Френската кооперативна банкова група Crédit Mutuel Arkéa е станала жертва на сложна кибератака, при която нападател е получил достъп до банковата мрежа през платформата на външен доставчик и е използвал сметка на самата институция за извършване на неоторизирани транзакции. Според оценка на блокчейн разследващия ZachXBT сумата може да достигне 118 млн. евро (около 133 млн. долара), но банката не потвърждава конкретния размер.
Информацията за инцидента се появи на 2 ноември, първоначално публикувана от ZachXBT. Според него ден по-рано е извършено мащабно неоторизирано изтегляне на средства от няколко централизирани криптоборси.
Разследващият съобщи, че откраднатите средства може да са били преобразувани в стейбълкойните USDC и USDT. Той предупреди и че липсата на публично оповестяване е позволила на нападателя да изпере около 30 млн. долара до 3 ноември – средства, които според него европейските правоохранителни органи биха могли да замразят при по-ранна реакция.
Първоначално ZachXBT не назова засегнатата организация.
Банката потвърди атаката и възстановява операциите
Crédit Mutuel Arkéa обяви официално инцидента на 4 ноември. Банката заяви, че атаката е овладяна и че операциите постепенно се връщат към нормалното си състояние.
В съобщението си финансовата институция уверява клиентите, че техните активи не са засегнати. Последиците от инцидента са довели до забавяне при изпълнението на определени преводи.
Crédit Mutuel Arkéa е голяма френска банкова група с над 5,8 милиона членове и активи в размер на 211,5 млрд. евро.
Въпреки уверенията за овладяване на ситуацията банката предупреди за повишен риск от фишинг атаки. Клиентите са призовани да бъдат внимателни при получаване на непоискани съобщения и да не предоставят чувствителна информация по телефон или електронна поща.
При съмнение за измама банката препоръчва съобщенията да бъдат проверявани чрез директно обаждане до личния банков консултант.
Проникване през платформа на доставчик
В отделна информационна страница Crédit Mutuel Arkéa разкрива повече подробности за механизма на атаката.
Според банката нападателят е проникнал в мрежата ѝ директно през платформата на външен доставчик на услуги. Финансовата институция изрично отхвърля възможността инцидентът да е свързан с Fortuneo.
Банката не посочва конкретната техническа слабост, която е позволила първоначалния достъп. Публично не е установено дали става дума за компрометирани идентификационни данни, уязвимост в платформата или друг механизъм.
След проникването атакуващият е използвал сметка на самата Arkéa, а не клиентски акаунти, за да инициира транзакции към други банкови организации. Средствата впоследствие са били преобразувани в криптовалути.
Това описание сочи към злоупотреба с достъп до банкови операции, а не към директно източване на индивидуални клиентски сметки.
Банката не потвърждава оценката за 118 млн. евро
Crédit Mutuel Arkéa не потвърждава конкретната сума, посочена от ZachXBT. В отговор на въпрос дали са откраднати 118 млн. евро, банката заявява, че не може да потвърди тази цифра, но признава, че финансовият мащаб на инцидента е значителен.
Според институцията част от средствата са били блокирани.
Arkéa отхвърля версията за човешка грешка от страна на банковите служители и определя случилото се като „сложна атака“.
Банката работи с правораздавателните органи и полицията за установяване на точния произход на атаката и използвания метод.
Сигурността на доставчиците остава критичен риск
Инцидентът показва как компрометирането на инфраструктура на външен доставчик може да създаде възможност за достъп до критични банкови операции.
Особено значим е фактът, че според банката нападателят е използвал нейна собствена сметка за извършване на транзакции. Това поставя акцент върху необходимостта от допълнителни механизми за контрол на финансовите операции, включително ограничения върху достъпа на доставчици, наблюдение на необичайни транзакции и своевременно блокиране на подозрителна активност.
Към момента остава неясно как точно е осъществено първоначалното проникване и каква част от оценените от ZachXBT средства са окончателно загубени. Банката не е публикувала пълния технически анализ на инцидента.
