Bank verliert Millionen durch Angriff auf Service-Provider

Wie viel Geld genau abgeflossen ist, lässt Crédit Mutuel Arkéa offen. Die Summe von 118 Millionen Euro bestätigt die französische Genossenschaftsbank in einer FAQ ausdrücklich nicht, wohl aber die Größenordnung. Es handle sich um einen erheblichen Betrag, ein Teil davon sei inzwischen gesperrt.

Die Bankengruppe zählt über 5,8 Millionen Mitglieder und kommt auf ein Vermögen von 211,5 Milliarden Euro. Als Reaktion auf den Angriff setzte sie einzelne Systeme vorübergehend aus.

Einfallstor war ein externer Anbieter

Nach Darstellung von Arkéa verschafften sich die Angreifer über die Plattform eines Dienstleisters direkten Zugang zum Netzwerk der Bank. Um welchen Anbieter es sich handelt, sagt die Bank nicht.

Auffällig ist, was danach geschah: Kundenkonten rührten die Täter nicht an. Stattdessen lösten sie über ein Konto von Arkéa selbst Zahlungen an andere Banken aus und machten das Geld zu Kryptowährung. Einen Fehler von Mitarbeitern schließt die Bank aus und spricht von einem raffinierten Angriff.

Erst ZachXBT, dann die Bank

Dass etwas nicht stimmte, wurde zuerst durch ZachXBT bekannt. Der Ermittler, der sich auf Betrug rund um Blockchains spezialisiert hat, meldete am 2. November auf Telegram unautorisierte Abhebungen in großem Stil über mehrere Konten bei zentralen Kryptobörsen. Passiert sei das am 1. November, die Beute sei in die Stablecoins USDC und USDT geflossen.

Das Opfer nannte er zu diesem Zeitpunkt nicht. Er bemängelte aber, dass bislang niemand den Vorfall öffentlich gemacht habe. Dadurch hätten die Täter bis zum 3. November schon 30 Millionen US-Dollar waschen können, die Strafverfolger in der EU sonst hätten einfrieren können.

Arkéa selbst äußerte sich erst am 4. November. Laut der Mitteilung ist der Vorfall abgeschlossen und unter Kontrolle, der Betrieb fahre nach und nach wieder hoch. Auf das Geld der Kundschaft habe der Angriff keine Auswirkungen gehabt, lediglich manche Überweisungen seien später ausgeführt worden.

Kunden sollen bei Anrufen misstrauisch sein

Gleichzeitig rechnet die Bank damit, dass Betrüger den Vorfall für Phishing ausnutzen. Kunden sollen auf unerwartete Kontaktversuche nicht eingehen und weder am Telefon noch per E-Mail vertrauliche Daten preisgeben. Wer unsicher ist, soll direkt bei seinem Berater zurückrufen.

Wie der Angriff im Detail ablief und wer dahintersteckt, sollen nun Polizei und Justiz klären, mit denen Arkéa nach eigenen Angaben zusammenarbeitet. Eine Anfrage von Bleeping Computer zum Stand der Ermittlungen ließ die Bank bislang unbeantwortet.

(red)