El ciberataque a la banca francesa deja hasta 133 millones de dólares desviados en Crédit Mutuel Arkéa. La entidad bretona confirma transferencias fraudulentas ejecutadas con su propia cuenta y sitúa el origen en la plataforma de un proveedor externo.
El eslabón que nadie audita: la plataforma del proveedor
Le pongo en contexto. No hay aquí un robo de datos ni una extorsión con ransomware: alguien entró por la puerta de servicio, ordenó movimientos reales entre entidades y convirtió el dinero en criptoactivos antes de que nadie pudiera congelarlo. El banco sostiene que los activos de los clientes no se han visto afectados, aunque admite retrasos en algunas transferencias y ha avisado de un repunte del phishing.
La cronología conocida es corta. Arkéa publicó el aviso el 4 de noviembre, describió el incidente como contenido y explicó que las operaciones se reanudaban de forma gradual tras verificar sistemas y aplicar medidas de seguridad reforzadas. El grupo avisó a las autoridades reguladoras en cuanto detectó la intrusión, según el comunicado difundido por la propia entidad. Un día antes, el rastreador ZachXBT había señalado retiradas no autorizadas en varias cuentas de exchange centralizadas.
El vector no es un empleado corrupto. La entidad descarta el error humano interno y apunta a la plataforma de un proveedor tercero; precisa, además, que no fue Fortuneo, su banco online, la vía de entrada. El eslabón débil está en el proveedor, no en la caja. Y ese eslabón rara vez se audita con la dureza con la que se audita al banco.
De USDC a Monero: las horas que borran el rastro
ZachXBT fue el primero en dar la voz de alarma: retirada no autorizada desde varias cuentas de exchange, con hasta 118 millones de euros movidos en stablecoins USDC y USDT. Su relato describe un lavado agresivo en menos de 24 horas: canje de USDC por ETH, traslado a casas de cambio instantáneas como WellWallet y Kyrrex, conversión a XMR a través de Wagyu y puentes entre cadenas para romper la trazabilidad.
Hay un dato que debería incomodar al supervisor europeo. Según BleepingComputer, la falta de comunicación pública permitió que el actor lavara unos 30 millones de dólares hasta el 3 de noviembre, cuando las autoridades todavía no habían podido reaccionar. La discreción del banco protegió al atacante mejor que al cliente. Arkéa no confirma la cifra de 118 millones y se limita a validar el orden de magnitud.
Un proveedor comprometido vale más que mil contraseñas: entra una vez, hereda las llaves y el banco le abre la puerta con su propio nombre.
Sobre la autoría, prudencia. ZachXBT descarta a Lazarus Group ‘con un alto grado de confianza’ por los indicadores de blanqueo, y su lectura es valiosa, pero no es un peritaje forense. No se equivoque conmigo: ninguna atribución seria se cierra con un tuit. La sección de ciberdelincuencia de la Fiscalía de París abrió investigación tras la denuncia del banco y la policía especializada dirige las pesquisas.
Lo veo así: la hipótesis más razonable es una banda financiera profesional con infraestructura propia de blanqueo, del ecosistema que orbita alrededor de grupos como FIN7 o Scattered Spider, y no un servicio de inteligencia. Reconozco que el patrón no es concluyente. Si aparece un componente estatal en la cadena, esta pieza habrá que releerla entera.
Nadie audita al fontanero con la misma lupa que al inquilino.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: ciberataque con manipulación de transacciones, no exfiltración de datos. La vía fue una plataforma de proveedor tercero y el abuso de la cuenta propia de la entidad para ordenar envíos a otras organizaciones bancarias; el dinero se convirtió en stablecoins y se mezcló mediante intercambios instantáneos y Monero. En la jerga del oficio, esto es una operación de cadena de suministro con capa financiera.
Agencias implicadas. En el lado atacante no hay atribución: quien ponga un nombre hoy está especulando. En el defensivo, Arkéa, sus autoridades de supervisión y regulación, la fiscalía de París y la policía especializada; Europol puede entrar por el canal de cooperación judicial si hay que congelar direcciones. Como terceros interesados, los emisores de stablecoins con capacidad de bloquear carteras, los exchanges y las firmas de análisis de cadena. El CNI no está implicado, pero el CCN-CERT y el Banco de España miran de reojo: lo que cae en Brest puede caer en Santander.
El punto débil de este análisis es la cifra. Arkéa no confirma los 118 millones y solo valida el orden de magnitud, de modo que el titular de 133 millones descansa sobre un investigador de cadena, no sobre una auditoría cerrada.
Nivel de clasificación estimado: Confidencial para el informe pericial que manejan banco y supervisor, Reservado para el intercambio con la autoridad judicial y Secreto para el detalle técnico del acceso al proveedor mientras la instrucción siga abierta. El precedente que todos citan es el robo del Bangladesh Bank en 2016: 81 millones de dólares salieron por la red SWIFT y Lazarus se llevó la fama. Antes, Carbanak había demostrado que un banco se vacía sin disparar un tiro. La novedad es la velocidad del lavado, no la audacia.
Lo que esto le dice al CNI sobre el proveedor de al lado
El reglamento europeo de resiliencia operativa digital, DORA, está en vigor desde enero de 2025 y obliga a las entidades a inventariar y probar a sus proveedores críticos. Las guías técnicas de ENISA marcan el camino que muchas entidades aplican ya. La norma, sin embargo, no impide lo que ocurrió en Brest: la puerta se abrió en un tercero, no en el banco.
En España el tejido está expuesto por la misma razón. Santander, BBVA, CaixaBank y Sabadell dependen de plataformas externas para pagos, medios de pago y servicios en la nube; la mayoría de los bancos españoles tiene ya integradas esas guías, pero el mapa de proveedores sigue siendo opaco fuera de los comités de riesgo. El CCN-CERT, dependiente del CNI, publica avisos y notas técnicas de lectura obligada: su catálogo de alertas es la mejor brújula disponible en abierto.
El ángulo que me interesa es otro, y lo he escrito varias veces. La trazabilidad del dinero se ha convertido en la verdadera contrainteligencia financiera. USDC, USDT, XMR y los puentes entre cadenas forman un circuito que ninguna policía europea cruza sola; hacen falta TRACFIN en Francia y SEPBLAC en España, y una cooperación que hoy va por detrás de la tecnología. Sostengo desde El quinto elemento que el próximo 11S empezará con un clic, y el sistema financiero es la primera infraestructura crítica que cae sin que suene una alarma.
Habrá que esperar al primer informe pericial de la fiscalía de París, previsiblemente a lo largo de 2027, y a la ronda supervisora de DORA que el Banco de España cerrará antes. Verá usted que ahí se aclara si Arkéa midió sus palabras por prudencia o por costumbre.
El dinero ya no duerme en un sótano: duerme en una cadena que casi nadie audita.
