Francuska grupa bankowa Crédit Mutuel Arkéa ujawniła dalsze szczegóły cyberataku, w którym chodzilo o kwotę szacowaną na około 133 miliony dolarów, podając, że napastnicy uzyskali dostęp do jej systemów poprzez zewnętrznego dostawcę usług i mogli część środków przenienie na kryptowaluty.

W aktualizacji opublikowanej 4 listopada bank wyjaśnił, że napastnicy wykorzystali platformę zewnętrznego dostawcy usług, aby uzyskać dostęp do jego systemów. Raz w środku wykorzystali konto należące do banku, aby przenieć środki do innych instytucji finansowych. Intruzje prowadzone przez zewnętrznych dostawców to uznany wzorzec ryzyka dla banków, które polegają na szeregu zewnętrznych platform i dostawców w kluczowych operacjach — zależność, która może poszerzyć ekspozycję instytucji poza jej własną infrastrukturę.

Incydent zwrócił uwagę na potencjalną rolę platform kryptowalutowych w przepływie skradzionych pieniędzy. Według informacji przekazanych przez Wu Blockchain, przeniesione środki mogły następnie zostać przewertowane na kryptowaluty za pośrednictwem wyspecjalizowanych platform. Dostępne szczegóły nie pozwalają jednak ustalić, jaka kwota — jeśli w ogóle — została ostatecznie przewertowana na aktywa cyfrowe. To otwarte pytanie ma znaczenie, ponieważ środki przepływające przez takie platformy mogą być trudniejsze do namierzenia i odzyskania, dlatego obserwatorzy często śledzą, czy w tego typu incydentach skradzione pieniądze trafiają do usług związanych z aktywami cyfrowymi.

Bank nie potwierdza dokładnej kwoty

Doniesienia mówiły o sumie 118 milionów euro, co odpowiada około 133 milionom dolarów. Crédit Mutuel Arkéa oświadczył, że nie może potwierdzić dokładnej kwoty, ale przyznał, że podawana suma ma właściwy rząd wielkości.

To rozróżnienie ma istotne znaczenie, ponieważ bank nie potwierdził niezależnie dokładnego wpływu finansowego ataku. Jego oświadczenie wskazuje raczej, że szeroko rozpowszechnione szacunki rynkowe są w ogólnym zarysie spójne ze skalą incydentu.

Bank podał również, że część dotkniętych środków została zablokowana i że trwają starania o ich odzyskanie. Oświadczenie nie określiło, ile środków zamrożono ani ile można ostatecznie odzyskać — dane, które będą kluczowe dla oceny końcowego kosztu incydentu, gdy bank przekaże dalsze aktualizacje.

Fortuneo i aktywa klientów nie zostały naruszone

Crédit Mutuel Arkéa zdementował doniesienia sugerujące, że napastnicy weszli do jego systemów przez Fortuneo, jego internetową spółkę bankową. Bank podkreślił, że aktywa klientów nie ucierpiały w incydencie i że zewnętrzny atak został opanowany. To wyjaśnienie zawęża pytanie o punkt wejścia do zewnętrznego dostawcy wskazanego w samym relacji banku, utrzymując uwagę na zewnętrznym kanale, przez który doszło do naruszenia, a nie na platformach klientowskich banku.

Chociaż prace nad odzyskaniem środków trwają, ujawnienia banku oddzielają raportowaną skalę finansową incydentu od potwierdzonego stanu środków klientów i opanowania naruszenia. Do wyjaśnienia pozostają główne kwestie: potwierdzona kwota straty, zamrożone i odzyskane kwoty oraz to, czy jakakolwiek część środków została rzeczywiście przewertowana na kryptowaluty.

Informacje podał Wu Blockchain, powołując się na oświadczenie banku z 4 listopada. Crédit Mutuel Arkéa przyznał się do orientacyjnej skali raportowanej straty 118 milionów euro, odmawiając potwierdzenia dokładnej kwoty.