gevestigd op de mogelijke rol van cryptoplatforms bij het verplaatsen van het buitgemaakte geld. Volgens informatie die door Wu Blockchain is gemeld, kunnen de overgemaakte gelden vervolgens via gespecialiseerde platforms in cryptocurrency zijn omgezet. De beschikbare details laten echter niet zien hoeveel geld, indien al, uiteindelijk in digitale assets is omgezet. Die open vraag is relevant omdat geld dat via dergelijke platforms gaat moeilijker te traceren en terug te vorderen is; daarom volgen waarnemers bij dit soort incidenten vaak of gestolen geld digitale-assetdiensten bereikt.

Bank bevestigt exact bedrag niet

Berichten spreken van een bedrag van 118 miljoen euro, gelijk aan ongeveer 133 miljoen dollar. Crédit Mutuel Arkéa verklaarde het exacte cijfer niet te kunnen bevestigen, maar erkende dat het gerapporteerde bedrag van de juiste orde van grootte is.

Dat onderscheid is belangrijk omdat de bank de precieze financiële impact van de aanval niet onafhankelijk heeft bevestigd. Haar verklaring geeft slechts aan dat de brede gerapporteerde marktschatting globaal aansluit bij de omvang van het incident.

De bank meldde ook dat een deel van de getroffen gelden is geblokkeerd en dat de inspanningen om het geld terug te vorderen doorgaan. De verklaring gaf niet aan hoeveel is bevroren of uiteindelijk kan worden teruggevorderd; cijfers die bepalend zullen zijn voor het beoordelen van de uiteindelijke kosten zodra de bank verder update.

Fortuneo en klanttegoeden niet getroffen

Crédit Mutuel Arkéa verwierp berichten dat de aanvallers waren binnengekomen via Fortuneo, haar online bankierdochter. De bank benadrukte dat klanttegoeden niet door het incident zijn getroffen en dat de externe aanval was ingedamd. Die verduidelijking verschuift de vraag naar het toegangspunt terug naar de externe dienstverlener die de bank zelf noemde, waardoor de focus blijft liggen op het externe kanaal waarlangs de inbraak plaatsvond in plaats van op de klantgerichte platforms van de bank.

Hoewel de terugvorderingsinspanningen nog lopen, onderscheidt de openbaarmaking van de bank de gerapporteerde financiële omvang van het incident van de bevestigde status van klanttegoeden en het indammen van de aanval. De belangrijkste punten die nog moeten worden verduidelijkt, zijn het bevestigde verliesbedrag, de bevroren en teruggevorderde bedragen en of een deel van de gelden daadwerkelijk in cryptocurrency is omgezet.

De informatie is gemeld door Wu Blockchain, die verwees naar de openbaarmaking van de bank van 4 november. Crédit Mutuel Arkéa heeft de geschatte omvang van het gerapporteerde verlies van 118 miljoen euro erkend, maar weigerde een exact bedrag te bevestigen.