Hackers executam roubo de US$ 133 milhões contra banco francês via fornecedor de serviços
O Crédit Mutuel Arkéa sofreu um ataque sofisticado que entrou na rede do banco através da plataforma de um provedor de serviços terceirizado, permitindo transferências fraudulentas estimadas em 118 milhões de euros (cerca de US$ 133 milhões). Parte dos fundos foi convertida rapidamente em stablecoins (USDC/USDT) para dificultar o rastreamento, antes que autoridades europeias congelassem os ativos.
O banco cooperativo francês Crédit Mutuel Arkéa, com 5,8 milhões de associados, confirmou um incidente cibernético que resultou em transferências fraudulentas na ordem de US$ 133 milhões. A instituição descartou tanto falha humana quanto comprometimento da sua subsidiária Fortuneo, atribuindo o acesso a um "ataque sofisticado" que alcançou a rede diretamente por meio da plataforma de um fornecedor de serviços — ou seja, um ataque de cadeia de suprimentos (supply chain) em vez de phishing direto a clientes.
Por dentro, o esquema funcionou de forma relativamente simples uma vez obtido o acesso: os criminosos usaram a própria conta operacional do banco para iniciar transferências para outras instituições financeiras, e então converteram parte do dinheiro em stablecoins, contornando os controles tradicionais de rastreamento bancário (SWIFT/SEPA) e aproveitando a liquidez e velocidade das criptomoedas para mover valor através de fronteiras. Segundo o investigador independente ZachXBT, o atacante já havia lavado cerca de US$ 30 milhões até 3 de novembro, antes que a aplicação da lei europeia conseguisse congelar os ativos restantes.
O caso ilustra um padrão cada vez mais comum em fraude contra instituições financeiras: em vez de atacar o cliente final, o criminoso busca o elo mais fraco da cadeia — um fornecedor ou parceiro tecnológico com acesso privilegiado à rede do banco — e, uma vez dentro, explora os próprios mecanismos legítimos de movimentação de dinheiro da instituição. A conversão rápida para stablecoins é um agravante recorrente nesses casos, pois reduz a janela de reação das equipes de compliance e das autoridades.
Para mitigar esse tipo de risco, bancos e instituições financeiras devem tratar o acesso de fornecedores e integradores como superfície crítica de ataque, com segmentação de rede, monitoramento de anomalias de acesso privilegiado e controles de velocity em transferências para contas/destinos novos, incluindo alertas para conversões em exchanges de criptoativos. Clientes do banco devem ficar especialmente atentos a tentativas de phishing que costumam surgir após a divulgação pública de um incidente como este, quando criminosos se aproveitam da notícia para se passar pelo próprio banco.