Fransız bankacılık grubu Crédit Mutuel Arkéa, suçluların kurumun kendi hesaplarından önemli fonları transfer etmesine olanak tanıyan bir siber saldırıyı doğruladı. Müdahale, üçüncü taraf bir hizmet sağlayıcısından kaynaklandı ve bankanın altyapısı dışındaki zayıflıkların finansal sistemleri ciddi güvenlik tehditlerine maruz bırakabileceğini ortaya koydu.
Olay, blokzincir araştırmacısı ZachXBT’nin kripto para borsa hesaplarıyla ilgili şüpheli para çekimleri bildirmesiyle Kasım 2026 başında kamuoyuna açıklandı. Saldırganların yaklaşık 118 milyon € (133 milyon dolar) çalındığını tahmin etti, ancak banka bu rakamı itiraz etti ve nihai kayıplarını henüz kanıtlamadı.
Crédit Mutuel Arkéa, 4 Kasım’daki saldırıyı kabul ederek bunu gelişmiş bir operasyon olarak tanımladı. Yaklaşık 5,8 milyon müşteriye hizmet veren ve 211,5 milyar € değerinde varlığa sahip olan kurum, olayın kontrol altına alındığını ve kurtarma çalışmalarının devam ettiğini söyledi.
Bankaya göre, saldırganlar dış bir hizmet sağlayıcı tarafından işletilen bir platform üzerinden erişim sağladı. İçeri girdikten sonra, Crédit Mutuel Arkéa’nın kendi hesabını kullanarak yetkisiz işlemler başlatarak diğer finansal kurumlara para aktarabildiler.
Çalınan fonlar daha sonra özel platformlar aracılığıyla kripto para haline dönüştürülmüş olabilir. ZachXBT, saldırganların USDC ve USDT stabilcoinlerini kullanarak varlıklarını çektiklerini ve 3 Kasım’a kadar yaklaşık 30 milyon doların zaten aklandığını iddia ettiğini bildirdi. Bu bulgular banka tarafından bağımsız olarak doğrulanmadı.
Crédit Mutuel Arkéa, çevrimiçi bankacılık yan kuruluşu Fortuneo’nun bu müdahaleden sorumlu olduğu yönündeki spekülasyonları reddetti. Ayrıca bankacılık grubundaki insan hatasını da dışladı, ancak hizmet sağlayıcıyı tehlikeye atmak için kullanılan teknik yöntemin kesin olarak açıklanmaması sağlanmadı.
Kurum, etkilenen bazı fonların engellendiğini ve ek iyileştirme önlemlerinin devam ettiğini doğruladı. İlgili tutarların önemli olduğunu kabul etti ancak kayıpların finansal istikrarını tehdit etmeyeceğini savundu.
Önemli olarak, saldırganlar sahte transferleri gerçekleştirmek için bireysel müşteri hesaplarına erişememişti. Banka, müşterilerin varlıklarının etkilenmediğini belirtti, ancak önlem kısıtlamaları bazı işlemleri geçici olarak geciktirdi.
Keşfin ardından Crédit Mutuel Arkéa, olay müdahale prosedürlerini etkinleştirdi ve daha fazla yetkisiz faaliyeti önlemek için sistemlerinin bazı bölümlerini askıya aldı. Bankacılık operasyonları daha sonra güçlendirilmiş güvenlik kontrolleri altında normale dönmeye başladı.
Örgüt, saldırganların sistemlerine nasıl girdiğini belirlemek ve sorumluları belirlemek için polis ve yargı makamlarıyla iş birliği yapıyor. Kamuoyuna açıklanan şüpheli bulunmadı.
Banka ayrıca müşterileri olayla ilgili kamuoyundan faydalanan olası oltalama girişimleri konusunda uyardı. Dolandırıcılar banka temsilcisi kimliğini taklit edip şifre, ödeme kartı bilgileri veya kimlik doğrulama kodları talep edebilir.
Soruşturma devam ederken, kesin mali zarar belirsizliğini koruyor. Bildirilen 133 milyon dolarlık rakam, kesin bir kayıp değil, dış bir tahmindir ve Crédit Mutuel Arkéa, aktarılan paranın ne kadarının geri kazanılacağını açıklamadı.