Co się wydarzyło
Według komunikatu banku, cytowanego przez MoneyVox, atakujący wykorzystali własny rachunek Crédit Mutuel Arkéa do przelewów do innych banków, co mogło następnie umożliwić zamianę środków na kryptowaluty. Bank mówi o „wyrafinowanym ataku z zewnątrz” i wyklucza błąd ludzki. Wejście prowadziło przez platformę dostawcy usług, której nie ujawniono; bank zaprzeczył, by atak przeszedł przez jego bank internetowy Fortuneo.
ZachXBT, który jako pierwszy opisał kradzież, ocenia ją na 118 mln euro (133 mln USD). Według BleepingComputer pierwsze nieautoryzowane wypłaty z kont na giełdach kryptowalut nastąpiły 1 listopada, a do 3 listopada wyprano około 30 mln USD. Zdaniem ZachXBT część tych środków dałoby się zamrozić, gdyby incydent ujawniono wcześniej. Bank podał, że część środków zablokowano i trwają działania, by odzyskać resztę.
Klienci odczuli opóźnienia przelewów; w aplikacji Fortuneo bank uprzedzał o zakłóceniach przelewów natychmiastowych i płatności Wero. Bank zapewnia, że incydent nie ma wpływu na środki klientów ani na jego stabilność finansową, i ostrzega przed phishingiem podszywającym się pod bank. Sprawę badają francuskie organy ścigania. Według CSO Online grupa obsługuje 5,8 mln klientów.
Najważniejsze ustalenia
- Wejście przez platformę dostawcy usług, którego nie ujawniono; celem był własny rachunek banku, nie rachunki klientów.
- Strata: około 118 mln euro (133 mln USD) według ZachXBT; bank potwierdza rząd wielkości, część środków zamrożono.
- Oś czasu: 1 listopada wypłaty z giełd, 2 listopada pierwsze doniesienia, 4 listopada komunikat banku.
- Około 30 mln USD wyprano do 3 listopada (szacunek ZachXBT).
- Skutki dla klientów: opóźnione przelewy, zakłócenia przelewów natychmiastowych i płatności Wero w Fortuneo.