Un ciberataque a un banco francés alerta a todo el sistema bancario europeo. Crédit Mutuel Arkéa, grupo financiero con sede en Bretaña y propietario de la banca digital Fortuneo, ha sido víctima de una intrusión informática que ha ejecutado transferencias fraudulentas por un importe estimado de 118 millones de euros.

La cifra, avanzada por el diario Le Télégramme, todavía no ha sido confirmada definitivamente por la entidad. Arkéa ha reconocido que el importe estaría alrededor de 100 millones de euros, pero asegura que una parte de los fondos ha podido ser bloqueada y que trabaja para recuperar el resto. El grupo confirma que el incidente está controlado y asegura que no ha afectado a las cuentas ni a los depósitos de los clientes.

Las primeras informaciones apuntaban a Fortuneo como posible origen del ataque, pero Arkéa desmintió esta hipótesis. Según su versión, los piratas accedieron a los sistemas del grupo a través de la plataforma de un proveedor externo. Desde allí, consiguieron operar sobre una cuenta propia de la entidad y ordenar transferencias hacia otros bancos, antes de canalizar el dinero hacia plataformas de criptomonedas.

La investigación deberá determinar qué vulnerabilidad permitió a los atacantes obtener los permisos necesarios para ejecutar operaciones de esta magnitud. La Fiscalía de París ha abierto diligencias por un presunto ataque a un sistema de tratamiento automatizado de datos en banda organizada, encomendadas a la Oficina Anticibercriminalidad.

Arkéa asegura que no se accedió a las cuentas de los clientes y que el incidente no compromete su solvencia. El grupo tiene aproximadamente 5,8 millones de clientes y unos activos de 211.500 millones de euros. Según los datos recogidos por la AFP, obtuvo un beneficio neto de 230 millones de euros durante el primer semestre de 2026.

Sin embargo, el coste final puede ir más allá del dinero no recuperado: la investigación, el refuerzo de los sistemas de seguridad y el posible deterioro de la confianza de los clientes también tendrán un impacto económico. Esta última cuestión es especialmente sensible para Fortuneo, que había captado 180.000 clientes nuevos durante el primer semestre, según Le Monde.

Vulnerabilidad de la banca

El caso ha encendido las alarmas porque demuestra que los bancos tradicionales también pueden sufrir robos digitales de gran magnitud sin que los atacantes tengan que vulnerar directamente las cuentas de los particulares. El punto débil habría sido un proveedor tecnológico externo, una dependencia cada vez más habitual en un sector financiero altamente digitalizado e interconectado.

El incidente pone a prueba el Reglamento europeo de resiliencia operativa digital, aplicable desde el 17 de enero de 2025. La normativa obliga a bancos, aseguradoras y otras instituciones financieras a reforzar la ciberseguridad, controlar los riesgos de los proveedores tecnológicos y mejorar la capacidad de respuesta ante incidentes graves. La cuestión es hasta qué punto las entidades pueden garantizar la seguridad de todas las empresas y plataformas que intervienen en sus operaciones. El caso Arkéa evidencia que la protección de los sistemas propios ya no es suficiente si no se controla también toda la cadena tecnológica.

El rastro de las criptomonedas

El ataque llega poco después de otro episodio de grandes dimensiones en el sector digital. El 29 de octubre, Binance sufrió un robo de activos digitales valorado en unos 6.340 millones de dólares. Binance comunicó el 3 de noviembre que había repuesto el 98% de los activos afectados a 31 de octubre y que había conseguido bloquear o interceptar aproximadamente 2.850 millones de dólares.

Los dos casos son diferentes, pero comparten la capacidad de los atacantes para mover grandes cantidades de dinero a través de múltiples infraestructuras financieras. Las criptomonedas facilitan transferencias internacionales rápidas y pueden dificultar la recuperación de los fondos, aunque las transacciones dejan un rastro digital que permite seguir sus movimientos.