Javier Marquez
Editor - TechCuando hablamos de ciberataques a bancos, es fácil imaginar cuentas vaciadas o clientes que no pueden acceder a su dinero. Sin embargo, la seguridad de una entidad financiera abarca mucho más que la aplicación que utilizamos para consultar el saldo. También depende de cómo se autorizan las operaciones, de quién puede ejecutarlas y de qué controles entran en funcionamiento cuando algo no encaja. Es ahí donde el problema adquiere otra dimensión: una intrusión puede comprometer determinados procesos sin que eso signifique necesariamente que todos los ahorros de los clientes estén en peligro.
El último caso que hemos conocido nos lleva hasta Francia, donde uno de sus grupos bancarios ha tenido que reconocer un incidente de seguridad de considerable alcance. Hablamos de Crédit Mutuel Arkéa, una entidad con más de 5,8 millones de socios y clientes que confirmó hoy 4 de noviembre haber sufrido un ciberataque que permitió realizar operaciones fraudulentas. La magnitud potencial es notable: el investigador de blockchain ZachXBT estima que se sustrajeron más de 133 millones de dólares, unos 118 millones de euros. Sin embargo, el banco aseguró a Reuters que sus pérdidas serían inferiores y todavía no ha comunicado una cifra definitiva.
Para entender cómo salió a la luz este caso, tenemos que retroceder hasta el 2 de noviembre. Ese día, ZachXBT alertó de movimientos sospechosos relacionados con una entidad europea cuya identidad todavía no había revelado. El investigador amplió sus estimaciones durante los días siguientes hasta señalar a Crédit Mutuel Arkéa el 4 de noviembre. En una aclaración oficial posterior, el grupo explicó que los atacantes habían accedido a través de la plataforma de uno de sus proveedores, sin pasar por Fortuneo, su banco digital. Desde una cuenta propia de Arkéa ejecutaron transferencias hacia otras entidades bancarias, que posteriormente pudieron facilitar la conversión del dinero a criptomonedas.
Qué sabemos del ataque y del dinero comprometido
Una de las particularidades de este caso es que podemos seguir parte del recorrido del dinero sin conocer todavía el alcance completo del ataque. En un primer momento, ZachXBT identificó retiradas superiores a 106 millones de dólares y posteriormente localizó otros 27 millones. La investigación de Bitquery aporta una segunda perspectiva: sus analistas rastrearon movimientos por 108,8 millones de dólares en USDC, distribuidos entre 15 direcciones de criptomonedas durante unas 21 horas. Sin embargo, la propia firma reconoció que no había podido identificar al titular de las cuentas ni verificar el importe total denunciado.
El seguimiento de estas operaciones también permite comprender una dificultad añadida: rastrear los fondos no significa necesariamente poder recuperarlos. Según Bitquery, las retiradas se realizaron desde cuentas de Kraken, Crypto.com y OKX en USDC, una criptomoneda diseñada para mantener su valor próximo al dólar. Buena parte acabó convertida en ether, un activo que no puede ser bloqueado directamente por una entidad emisora. No obstante, la investigación también ha identificado medidas de contención: Tether congeló aproximadamente 1,14 millones de dólares en USDT y Crypto.com confirmó a CoinDesk que había impedido nuevos movimientos de fondos relacionados con el incidente. Por ahora, se desconoce cuánto dinero podrá recuperarse.
Mientras los investigadores intentan reconstruir lo sucedido, hay otra cuestión que afecta directamente a los clientes: qué ha pasado con sus cuentas. Según Crédit Mutuel Arkéa, sus fondos permanecen protegidos porque los atacantes utilizaron una cuenta del propio grupo y no las de sus clientes. Las consecuencias operativas reconocidas se limitaron a retrasos en determinadas transferencias, y la entidad asegura que prácticamente todas las operaciones habían recuperado su funcionamiento durante la mañana del 4 de noviembre. También ha advertido de posibles intentos de phishing, una práctica mediante la que los delincuentes buscan obtener información confidencial haciéndose pasar por entidades de confianza.
Este episodio llega en una semana en la que otras empresas europeas también han sufrido ataques informáticos. Varios supermercados de Bélgica, Suecia e Irlanda vieron alterados sus sistemas de refrigeración, lo que obligó a retirar alimentos de la venta. Son incidentes distintos, sin una relación demostrada, pero reflejan hasta qué punto las operaciones cotidianas dependen de la tecnología. En el sector financiero, la Unión Europea aplica desde enero de 2025 el reglamento DORA, que establece obligaciones para gestionar los riesgos tecnológicos, incluidos los relacionados con proveedores externos, y reforzar la capacidad de las entidades para responder ante incidentes digitales.
Imágenes | Crédit Mutuel Arkéa
Ver 0 comentarios