Hackers desviam R$ 615 milhões de banco francês em ataque a fornecedor de TI
Invasores comprometeram plataforma de parceiro externo do Crédit Mutuel Arkéa para acessar contas próprias da instituição e transferir cerca de € 100 milhões.
O grupo bancário cooperativo francês Crédit Mutuel Arkéa confirmou ter sido alvo de um ataque cibernético altamente sofisticado que resultou no desvio de aproximadamente 100 milhões de euros (cerca de R$ 615 milhões). Diferentemente de golpes convencionais focados em clientes finais, a invasão não comprometeu contas de correntistas nem os sistemas de sua subsidiária digital Fortuneo: os criminosos violaram a plataforma de um prestador de serviços terceirizado e usaram credenciais legítimas para drenar diretamente contas de tesouraria da própria instituição financeira.
A operação foi estruturada em duas etapas para dificultar o rastreamento bancário. Após terem acesso ao ambiente interno por meio da brecha na cadeia de suprimentos (supply chain attack), os invasores executaram transferências não autorizadas para contas intermediárias e converteram rapidamente os valores em criptomoedas — incluindo stablecoins, Ether e tokens de privacidade como Monero — por meio de corretoras centralizadas. O desvio foi inicialmente detectado e exposto na web por analistas forenses de blockchain, como ZachXBT, o que permitiu que plataformas como Kraken e Crypto.com cooperassem em tempo hábil para congelar parcelas do capital antes da dispersão total.
O caso está sob investigação formal do Ministério Público de Paris (Parquet de Paris), que instaurou inquérito por invasão qualificada de sistema automatizado de processamento de dados por organização criminosa. Em comunicado oficial ao mercado, a diretoria do Arkéa garantiu que o incidente já foi inteiramente contido e que o montante subtraído não afeta a solvência, o patrimônio de clientes ou a estabilidade operacional do conglomerado.
Para quem lidera empresas e gerencia infraestruturas digitais, o caso do banco francês expõe com crueza a vulnerabilidade dos elos terceirizados. Não adianta investir pesado na blindagem do sistema central se fornecedores de software, suporte ou serviços em nuvem operam com acessos privilegiados e controles brandos de autenticação. O incidente reforça a necessidade urgente de implementar o princípio de privilégio mínimo em toda a cadeia de parceiros, além de exigir aprovação multifatorial de quatro olhos (dual control) e tetos rígidos para movimentações financeiras de alta liquidez.
Apuração e cobertura pela Redação do Expresso Empreendedor com base em relatórios setoriais e dados públicos da indústria.