Francuski bank spółdzielczy Crédit Mutuel Arkéa oświadczył, że atakujący uzyskali dostęp do jego systemów przez platformę jednego z dostawców usług, zaprzeczając doniesieniom, że punktem wejścia był Fortuneo, bank internetowy grupy.

Bank przekazał tę informację w oświadczeniu w formie pytań i odpowiedzi, opublikowanym w Breście 4 listopada o godz. 17:30, po wcześniejszym komunikacie wydanym tego samego dnia o godz. 13:00. Komunikat odpowiadał na pytania prasy dotyczące przebiegu ataku oraz zakresu jego skutków. Oficjalne oświadczenie banku jest dostępne tutaj.

Crédit Mutuel Arkéa oświadczył, że atakujący wykorzystali jedno z własnych kont banku do przelania środków do innych banków. Środki mogły następnie zostać wymienione na kryptowaluty za pośrednictwem wyspecjalizowanych platform.

Fortuneo Nie Było Punktem Wejścia

Część doniesień prasowych twierdziła, że atakujący dostały się do systemów przez Fortuneo. Crédit Mutuel Arkéa zaprzeczył tym relacjom, oświadczając: „Wbrew temu, co podano, nie doszło do «wejścia» przez Fortuneo”.

Bank oświadczył, że atakujący wykorzystali platformę dostawcy usług, aby dotrzeć bezpośrednio do Crédit Mutuel Arkéa. Nie ujawnił tożsamości dostawcy. Bank podał również, że wewnętrzny błąd ludzki nie był przyczyną incydentu, określając go jako „sofistykowany atak z zewnątrz”, który został już opanowany. Włamanie przeprowadzone przez platformę dostawcy, a nie przez własne systemy banku skierowane do klientów, to rodzaj ryzyka związanego z podmiotami trzecimi, który wprost adresują europejskie przepisy: obowiązujący od stycznia 2025 roku unijny akt w sprawie cyfrowej odporności operacyjnej (DORA) wymaga od instytucji finansowych zarządzania ryzykiem związanym z dostawcami usług ICT oraz raportowania poważnych incydentów organom nadzoru.

Według Crédit Mutuel Arkéa atakujący nie korzystali z kont klientów jego federacji ani spółek zależnych. Bank oświadczył, że incydent nie spowodował skutków finansowych dla klientów, choć część przelewów została opóźniona.

Ze względów ostrożności grupa tymczasowo wstrzymała niektóre transakcje. Niemal wszystkie operacje zostały wznowione w ciągu poranka po zakończeniu kontroli i wdrożeniu dodatkowych środków bezpieczeństwa.

Grupa oświadczyła, że powiadomiła właściwe organy i jednostki nadzorcze. Jej zespoły współpracują z organami sądowymi i ścigania w celu ustalenia źródła ataku oraz sposobu jego przeprowadzenia.

Bank ostrzegł również klientów przed phishingiem. Oświadczył, że po incydentach tego typu często następuje wzrost prób phishingu mających na celu kradzież danych osobowych i wezwał klientów do zachowania czujności.

Poniższy post został opublikowany przez Crypto Banter na X 4 listopada:

🚨FRENCH BANK ATTACK CONFIRMED: FORTUNEO HIT, $133M+ DRAINED INTO CRYPTO! New reporting confirms that @fortuneo , the online arm of Crédit Mutuel Arkéa, was targeted. Attackers issued transfers and moved the funds into crypto exchange accounts opened with forged identities.… pic.twitter.com/YemTytogpM — Crypto Banter (@crypto_banter) November 4, 2026

Post jest dostępny na X.

ZachXBT Śledzi Środki Między Blockchainami

ZachXBT, niezależny śledczy on-chain znany z publicznego śledzenia skradzionych kryptowalut na giełdach i blockchainach, po raz pierwszy publicznie zgłosił wykorzystanie luki 2 listopada. Oszacował, że straty przekroczyły 133 miliony dolarów i oświadczył, że kwota może wzrosnąć. Podkreślił, że atak trwał przez kilka dni i mógł obejmować dodatkowe transakcje pozagiełdowe (OTC), które mogą zwiększyć łączną sumę.

Według ZachXBT atakujący wymienili USDC, stablecoina powiązanego z dolarem amerykańskim, na ETH i przenosili środki przez natychmiastowe giełdy wymiany, w tym WellWallet i Kyrrex. Środki zostały również zamienione na Monero (XMR) przez Wagyu oraz przeniesione przez mostki między wieloma blockchainami. Natychmiastowe giełdy wymiany pozwalają użytkownikom szybko zamienić jedną kryptowalutę na inną, często bez pełnych weryfikacji tożsamości wymaganych przez większe platformy. Monero zostało zaprojektowane tak, aby nadawcy, odbiorcy i kwoty nie były widoczne w jego publicznym rejestrze, co utrudnia śledzenie w porównaniu z przejrzystymi blockchainami, takimi jak Bitcoin czy Ethereum.

ZachXBT oświadczył, że ma „wysoki stopień pewności”, że za atakiem nie stoi północnokoreańska grupa Lazarus. Crédit Mutuel Arkéa nie wskazał żadnych podejrzanych.

Bank zatrudnia 12 073 pracowników i ma ponad 5,8 miliona członków i klientów. Wykazuje łączne aktywa w wysokości 211,5 miliarda euro (238,1 miliarda dolarów).

Pytany, czy skradziono 118 milionów euro (133 miliony dolarów), Crédit Mutuel Arkéa odmówił potwierdzenia tej kwoty, oświadczając, że może potwierdzić jedynie rząd wielkości. Bank podał, że część środków została zablokowana i trwają dalsze działania odzyskowe.

Dodał, że jest za wcześnie na podanie ostatecznej kwoty, ale oświadczył, że straty „pod żadnym względem nie zagrażają sile finansowej i wypłacalności” grupy. Tożsamość dostawcy usług wykorzystanego do uzyskania dostępu, dokładna ostateczna wysokość straty oraz wyniki współpracy banku z organami sądowymi i ścigania pozostają nierozstrzygnięte.

Źródło: CoinCentral