Что банк установил о маршруте атаки
В первоначальном сообщении Crédit Mutuel Arkéa объявил о локализации инцидента и временной приостановке части операций. Позднее банк уточнил: атакующие прошли через платформу одного из его поставщиков услуг и получили доступ непосредственно к группе. Название подрядчика, технический способ проникновения и сроки компрометации в опубликованных заявлениях не раскрыты. Банк назвал атаку внешней и сложной, но расследование её происхождения продолжается.
Злоумышленники использовали собственный счёт Arkéa для переводов другим банкам. Это отличается от вывода средств непосредственно с клиентских счетов. Банк допускает, что такие переводы затем могли позволить конвертировать деньги в криптовалюту через специализированные площадки. Слово «могли» здесь существенно: официальный текст не подтверждает конкретные биржевые аккаунты, кошельки или цепочку каждой последующей операции.
Клиентские активы и работа переводов
По заявлению банка, активы клиентов его федераций и дочерних компаний не пострадали. Fortuneo не было точкой входа, несмотря на ранние сообщения об этом. Мера предосторожности затронула сроки исполнения части клиентских переводов; почти все операции возобновились утром 4 ноября после проверок и усиления защиты. Эти сведения относятся к состоянию, о котором сообщил сам банк, а не к независимому техническому аудиту.
В первом релизе Arkéa предупредил о возможных фишинговых сообщениях после инцидента. В последующем разъяснении банк назвал это профилактическим предупреждением, а не заявлением об утечке клиентских данных. Клиентам рекомендовано проверять сомнительные обращения через своего банковского консультанта и не передавать реквизиты, пароли или коды подтверждения по входящим запросам.
Почему оценка $133 млн не равна признанному ущербу
На прямой вопрос о €118 млн, или примерно $133 млн, Arkéa ответил, что не подтверждает эту цифру, но признаёт порядок величины. Точный финансовый результат ещё оценивается: часть средств удалось заблокировать, возврат другой части продолжается. Банк считает, что затронутые суммы не угрожают его финансовой устойчивости. Поэтому писать о подтверждённой краже именно $133 млн было бы преждевременно.
До заявления банка исследователь ZachXBT оценивал подозрительные выводы с централизованных бирж более чем в $133 млн. Bitquery отдельно проследила $108,8 млн в USDC, выведенных с аккаунтов Kraken, Crypto.com и OKX на 15 адресов Ethereum 1-2 ноября. Ончейн-движение показывает путь токенов, но само по себе не раскрывает владельца банковского счёта, источник фиатного перевода или итоговую чистую потерю Arkéa. Банковское подтверждение личности пострадавшего не делает все суммы из разных наборов данных взаимозаменяемыми.
Что предстоит установить расследованию
По сообщению AFP со ссылкой на прокуратуру Парижа, возбуждено расследование атаки на автоматизированную систему обработки данных, предположительно совершённой организованной группой. Это стадия расследования, а не установление личности атакующих или окончательная правовая оценка. Arkéa также сообщил о взаимодействии с компетентными и надзорными органами.
Следующие проверяемые вопросы касаются конкретного сервиса подрядчика, числа и маршрута мошеннических переводов, доли заблокированных средств и связи банковских операций с наблюдаемыми криптовалютными выводами. Пока банк не опубликовал эти данные, надёжнее разделять три уровня: подтверждённую атаку на его собственный счёт, заявленную возможность конвертации через криптоплатформы и независимые оценки ончейн-потоков.
