Il contesto dei cyber‑attacchi alle banche

Quando si parla di attacchi informatici contro le banche, l’immagine più comune è quella di conti svuotati o clienti bloccati fuori dal proprio denaro. Tuttavia, la sicurezza di un’istituzione finanziaria comprende anche il modo in cui le operazioni vengono autorizzate, chi può eseguirle e quali controlli vengono attivati quando qualcosa non quadra.

In questo scenario, un’intrusione può compromettere processi specifici senza che tutti i risparmi dei clienti siano immediatamente a rischio. È proprio questa dimensione più profonda che rende l’attacco al Crédit Mutuel Arkéa particolarmente significativo.

Scoperta e sviluppo dell’incidente

Il caso è emerso il 2 novembre, quando lo studioso di blockchain noto come ZachXBT ha segnalato movimenti sospetti legati a una entità europea ancora non identificata. Nei giorni successivi, le sue stime hanno progressivamente indicato il gruppo bancario francese, con una conferma ufficiale rilasciata il 4 novembre da Crédit Mutuel Arkéa.

Secondo la dichiarazione del gruppo, gli aggressori sono riusciti ad accedere alla piattaforma di uno dei fornitori del banco, senza passare per Fortuneo, la sua banca digitale. Da un conto interno di Arkéa sono state effettuate trasferte verso altre banche, che a loro volta hanno facilitato la conversione dei fondi in criptovalute.

Come è avvenuto l’ingresso

    • Accesso tramite la piattaforma di un fornitore terzo.
    • Utilizzo di un conto interno di Arkéa, non dei clienti.
    • Trasferimento di fondi verso banche esterne.
    • Conversione successiva in stablecoin (USDC) e poi in ether.

Stime delle perdite e tracciamento dei fondi

Le cifre coinvolte sono notevoli. ZachXBT ha stimato che siano stati sottratti più di 133 milioni di dollari (circa 118 milioni di euro). Il banco, tuttavia, ha comunicato a Reuters che le perdite sarebbero inferiori e non ha ancora fornito un dato definitivo.

Il percorso dei fondi è stato parzialmente ricostruito:

    • Inizialmente, ZachXBT ha identificato ritiri superiori a 106 milioni di dollari.
    • Successivamente, ha localizzato altri 27 milioni.
    • Bitquery, un’azienda di analisi blockchain, ha tracciato movimenti per 108,8 milioni di dollari in USDC, distribuiti su 15 indirizzi diversi in un arco di 21 ore.

Bitquery non è riuscita a identificare i titolari delle conti né a verificare l’importo totale denunciato, ma ha fornito importanti indicazioni sulla natura delle transazioni.

Difficoltà nel recupero

Rintracciare i fondi non equivale a recuperarli. Le uscite sono state effettuate da conti su exchange come Kraken, Crypto.com e OKX, tutti in USDC, una stablecoin ancorata al valore del dollaro. Gran parte del denaro è stata poi convertita in ether, un asset che non può essere bloccato direttamente dall’emittente della stablecoin.

Le misure di contenimento finora adottate includono:

    • Congelamento di circa 1,14 milioni di dollari in USDT da parte di Tether.
    • Crypto.com ha confermato a CoinDesk di aver impedito ulteriori movimenti di fondi collegati all’incidente.

Al momento non è chiaro quanto denaro potrà effettivamente essere restituito.

Impatto sui clienti di Crédit Mutuel Arkéa

Il gruppo ha rassicurato i propri clienti affermando che i fondi dei titolari sono rimasti protetti, poiché gli aggressori hanno operato esclusivamente da un conto interno del gruppo, non dalle singole utenze dei clienti.

Le conseguenze operative si sono limitate a ritardi in alcune trasferte, ma la maggior parte delle operazioni è tornata alla normalità nella mattina del 4 novembre. La banca ha inoltre avvisato di possibili tentativi di phishing, in cui i truffatori si spacciano per enti affidabili per raccogliere informazioni sensibili.

Il contesto più ampio dei cyber‑attacchi in Europa

Questo episodio si inserisce in una settimana segnata da diversi attacchi informatici a imprese europee. Supermercati in Belgio, Svezia e Irlanda hanno subito interruzioni dei sistemi di refrigerazione, costringendo al ritiro di prodotti alimentari. Sebbene non vi sia ancora una dimostrazione di collegamento tra gli eventi, la serie di incidenti evidenzia la crescente dipendenza delle operazioni quotidiane dalla tecnologia.

Nel settore finanziario, l’Unione Europea ha introdotto, a partire da gennaio 2025, il regolamento DORA (Digital Operational Resilience Act). Questo quadro normativo impone alle istituzioni finanziarie obblighi specifici per gestire i rischi tecnologici, inclusi quelli legati a fornitori esterni, e per rafforzare la capacità di risposta a incidenti digitali.

Principali disposizioni di DORA

    • Valutazione e monitoraggio continuo dei rischi ICT.
    • Obbligo di piani di continuità operativa per fornitori terzi.
    • Segnalazione obbligatoria di incidenti di sicurezza alle autorità competenti.
    • Test di resilienza digitale periodici e audit indipendenti.

Prospettive future e lezioni apprese

Il caso Crédit Mutuel Arkéa dimostra come le vulnerabilità nella catena di fornitura possano fungere da porta d’ingresso per attacchi sofisticati. La dipendenza da piattaforme di terze parti richiede una vigilanza costante e l’adozione di controlli di sicurezza multilivello, inclusi sistemi di autenticazione forte e monitoraggio in tempo reale delle transazioni.

Inoltre, la natura delle criptovalute utilizzate – stablecoin e ether – evidenzia le nuove sfide per le autorità di regolamentazione, che devono trovare strumenti efficaci per bloccare o tracciare asset digitali altamente liquidi.

Infine, la risposta rapida di exchange come Crypto.com e di emittenti di stablecoin come Tether mostra che la cooperazione tra istituzioni finanziarie tradizionali e piattaforme di cripto‑asset è fondamentale per limitare i danni e aumentare le probabilità di recupero dei fondi.

In sintesi, mentre le banche europee si adeguano alle nuove normative di resilienza digitale, l’incidente di Crédit Mutuel Arkéa rimane un monito concreto: la sicurezza informatica non è più un optional, ma una componente critica della fiducia dei clienti e della stabilità del sistema finanziario.