O banco francês Crédit Mutuel Arkéa foi alvo de um ciberataque que permitiu aos criminosos realizar transferências fraudulentas avaliadas em cerca de 100 milhões de euros. Os atacantes utilizaram uma conta da própria instituição e uma plataforma de um fornecedor externo para movimentar o dinheiro, sem comprometer as contas dos clientes.
O incidente levou a instituição a suspender temporariamente algumas operações e a reforçar os mecanismos de segurança. O banco garante que os clientes não sofreram perdas financeiras, mas o prejuízo definitivo continua por apurar. Parte dos fundos foi bloqueada e prosseguem as tentativas de recuperação do dinheiro desviado.
Segundo a Reuters, que divulgou novos detalhes a 5 de novembro, o caso destaca-se pela dimensão das transferências fraudulentas. Embora os ataques informáticos sejam uma ameaça recorrente para o setor financeiro, o desvio direto de montantes desta dimensão é menos habitual entre os grandes bancos europeus.
Atacantes utilizaram plataforma de fornecedor externo
Na comunicação oficial, publicada a 4 de novembro, o Crédit Mutuel Arkéa esclareceu que os atacantes utilizaram uma conta pertencente à própria instituição para transferir dinheiro para outros bancos.
O acesso foi conseguido através da plataforma de um prestador de serviços externo, cuja identidade não foi divulgada. O banco desmentiu também as informações que apontavam a Fortuneo, a sua subsidiária de banca digital, como possível porta de entrada.
As autoridades investigam o percurso do dinheiro transferido. Existe a possibilidade de parte dos fundos ter sido convertida em criptomoedas através de plataformas especializadas, embora essa circunstância não esteja confirmada.
A utilização de criptoativos poderia dificultar o acompanhamento das transferências e a recuperação do dinheiro. No entanto, o banco não revelou o destino final dos fundos nem o montante que poderá recuperar.
Clientes do Crédit Mutuel Arkéa não sofreram perdas financeiras
Apesar da dimensão do ataque, o banco garante que as contas e os ativos dos clientes permaneceram protegidos.
As medidas de segurança adotadas provocaram atrasos na execução de algumas transferências. Segundo a instituição, praticamente todas as operações tinham sido retomadas durante a manhã de 4 de novembro, após verificações adicionais.
O grupo rejeitou também a possibilidade de o incidente ter resultado de um erro humano interno. Descreveu a operação como um ataque externo sofisticado, mas não revelou os métodos utilizados para ultrapassar os mecanismos de proteção.
A instituição comunicou o incidente ao Banco Central Europeu, às autoridades francesas de supervisão bancária e às autoridades judiciais. O Ministério Público de Paris abriu uma investigação, conduzida pela polícia especializada em cibercriminalidade.
Ciberataque a banco francês expõe riscos dos fornecedores tecnológicos
O ciberataque ao banco francês coloca em evidência os riscos associados à utilização de plataformas externas para executar operações financeiras.
Os bancos dependem de fornecedores tecnológicos para processar pagamentos, transferências e outras atividades. Quando estas plataformas possuem acesso autorizado a sistemas bancários, uma falha de segurança pode permitir operações fraudulentas sem que os criminosos necessitem de comprometer diretamente as contas dos clientes.
A dependência de fornecedores externos também tem suscitado preocupações entre os reguladores europeus. Recentemente, a falha da Google Cloud que levou os reguladores a pedir explicações mostrou como problemas na infraestrutura de um prestador tecnológico podem afetar várias instituições financeiras. Embora os incidentes tenham origens distintas, ambos evidenciam os riscos associados à utilização de sistemas externos.
No caso do Crédit Mutuel Arkéa, está confirmado que os atacantes utilizaram a plataforma de um prestador externo. Não foi esclarecido se o acesso resultou de credenciais comprometidas, da exploração de uma vulnerabilidade ou de outro método.
O incidente evidencia também a importância de controlar as permissões concedidas a sistemas externos e de verificar as operações realizadas através dessas ligações. Estes mecanismos podem limitar as consequências de um acesso indevido, mesmo quando a infraestrutura principal do banco permanece protegida.
O Crédit Mutuel Arkéa afirma que os montantes envolvidos não colocam em causa a sua solidez financeira. A identidade dos responsáveis, o método utilizado e o valor definitivo do prejuízo continuam por esclarecer.
Outros artigos interessantes:
