Περίπου 118 εκατ. ευρώ φέρεται να αφαιρέθηκαν από τον γαλλικό τραπεζικό όμιλο Crédit Mutuel Arkéa, μέσω μιας εξελιγμένης επίθεσης που αξιοποίησε την πλατφόρμα εξωτερικού συνεργάτη. Τα χρήματα μεταφέρθηκαν σε άλλες τράπεζες και στη συνέχεια διοχετεύθηκαν μέσω ανταλλακτηρίων κρυπτονομισμάτων, σε μια υπόθεση που αναδεικνύει τους κινδύνους από την ελλιπή ασφάλεια της εφοδιαστικής αλυσίδας ψηφιακών υπηρεσιών.

Μία από τις μεγαλύτερες γνωστές οικονομικές απώλειες από κυβερνοεπίθεση σε ευρωπαϊκό χρηματοπιστωτικό οργανισμό αποκαλύφθηκε στη Γαλλία, με στόχο τον τραπεζικό όμιλο Crédit Mutuel Arkéa. Σύμφωνα με στοιχεία που συγκέντρωσε ο γνωστός ερευνητής blockchain ZachXBT, οι επιτιθέμενοι κατάφεραν να αποσπάσουν περίπου 133 εκατ. δολάρια (118 εκατ. ευρώ), πραγματοποιώντας δόλιες τραπεζικές μεταφορές και στη συνέχεια μετακινώντας τα χρήματα μέσω υποδομών ανταλλαγής κρυπτονομισμάτων.

Ο γαλλικός συνεταιριστικός τραπεζικός όμιλος, ο οποίος διαθέτει συνολικό ενεργητικό 211,5 δισ. ευρώ και εξυπηρετεί περισσότερους από 5,8 εκατομμύρια πελάτες, επιβεβαίωσε στις 4 Νοεμβρίου 2026 ότι υπήρξε θύμα κυβερνοεπίθεσης, η οποία επέτρεψε την εκτέλεση μη εξουσιοδοτημένων συναλλαγών.

Σε επίσημη ανακοίνωσή του ανέφερε ότι, μόλις εντοπίστηκε το περιστατικό, ενημέρωσε τις αρμόδιες εποπτικές και δικαστικές αρχές και προχώρησε σε προσωρινή αναστολή ορισμένων συναλλαγών, προκειμένου να αποτρέψει περαιτέρω παράνομες μεταφορές.

Παράλληλα, επιχείρησε να καθησυχάσει τους πελάτες του, διευκρινίζοντας ότι το περιστατικό δεν επηρεάζει τα περιουσιακά τους στοιχεία, αλλά έχει προκαλέσει καθυστερήσεις στην εκτέλεση ορισμένων μεταφορών.

Η διαδρομή των 133 εκατ. δολαρίων μέσω blockchain

Η υπόθεση άρχισε να αποκτά δημοσιότητα όταν ο ερευνητής blockchain ZachXBT εντόπισε ύποπτες κινήσεις κεφαλαίων σε λογαριασμούς κεντρικοποιημένων ανταλλακτηρίων κρυπτονομισμάτων (centralized exchanges).

Σύμφωνα με τις αναφορές του, την 1η Νοεμβρίου εντοπίστηκαν αναλήψεις άνω των 106 εκατ. δολαρίων από πολλαπλούς λογαριασμούς ανταλλακτηρίων, οι οποίοι φέρονται να συνδέονταν με έναν κοινό απειλητικό παράγοντα. Τα κεφάλαια είχαν τη μορφή των stablecoins USDC και USDT, δηλαδή ψηφιακών νομισμάτων που συνδέονται με την αξία του δολαρίου.

Στη συνέχεια, οι δράστες φέρονται να αντάλλαξαν μέρος των κεφαλαίων με Ethereum (ETH), να τα μετακίνησαν μέσω υπηρεσιών άμεσης ανταλλαγής κρυπτονομισμάτων και να μετέτρεψαν ένα μέρος τους σε Monero (XMR), ένα κρυπτονόμισμα με χαρακτηριστικά ενισχυμένης ιδιωτικότητας, που δυσχεραίνουν την παρακολούθηση των συναλλαγών.

Στις 3 Νοεμβρίου, ο ZachXBT εντόπισε επιπλέον αναλήψεις περίπου 27 εκατ. δολαρίων από τα ίδια δίκτυα λογαριασμών, ανεβάζοντας το συνολικό ποσό στα 133 εκατ. δολάρια.

Αρχικά, ο ερευνητής έκανε λόγο για επίθεση εναντίον ενός μεγάλου χρηματοπιστωτικού οργανισμού στη Δυτική Ευρώπη, χωρίς να αποκαλύψει την ταυτότητά του. Παράλληλα, σημείωσε ότι δεν θεωρεί υπεύθυνη τη βορειοκορεατική ομάδα Lazarus Group, με βάση τα χαρακτηριστικά των συναλλαγών και τις μεθόδους απόκρυψης των κεφαλαίων που παρατήρησε.

Μία ημέρα αργότερα, κατονόμασε την Crédit Mutuel Arkéa ως τον οργανισμό που φέρεται να υπέστη την οικονομική απώλεια.

Η παραβίαση μέσω εξωτερικού παρόχου

Ιδιαίτερο ενδιαφέρον παρουσιάζει ο τρόπος με τον οποίο οι επιτιθέμενοι κατάφεραν να πραγματοποιήσουν τις μεταφορές. Αρχικά, δημοσιογραφικές πληροφορίες συνέδεσαν την επίθεση με τη Fortuneo, την ψηφιακή τραπεζική υπηρεσία του ομίλου Arkéa.

Σύμφωνα με τον Γάλλο δημοσιογράφο Grégory Raymond, οι δράστες φέρονται να είχαν τη δυνατότητα να δρομολογούν μεταφορές μέσω της Fortuneo, ορίζοντας οι ίδιοι το όνομα του δικαιούχου. Η συγκεκριμένη προσέγγιση θα μπορούσε να τους επιτρέψει να παρακάμπτουν ελέγχους αντιστοίχισης στοιχείων αποστολέα και δικαιούχου, εφόσον οι λογαριασμοί που χρησιμοποιούνταν στα ανταλλακτήρια είχαν δημιουργηθεί με κατάλληλα παραποιημένα στοιχεία ταυτότητας.

Ωστόσο, η τράπεζα απέρριψε αυτό το σενάριο. Σε μεταγενέστερη διευκρίνισή της, η Crédit Mutuel Arkéa υποστήριξε ότι η επίθεση δεν πραγματοποιήθηκε μέσω των λογαριασμών πελατών των ομοσπονδιών ή των θυγατρικών της, ούτε υπήρξε αρχική παραβίαση μέσω της Fortuneo.

Αντίθετα, σύμφωνα με την επίσημη εκδοχή της, οι επιτιθέμενοι απέκτησαν πρόσβαση απευθείας στον τραπεζικό οργανισμό μέσω της πλατφόρμας ενός εξωτερικού παρόχου υπηρεσιών, χωρίς να αποκαλύψει την ταυτότητα του συνεργάτη ή τις τεχνικές λεπτομέρειες της παραβίασης.

Η τράπεζα χαρακτήρισε το περιστατικό ως εξελιγμένη εξωτερική επίθεση, η οποία έχει πλέον περιοριστεί, ενώ αρνήθηκε ότι οφείλεται σε ανθρώπινο λάθος από την πλευρά της. Οι εσωτερικές ομάδες ασφαλείας συνεργάζονται με τις δικαστικές και αστυνομικές αρχές για τη διερεύνηση της προέλευσης της επίθεσης και των μεθόδων που χρησιμοποιήθηκαν.

Το πραγματικό ύψος της ζημιάς παραμένει υπό διερεύνηση

Αν και το ποσό των 133 εκατ. δολαρίων έχει καταγραφεί από τον ZachXBT μέσω της ανάλυσης των συναλλαγών blockchain, η Crédit Mutuel Arkéa απέφυγε να επιβεβαιώσει επισήμως το ακριβές ύψος των απωλειών. Αναγνώρισε, ωστόσο, ότι το ποσό κινείται στην ίδια τάξη μεγέθους.

Σύμφωνα με την τράπεζα, μέρος των κεφαλαίων έχει ήδη δεσμευτεί, ενώ βρίσκονται σε εξέλιξη προσπάθειες για την ανάκτηση επιπλέον χρημάτων. Η τελική οικονομική αποτίμηση παραμένει ανοιχτή, καθώς εξετάζονται και άλλες πιθανές συναλλαγές, συμπεριλαμβανομένων εκείνων που ενδέχεται να πραγματοποιήθηκαν εκτός των δημόσια παρακολουθήσιμων δικτύων blockchain.

Ο όμιλος επισημαίνει επίσης ότι, παρά το σημαντικό ύψος της ζημιάς, το περιστατικό δεν απειλεί τη χρηματοοικονομική του σταθερότητα.

Προειδοποίηση για πιθανές επιθέσεις phishing

Μετά τη δημοσιοποίηση της κυβερνοεπίθεσης, η Crédit Mutuel Arkéa εξέδωσε προειδοποίηση προς τους πελάτες της για το ενδεχόμενο εμφάνισης νέων εκστρατειών phishing, οι οποίες θα μπορούσαν να αξιοποιήσουν την ανησυχία γύρω από το περιστατικό.

Συγκεκριμένα, κάλεσε τους πελάτες να μην αποκαλύπτουν στοιχεία σύνδεσης, κωδικούς πρόσβασης, αριθμούς καρτών ή κωδικούς επαλήθευσης που λαμβάνουν μέσω SMS. Διευκρίνισε, παράλληλα, ότι η σχετική προειδοποίηση έχει προληπτικό χαρακτήρα και δεν αποτελεί επιβεβαίωση παραβίασης προσωπικών δεδομένων πελατών.

Supply Chain Security: Ένας κρίσιμος κρίκος στην τραπεζική ασφάλεια

Η επίθεση στην Crédit Mutuel Arkéa αναδεικνύει με ιδιαίτερα εμφατικό τρόπο ότι η ασφάλεια ενός χρηματοπιστωτικού οργανισμού δεν εξαρτάται αποκλειστικά από τις δικές του υποδομές, τα εσωτερικά συστήματα και τις διαδικασίες ελέγχου πρόσβασης. Εξαρτάται σε μεγάλο βαθμό και από την ασφάλεια των εξωτερικών συνεργατών, των ψηφιακών πλατφορμών και των υπηρεσιών που αποτελούν μέρος της επιχειρησιακής του λειτουργίας.

Η πρόσβαση μέσω τρίτου παρόχου μπορεί να δημιουργήσει ένα εναλλακτικό σημείο εισόδου, το οποίο ενδέχεται να παρακάμψει παραδοσιακούς μηχανισμούς προστασίας, εφόσον δεν υπάρχουν επαρκείς έλεγχοι ταυτοποίησης, περιορισμοί δικαιωμάτων και συνεχής παρακολούθηση των συναλλαγών.

Στην προκειμένη περίπτωση, ιδιαίτερη σημασία έχει το γεγονός ότι η επίθεση δεν φαίνεται να βασίστηκε σε άμεση παραβίαση λογαριασμών πελατών, αλλά σε πρόσβαση σε τραπεζικές λειτουργίες μέσω εξωτερικής πλατφόρμας. Αυτό καθιστά κρίσιμη την ανάγκη για αυστηρότερη διαχείριση της πρόσβασης τρίτων, συνεχή αξιολόγηση των προμηθευτών, ελέγχους ακεραιότητας των συναλλαγών και μηχανισμούς έγκαιρου εντοπισμού ασυνήθιστης οικονομικής δραστηριότητας.

Σε ένα περιβάλλον όπου οι χρηματοπιστωτικές υπηρεσίες βασίζονται όλο και περισσότερο σε διασυνδεδεμένα οικοσυστήματα τεχνολογικών συνεργατών, η προστασία της εφοδιαστικής αλυσίδας (Supply Chain Security) δεν αποτελεί πλέον απλώς μια συμπληρωματική παράμετρο κυβερνοασφάλειας. Είναι βασική προϋπόθεση για τη διασφάλιση της οικονομικής ακεραιότητας, της επιχειρησιακής συνέχειας και της εμπιστοσύνης στο τραπεζικό σύστημα.