Crédit Mutuel Arkéa: Κυβερνοεπίθεση με εκτιμήσεις άνω των $133 εκατ.
Τι συμβαίνει όταν οι εισβολείς δεν αδειάζουν λογαριασμούς πελατών, αλλά χρησιμοποιούν τον λογαριασμό της ίδιας της τράπεζας;
Η γαλλική Crédit Mutuel Arkéa επιβεβαίωσε στις 4 Νοεμβρίου 2026 κυβερνοεπίθεση που επέτρεψε παράνομες μεταφορές από λογαριασμό της ίδιας της τράπεζας. Ο ερευνητής συναλλαγών στο blockchain ZachXBT εκτιμά ότι αφαιρέθηκαν περισσότερα από 133 εκατ. δολάρια, ποσό που η τράπεζα δεν έχει επιβεβαιώσει. Σύμφωνα με την ίδια, τα περιουσιακά στοιχεία των πελατών δεν επηρεάστηκαν, ενώ το τελικό ύψος της ζημιάς παραμένει ανοιχτό.
Πώς έγινε η κυβερνοεπίθεση στην Crédit Mutuel Arkéa;
Οι εισβολείς πέρασαν από την πλατφόρμα εξωτερικού παρόχου υπηρεσιών και απέκτησαν πρόσβαση στην τράπεζα, σύμφωνα με την εξήγησή της που μεταφέρει το Bitcoin Magazine. Χρησιμοποίησαν δικό της λογαριασμό για να στείλουν χρήματα σε άλλες τράπεζες, από όπου ενδεχομένως έγινε μετατροπή τους σε κρυπτονομίσματα μέσω εξειδικευμένων πλατφορμών.
Η Arkéa διέψευσε δημοσιεύματα που τοποθετούσαν την είσοδο των επιτιθέμενων στη Fortuneo, τον διαδικτυακό τραπεζικό της βραχίονα. Χαρακτήρισε το περιστατικό εξελιγμένη εξωτερική επίθεση και όχι αποτέλεσμα ανθρώπινου λάθους. Ανέφερε επίσης ότι δεν χρησιμοποιήθηκαν λογαριασμοί πελατών των ομοσπονδιών ή των θυγατρικών της.
Εδώ θεωρούμε ότι βρίσκεται ένα από τα βασικά σημεία της υπόθεσης: η ασφάλεια μιας τράπεζας εξαρτάται και από τις συνδέσεις της με τρίτους. Σκεφτείτε μια πολυκατοικία με θωρακισμένη κεντρική είσοδο, αλλά πρόσβαση και από έναν συνεργαζόμενο χώρο. Ο έλεγχος μόνο της πρώτης πόρτας δεν αρκεί.
Πόσα χρήματα χάθηκαν και τι εντόπισε ο ZachXBT;
Το ποσό άνω των 133 εκατ. δολαρίων αποτελεί εκτίμηση του ZachXBT και όχι επιβεβαιωμένο τελικό απολογισμό της τράπεζας. Ο ερευνητής αρχικά ανέφερε ύποπτες αναλήψεις άνω των 106 εκατ. δολαρίων από λογαριασμούς κεντρικών ανταλλακτηρίων την 1η Νοεμβρίου, χωρίς να κατονομάσει το θύμα.
Κατά την ανάλυσή του, τα χρήματα αναλήφθηκαν σε USDC και USDT, δηλαδή stablecoins, κρυπτονομίσματα σχεδιασμένα να ακολουθούν μια σταθερή αξία. Στη συνέχεια ανταλλάχθηκαν με ether, το κρυπτονόμισμα του Ethereum, και μετακινήθηκαν μεταξύ διαφορετικών blockchain. Αργότερα εντόπισε επιπλέον αναλήψεις τουλάχιστον 27 εκατ. δολαρίων και κατονόμασε την Arkéa ως το φερόμενο θύμα.
Η τράπεζα δήλωσε ότι μπορεί να επιβεβαιώσει μόνο την τάξη μεγέθους, όχι το συγκεκριμένο ποσό. Το AFP μετέφερε προσωρινή εκτίμηση περίπου 100 εκατ. ευρώ, ενώ το Reuters ανέφερε δήλωσή της ότι οι απώλειες ήταν χαμηλότερες από 133 εκατ. δολάρια. Αυτές οι αναφορές δεν ισοδυναμούν με οριστική καταμέτρηση.
Τι έχει επιβεβαιωθεί για την ανάκτηση των χρημάτων;
Μέρος των χρημάτων έχει δεσμευτεί και γίνονται ενέργειες για την ανάκτηση των υπολοίπων, σύμφωνα με την Arkéa. Η τράπεζα ανέφερε ότι το περιστατικό τέθηκε υπό έλεγχο, οι λειτουργίες επανέρχονταν και ορισμένες συναλλαγές είχαν ανασταλεί προληπτικά, προκαλώντας καθυστερήσεις σε μεταφορές.
Δεν έχει ανακοινώσει πότε ξεκίνησε η επίθεση, ποιος βρίσκεται πίσω της ή αν αφαιρέθηκαν δεδομένα. Συνεργάζεται με δικαστικές και αστυνομικές αρχές και δήλωσε ότι ενημέρωσε τους επόπτες της μόλις εντόπισε το συμβάν. Υποστηρίζει επίσης ότι τα εμπλεκόμενα ποσά δεν απειλούν τη χρηματοοικονομική της υγεία.
Τι πρέπει να προσέξουν οι πελάτες;
Η συγκεκριμένη προειδοποίηση της τράπεζας προς τους πελάτες αφορά πιθανές απόπειρες ηλεκτρονικού ψαρέματος (phishing). Η διαβεβαίωση για τα χρήματά τους δεν αποκλείει προσπάθειες εξαπάτησης με πρόσχημα το περιστατικό.
Για τον αναγνώστη στην Ελλάδα, δεν προκύπτει από τις πηγές επίπτωση σε ελληνική τράπεζα. Εμείς πάντως κρατάμε τη διάκριση ανάμεσα σε όσα δηλώνει επίσημα η Arkéa και σε όσα αποδίδει η έρευνα του ZachXBT: ούτε το τελικό ποσό ούτε ολόκληρη η διαδρομή της επίθεσης έχουν επιβεβαιωθεί. Αυτά, μαζί με το ύψος των ανακτήσεων, είναι τα στοιχεία που παρακολουθούμε από εδώ και πέρα.