Un ciberatac a un banc francès alerta tot el sistema bancari europeu. Crédit Mutuel Arkéa, grup financer amb seu a Bretanya i propietari de la banca digital Fortuneo, ha estat víctima d'una intrusió informàtica que ha executat transferències fraudulentes per un import estimat de 118 milions d'euros.

La xifra, avançada pel diari Le Télégramme, encara no ha estat confirmada definitivament per l'entitat. Arkéa ha reconegut que l’import estaria al voltant de 100 milions d'euros, però assegura que una part dels fons ha pogut ser bloquejada i que treballa per recuperar-ne la resta. El grup confirma que l'incident està controlat i assegura que no ha afectat els comptes ni els dipòsits dels clients.

Les primeres informacions apuntaven a Fortuneo com a possible origen de l'atac, però Arkéa va desmentir aquesta hipòtesi. Segons la seva versió, els pirates van accedir als sistemes del grup a través de la plataforma d'un proveïdor extern. Des d'allà, van aconseguir operar sobre un compte propi de l'entitat i ordenar transferències cap a altres bancs, abans de canalitzar els diners cap a plataformes de criptomonedes.

La investigació haurà de determinar quina vulnerabilitat va permetre als atacants obtenir els permisos necessaris per executar operacions d'aquesta magnitud. La Fiscalia de París ha obert diligències per un presumpte atac a un sistema de tractament automatitzat de dades en banda organitzada, encomanades a l'Oficina Anticibercriminalitat.

Arkéa assegura que no es va accedir als comptes dels clients i que l'incident no compromet la seva solvència. El grup té aproximadament 5,8 milions de clients i uns actius de 211.500 milions d'euros. Segons les dades recollides per l'AFP, va obtenir un benefici net de 230 milions d'euros durant el primer semestre de 2026.

Tot i això, el cost final pot anar més enllà dels diners no recuperats: la investigació, el reforç dels sistemes de seguretat i el possible deteriorament de la confiança dels clients també tindran un impacte econòmic. Aquesta última qüestió és especialment sensible per a Fortuneo, que havia captat 180.000 clients nous durant el primer semestre, segons Le Monde.

Vulnerabilitat de la banca

El cas ha encès les alarmes perquè demostra que els bancs tradicionals també poden patir robatoris digitals de gran magnitud sense que els atacants hagin de vulnerar directament els comptes dels particulars. El punt feble hauria estat un proveïdor tecnològic extern, una dependència cada vegada més habitual en un sector financer altament digitalitzat i interconnectat.

L'incident posa a prova el Reglament europeu de resiliència operativa digital, aplicable des del 17 de gener de 2025. La normativa obliga bancs, asseguradores i altres institucions financeres a reforçar la ciberseguretat, controlar els riscos dels proveïdors tecnològics i millorar la capacitat de resposta davant incidents greus. La qüestió és fins a quin punt les entitats poden garantir la seguretat de totes les empreses i plataformes que intervenen en les seves operacions. El cas Arkéa evidencia que la protecció dels sistemes propis ja no és suficient si no es controla també tota la cadena tecnològica.

El rastre de les criptomonedes

L'atac arriba poc després d'un altre episodi de grans dimensions en el sector digital. El 29 d'octubre, Binance va patir un robatori d'actius digitals valorat en uns 6.340 milions de dòlars. Binance va comunicar el 3 de novembre que havia reposat el 98% dels actius afectats a 31 d'octubre i que havia aconseguit bloquejar o interceptar aproximadament 2.850 milions de dòlars.

Els dos casos són diferents, però comparteixen la capacitat dels atacants per moure grans quantitats de diners a través de múltiples infraestructures financeres. Les criptomonedes faciliten transferències internacionals ràpides i poden dificultar la recuperació dels fons, tot i que les transaccions deixen un rastre digital que permet seguir-ne els moviments.