Iré actualizando la noticia si el banco o los investigadores dan más datos.

◢Qué ha pasado

El banco lo contó el 4 de noviembre en un comunicado y en una página de preguntas y respuestas¹. Los atacantes usaron la cuenta del propio Crédit Mutuel Arkéa para mandar transferencias a otras entidades bancarias, que después les habrían permitido convertir ese dinero en criptomonedas en plataformas especializadas. No usaron cuentas de clientes.

Al detectarlo, el banco suspendió por precaución algunas operaciones, de modo que ciertas transferencias de clientes se retrasaron. Dice que la casi totalidad volvió a funcionar en la mañana del 4 de noviembre y que el incidente está controlado.

◢Qué se sabe

• ▹Los atacantes entraron por la plataforma de un proveedor del banco, no por su filial online Fortuneo, como se había publicado. Lo dice el banco en su nota¹.
• ▹El dinero salió de la cuenta del banco, no de las de sus clientes. El banco asegura que el ataque no tiene consecuencias sobre sus ahorros.
• ▹Sobre los 118 millones de euros, el banco¹ no confirma la cifra, pero sí el "orden de magnitud". Parte del dinero se ha podido bloquear y hay otras acciones en marcha para recuperarlo.
• ▹Descarta un error humano en el banco y habla de un "ataque sofisticado" desde fuera. Trabaja con la policía y los jueces para saber el origen y cómo se hizo, y ha informado a los supervisores.
• ▹Avisa a sus clientes de que, tras ataques así, suelen subir los intentos de phishing, y les pide no dar datos por teléfono ni por correo.

◢Qué no se sabe

El banco no ha dicho qué proveedor era, qué servicio le daba ni cómo usaron su plataforma para llegar a la cuenta. Tampoco hay una cifra final de lo robado ni de lo recuperado, y nadie ha dicho públicamente quién está detrás. Según BleepingComputer², el banco no le había respondido todavía a sus preguntas.

◢Qué deja para una empresa normal

No hace falta ser un banco para que esto te toque. Lo que se repite en muchos ataques es que no entran por tu servidor, sino por alguien de confianza que ya tiene acceso: un proveedor, una herramienta conectada o una cuenta externa. Ya lo conté en los ataques no entran por el servidor.

Algunas preguntas que merece la pena hacerse esta semana:

1. ▹Haz una lista de los proveedores que pueden tocar tus sistemas o mover dinero, y de qué permisos tiene cada uno.
2. ▹Quita los accesos que ya no se usan y limita el resto a lo que necesitan de verdad.
3. ▹Pon límites y alertas a los pagos y transferencias que salen de tus cuentas, sobre todo los grandes o los que van a destinos nuevos.
4. ▹Si un proveedor sufre un incidente, ten claro quién te avisa y en cuánto tiempo. Ponlo en el contrato.
5. ▹Avisa a tu equipo y a tus clientes de que después de un ataque llegan los correos falsos. Si dudas de un mensaje, te sirve cómo saber si un correo es phishing.

Si quieres que tu plantilla sepa reconocer estos riesgos, incluido el de los proveedores, es parte de lo que trabajo en mis formaciones de ciberseguridad e IA.