De Franse coöperatieve bank Crédit Mutuel Arkéa verklaarde dat aanvallers toegang kregen tot haar systemen via het platform van een van haar dienstverleners, en verwierp daarmee berichten dat Fortuneo, de online bank van de groep, de ingang was.

De bank verstrekten deze informatie in een vraag-en-antwoordverklaring die op 4 november om 17:30 uur in Brest werd uitgegeven, na een eerdere verklaring die om 13:00 uur was uitgebracht. De verklaring behandelde vragen over hoe de aanval plaatsvond en wie erdoor werden getroffen. De officiële verklaring van de bank is beschikbaar hier.

Crédit Mutuel Arkéa verklaarde dat de aanvallers een van de eigen rekeningen van de bank gebruikten om geld naar andere banken te sturen. Het geld kan vervolgens via gespecialiseerde platforms zijn omgezet in cryptocurrency.

Fortuneo Was Niet de Ingang

Sommige persberichten hadden beweerd dat de aanvallers binnendrongen via Fortuneo. Crédit Mutuel Arkéa verwierp die lezing en verklaarde: "Ondanks wat er is gemeld, was er geen 'toegang' via Fortuneo."

In plaats daarvan gebruikten de aanvallers het platform van een dienstverlener om Crédit Mutuel Arkéa direct te bereiken, aldus de bank. De dienstverlener werd niet bij naam genoemd. De bank verklaarde ook dat interne menselijke fouten niet de oorzaak van het incident waren, en omschreef het als "een geavanceerde aanval van buitenaf" die inmiddels is ingedamd. Een intranet via het platform van een leverancier, in plaats van de eigen klantsystemen van een bank, is precies het soort derdenrisico dat Europese regels nu expliciet adresseren: de Digital Operational Resilience Act van de EU, sinds januari 2025 van kracht, vereist dat financiële instellingen risico's van ICT-dienstverleners beheren en grote incidenten aan toezichthouders melden.

Volgens Crédit Mutuel Arkéa gebruikten de aanvallers geen klantrekeningen bij haar federaties of dochterondernemingen. De bank verklaarde dat het incident geen financiële gevolgen heeft voor klanten, hoewel sommige overboeckingen vertraagd waren.

Als voorzorgsmaatregel schortte de groep bepaalde transacties tijdelijk op. Vrijwel alle activiteiten werden in de loop van de ochtend hervat nadat controles waren afgerond en extra beveiligingsmaatregelen waren getroffen.

De groep verklaarde de relevante autoriteiten en toezichthouders te hebben geïnformeerd. De teams werken samen met justitiële en opsporingsautoriteiten om de oorsprong van de aanval en de wijze waarop deze werd uitgevoerd te achterhalen.

De bank waarschuwde klanten ook voor phishing. Zij verklaarde dat incidenten van dit type vaak gepaard gaan met een toename van pogingen tot phishing die gericht zijn op het stelen van persoonlijke gegevens, en riep klanten op waakzaam te blijven.

De volgende post werd op 4 november door Crypto Banter op X gepubliceerd:

🚨FRENCH BANK ATTACK CONFIRMED: FORTUNEO HIT, $133M+ DRAINED INTO CRYPTO! New reporting confirms that @fortuneo , the online arm of Crédit Mutuel Arkéa, was targeted. Attackers issued transfers and moved the funds into crypto exchange accounts opened with forged identities.… pic.twitter.com/YemTytogpM — Crypto Banter (@crypto_banter) November 4, 2026

De post is beschikbaar op X.

ZachXBT Volgt Fondsen Over Blockchains

ZachXBT, een onafhankelijke on-chain onderzoeker die bekendstaat om het publiekelijk traceren van gestolen cryptocurrency over exchanges en blockchains, signaleerde de aanval voor het eerst publiekelijk op 2 november. Hij schatte dat de verliezen meer dan 133 miljoen dollar bedroegen en verklaarde dat het bedrag kon oplopen. Hij verklaarde dat de aanval zich over meerdere dagen afspeelde en mogelijk ook extra OTC-transacties omvatte die het totaal verder konden verhogen.

Volgens ZachXBT ruilden de aanvallers USDC, een stablecoin gekoppeld aan de Amerikaanse dollar, in voor ETH en verplaatsten ze activa via instant exchanges zoals WellWallet en Kyrrex. Fondsen werden ook omgezet in Monero (XMR) via Wagyu en over meerdere blockchains gebrugd. Instant exchanges laten gebruikers snel de ene cryptocurrency voor de andere ruilen, vaak zonder de volledige identiteitscontroles die grotere platforms vereisen. Monero is zo ontworpen dat afzenders, ontvangers en bedragen niet zichtbaar zijn op de openbare ledger, wat tracing moeilijker maakt dan op transparante blockchains zoals Bitcoin of Ethereum.

ZachXBT verklaarde een "hoge mate van zekerheid" te hebben dat de Lazarus Group uit Noord-Korea niet verantwoordelijk was voor de aanval. Crédit Mutuel Arkéa heeft geen verdachten genoemd.

De bank heeft 12.073 werknemers en meer dan 5,8 miljoen leden en klanten. Zij meldt een totale balans van €211,5 miljard (238,1 miljard dollar).

Gevraagd of 118 miljoen euro (133 miljoen dollar) was gestolen, weigerde Crédit Mutuel Arkéa het bedrag te bevestigen en verklaarde zij alleen de orde van grootte te kunnen valideren. De bank verklaarde dat een deel van de fondsen was geblokkeerd en dat aanvullende herstelmaatregelen lopen.

Zij voegde daaraan toe dat het te vroeg is om een definitief bedrag te geven, maar dat de verliezen "op geen enkele manier de financiële kracht en soliditeit" van de groep zullen ondermijnen. De identiteit van de gebruikte dienstverlener, het exacte definitieve verlies en de uitkomst van de samenwerking van de bank met justitiële en opsporingsautoriteiten zijn nog onopgelost.

Bron: CoinCentral