Crédit Mutuel Arkéa calcula que el ciberataque que permitió operaciones fraudulentas afectó unos 100 millones de euros, informó AFP con base en una comunicación del banco francés. La entidad asegura que los atacantes llegaron a ella a través de la plataforma de un proveedor y que parte de los fondos pudo bloquearse. La evaluación continúa y los activos de sus clientes no se vieron afectados, según el grupo.
El acceso pasó por un proveedor, según el banco
En su versión de lo ocurrido, difundida por AFP el 4 de noviembre, Arkéa explicó que los atacantes utilizaron una cuenta propia del banco para hacer transferencias hacia otras entidades financieras. Después, el dinero fue convertido en criptomonedas mediante plataformas especializadas.
El grupo sostuvo que no se usaron cuentas de clientes de sus federaciones ni de sus filiales. También rechazó que el acceso se hubiera producido a través de Fortuneo, su banco en línea, y descartó un error humano dentro de Arkéa como origen del ataque. AFP no identificó al proveedor ni detalló cómo se vulneró su plataforma.
La distinción ayuda a entender la posición de la entidad: el banco reconoce operaciones fraudulentas con fondos propios, mientras afirma que el patrimonio de sus clientes permanece protegido. Su comunicado público indicó que algunas transferencias de clientes se ejecutaron con retraso tras las medidas adoptadas.
La cifra del banco y la estimación de ZachXBT
El cálculo de unos 100 millones de euros es provisional. AFP informó que Arkéa busca recuperar el dinero afectado y que la entidad aún evalúa el monto del ataque.
Antes de que el banco confirmara el ataque, el investigador de movimientos en cadenas de bloques ZachXBT había identificado a Arkéa como la presunta entidad afectada. Según Cointelegraph, elevó su estimación a más de 133 millones de dólares después de localizar otros 27 millones en retiros sospechosos, que se sumaron a una alerta inicial de más de 106 millones.
Esas cifras proceden de evaluaciones distintas. El banco no ha explicado si su cálculo comprende exactamente los mismos movimientos rastreados por el investigador ni cómo refleja los fondos bloqueados. La cifra de ZachXBT tampoco equivale a un importe final confirmado por Arkéa.
La alerta inicial mencionaba retiros en USDC y USDT, criptomonedas diseñadas para mantener una paridad con el dólar estadounidense. En ese momento no se conocía la identidad de la entidad afectada y la titularidad de las cuentas seguía sin confirmarse.
Gerardo Pavez
Fondos bloqueados e investigación abierta
Arkéa dijo que una parte del dinero fue bloqueada y que continúa trabajando para recuperarlo. No precisó qué cantidad quedó inmovilizada ni cuánto ha regresado a su poder. Bloquear fondos puede impedir nuevos movimientos, pero no significa por sí mismo que ya hayan sido devueltos.
Kraken y Crypto.com informaron por separado a Cointelegraph que habían restringido cuentas o bloqueado fondos relacionados con el presunto robo. Ambas plataformas aseguraron que sus propios sistemas seguían protegidos.
El banco señaló que avisó a las autoridades y a los supervisores tras detectar el ataque. También suspendió temporalmente algunas operaciones para impedir nuevos movimientos fraudulentos; estas comenzaron a reanudarse de forma gradual después de comprobaciones de seguridad.
La Fiscalía de París abrió una investigación tras recibir una denuncia del grupo y encargó las pesquisas a la oficina francesa contra la ciberdelincuencia, informó AFP. La agencia señaló que el ataque no había sido reivindicado.
Arkéa advirtió a sus clientes sobre posibles intentos de suplantación relacionados con el incidente y les pidió no compartir contraseñas, datos bancarios ni códigos recibidos por SMS. La advertencia no confirma una filtración: AFP indicó que el banco no había reportado un robo de datos de clientes.
