Crédit Mutuel Arkéa werd slachtoffer van een geavanceerde cyberaanval waarbij hackers via een dienstverlener frauduleuze transacties tot 133 miljoen dollar uitvoerden.
De Franse coöperatieve bank Crédit Mutuel Arkéa is getroffen door een cyberaanval waarbij frauduleuze transacties ter waarde van maximaal 133 miljoen dollar werden uitgevoerd. Als gevolg hiervan moest de bank bepaalde systemen tijdelijk stilleggen. Volgens de bank gebruikte de aanvaller een eigen bankrekening om transacties naar andere financiële instellingen te initiëren, waarbij de tegoeden van klanten niet werden aangetast.
Crédit Mutuel Arkéa is een grote Franse bankengroep met meer dan 5,8 miljoen leden en een beheerd vermogen van 211,5 miljard euro. De eerste meldingen over het incident verschenen op 2 november, toen blockchainfraude-onderzoeker ZachXBT waarschuwde voor een grootschalige ongeautoriseerde opname van meerdere gecentraliseerde exchange-accounts, die een dag eerder had plaatsgevonden. Volgens deze onderzoeker zou de aanvaller tot 118 miljoen euro (ongeveer 133 miljoen dollar) hebben gestolen en dit hebben opgenomen in de vorm van USDC- en USDT-stablecoins zoals nader toegelicht door ZachXBT. Door het ontbreken van publieke bekendmaking kon de aanvaller tot 3 november ongeveer 30 miljoen dollar witwassen, een bedrag dat anders door EU-handhavingsinstanties bevroren zou zijn geweest.
Op 4 november maakte Crédit Mutuel Arkéa het incident openbaar en stelde klanten gerust dat de situatie inmiddels onder controle is en dat de bank haar activiteiten geleidelijk hervat. De bank benadrukte dat het incident geen impact heeft op de klanttegoeden, maar wel heeft geleid tot vertragingen bij de uitvoering van bepaalde overboekingen aldus de officiële verklaring. Tegelijkertijd waarschuwde de bank voor een verhoogd risico op phishing en adviseerde klanten om alert te blijven op ongewenste communicatie en geen gevoelige gegevens via telefoon of e-mail te delen. Verdachte berichten dienen altijd geverifieerd te worden door rechtstreeks contact op te nemen met een bankadviseur.
In een aparte FAQ lichtte de bank toe dat de aanvaller via het platform van een dienstverlener toegang tot het netwerk heeft gekregen, waarbij Fortuneo werd uitgesloten als betrokken partij. Vervolgens gebruikte de aanvaller een eigen rekening van Arkéa, niet de rekeningen van klanten, om transacties met andere banken uit te voeren en de gestolen gelden om te zetten in cryptocurrency. Hoewel de bank de door ZachXBT genoemde bedragen niet bevestigt, erkent zij dat het om een aanzienlijk bedrag gaat en dat een deel van de fondsen is geblokkeerd. Arkéa sluit menselijke fouten binnen de bank uit en kwalificeert het incident als een "geavanceerde aanval". De bank werkt momenteel samen met justitiële en politieautoriteiten om de precieze herkomst en werkwijze van de aanval te achterhalen.
