Un banco francés pierde unos 100 millones de euros en un ataque por un proveedor

Crédit Mutuel Arkéa, un grupo bancario cooperativo del oeste de Francia con más de 5,8 millones de clientes, confirmó el jueves 5 de noviembre que le faltan unos 100 millones de euros, cerca de 113 millones de dólares, tras un ciberataque en el que los atacantes entraron por la plataforma de uno de sus proveedores, según Reuters. El banco dijo que todavía no sabe cuánto podrá recuperar.

Los atacantes no tocaron cuentas de clientes. Usaron una cuenta del propio banco para transferir el dinero a otras entidades, desde donde pudo pasar a criptomonedas a través de plataformas especializadas, según el comunicado del grupo que citó la agencia AFP en Yahoo Finanzas. Expertos consultados por Reuters señalaron que es raro que un banco tradicional pierda dinero de esta forma, y Rafay Baloch, director de la empresa de seguridad RedSecLabs, lo calificó de inédito en Europa.

Cien millones o ciento dieciocho

El primero en dar la alarma fue ZachXBT, un investigador de cadenas de bloques que trabaja con seudónimo. El lunes 2 de noviembre avisó en Telegram de un robo en curso y después nombró al banco, contó The Record. Su cuenta, hecha a partir de los retiros en exchangesPlataforma en línea para comprar, vender y guardar criptomonedas, que por lo general custodia los fondos de sus clientes. de criptomonedas y de las operaciones de lavado, llegaba a 133 millones de dólares.

El diario bretón Le Télégramme publicó una cifra de 118 millones de euros, el equivalente de ese cálculo. El banco no la confirmó, pero dijo que validaba "el orden de magnitud" y dio su propia estimación provisoria "del orden de 100 millones de euros", según AFP. Franceinfo habló de "más de 100 millones". Ninguna cifra es definitiva, y el grupo dijo que es pronto para dar una pérdida final.

Tampoco hay acuerdo sobre cómo viajó el dinero. Reuters precisó que los fondos robados no estaban en criptomonedas y que pudieron convertirse después, y CSO Online recordó que los 133 millones de dólares son una conversión y que el banco no dijo en qué moneda estaban.

Medios franceses señalaron como puerta de entrada a Fortuneo, el banco en línea del grupo. Un vocero lo negó ante Reuters y dijo que ni Fortuneo ni sus clientes estuvieron involucrados. El banco tampoco nombró al proveedor y descartó un error humano. Habló de "un ataque sofisticado venido del exterior", un caso de ataque por la cadena de suministroEn ciberseguridad, los proveedores de software y servicios de los que depende una organización. Un ataque a uno de ellos llega a todos sus clientes, que confían en lo que ese proveedor les entrega., en el que se entra a una empresa a través de otra que le presta servicios.

La fiscalía de París investiga

La sección de cibercriminalidad de la fiscalía de París recibió la denuncia del grupo el miércoles 4 de noviembre y abrió una investigación por acceso fraudulento a un sistema informático en banda organizada, a cargo de la Oficina contra la Cibercriminalidad (OFAC) de la policía francesa, informó AFP. El banco avisó al Banco Central Europeo y a los supervisores franceses, y la Autoridad de Control Prudencial y de Resolución (ACPR) no quiso comentar, según Reuters.

Para los clientes, el efecto fue una demora. Algunas transferencias quedaron suspendidas por precaución y la aplicación estuvo caída varias horas. Nadie reivindicó el ataque y el banco no informó robo de datos personales, pero advirtió que puede haber intentos de phishingEngaño por correo, mensaje o sitio falso que imita a una entidad conocida para que la víctima entregue claves o datos o instale un programa. El dirigido se arma a la medida de una persona. que usen el caso como excusa. El grupo dijo que la pérdida no pone en riesgo su solvencia. Como referencia, ganó 230 millones de euros en el primer semestre del año.

Brasil ya vio esta puerta

En Latinoamérica, el caso más parecido ocurrió en Brasil en julio de 2025. C&M Software, una empresa que conecta a bancos y fintechEmpresa que usa tecnología digital para ofrecer servicios financieros, como pagos, cuentas, transferencias, créditos o inversiones, en general a través de una aplicación. con el Banco Central de Brasil para operar Pix y sus cuentas de reservaCuenta que cada banco o entidad financiera tiene en el banco central de su país. Por ahí pasan los pagos entre entidades, como los de Pix en Brasil, y en ella se mezclan fondos propios y de los clientes., fue la vía para vaciar parte de esas cuentas. La policía de São Paulo calculó en unos 541 millones de reales lo desviado solo de BMP, una de las afectadas, y detuvo a un empleado de C&M acusado de entregar su acceso, según CNN Brasil. Canaltech estimó el total en unos 800 millones de reales repartidos entre cuatro instituciones, que aseguraron que las cuentas de sus clientes no se vieron afectadas.

En los dos casos el dinero salió de cuentas de las propias entidades, no de las de sus clientes, y el acceso llegó por una empresa externa. Para un banco o una fintech de la región, el proveedor que puede ordenar pagos en su nombre merece el mismo control que su propio sistema.

Crédit Mutuel Arkéa todavía no dijo qué proveedor era ni cuánto pudo congelar.