El sector financiero europeo vuelve a estar en el punto de mira tras confirmarse un grave incidente de ciberseguridad que ha afectado al grupo bancario francés Crédit Mutuel Arkéa. Aunque las primeras estimaciones de la industria y de investigadores de blockchain como ZachXBT sitúan el volumen de las operaciones fraudulentas en torno a los 133 millones de dólares (unos 118 millones de euros), la entidad ha asegurado que sus pérdidas netas reales serán inferiores y que el dinero de los clientes particulares no se ha visto comprometido.
El vector de ataque: vulnerabilidad en terceros
Uno de los aspectos más críticos de este incidente radica en su origen. Los ciberdelincuentes no lograron vulnerar de forma directa los sistemas principales del banco ni de su filial digital, Fortuneo. En su lugar, el acceso se produjo a través de la plataforma de un proveedor externo, lo que pone de manifiesto los riesgos latentes en las cadenas de suministro tecnológicas del sector financiero.
Desde una cuenta propia de la entidad, los atacantes ejecutaron transferencias masivas hacia otros intermediarios financieros, culminando el proceso con la conversión de los fondos en criptomonedas (principalmente USDC y posteriormente ether) para dificultar su rastreo y confiscación.
Impacto, contención y el marco regulatorio DORA
A pesar de la magnitud de la brecha, las medidas de respuesta rápida permitieron cierta contención. Exchanges y emisores como Tether y Crypto.com intervinieron bloqueando parte de los fondos involucrados, aunque una porción significativa del dinero ya había sido convertida a activos más difíciles de recuperar.
Este ataque se suma a una reciente oleada de incidentes tecnológicos en infraestructuras europeas y resalta la pertinencia del reglamento DORA (Ley de Resiliencia Operativa Digital), en vigor desde enero de 2025, que endurece las obligaciones de las entidades financieras europeas en la gestión de riesgos asociados a proveedores tecnológicos externos.