Хакеры украли более 100 млн евро у французского банка через его подрядчика

Хакеры взломали платформу подрядчика французской банковской группы Crédit Mutuel Arkéa, добрались до её инфраструктуры и вывели около 100 млн евро. Деньги ушли со счёта самого банка, а средства клиентов, по заявлению организации, не пострадали. Часть похищенного удалось заблокировать, остальное банк пытается вернуть.

Подозрительные переводы заметили криптоаналитики

О странных операциях 2 ноября первым предупредил исследователь криптотранзакций ZachXBT. Он зафиксировал вывод средств с нескольких криптоплатформ и оценил ущерб в 118 млн евро, или около 133 млн долларов. К 3 ноября, по его данным, хакеры отмыли около 30 млн долларов, а отсутствие публичной информации об инциденте могло помешать европейским правоохранителям вовремя заморозить деньги. Банк подтвердил атаку 4 ноября, но точной суммы не огласил. На следующий день Reuters со ссылкой на банк сообщил об оценке примерно в 100 млн евро, или 112,6 млн долларов. Разница с первой цифрой может объясняться блокировкой части средств и разной методикой подсчёта.

Arkéa не назвала подрядчика и отвергла версию о том, что точкой входа послужила её онлайн-структура Fortuneo. Банк назвал атаку сложной и не связывает её с ошибкой сотрудников. Расследование продолжается, а публично подтверждены три обстоятельства:

• злоумышленники проникли в инфраструктуру группы через платформу стороннего поставщика;
• переводы другим финансовым учреждениям шли со счёта самого банка;
• клиентские счета остались нетронутыми.

Деньги растворились в блокчейне

Банковские переводы закончились в криптосети, где каждый шаг остаётся на виду. Аналитики Bitquery насчитали, что 1 и 2 ноября со счетов на трёх биржах вывели около 126 млн долларов в USDC. Деньги пришли на 17 адресов и разошлись по сотням кошельков, а за несколько часов значительную часть обменяли на Ethereum. К 5 ноября на отслеживаемых адресах в этой сети оставалось около 37,26 млн долларов, остальное ушло через криптомосты и обменные сервисы. Вернуть деньги непросто, и на то есть три причины:

• эмитенты USDT и USDC умеют замораживать токены, но после обмена на Ethereum остановить движение средств сложнее;
• часть денег прошла через сервисы, которые меняют активы без идентификации пользователя;
• один из маршрутов привёл в Monero, криптовалюту с упором на анонимность транзакций.

Tether заморозил около 1,1 млн долларов в USDT, а ещё около 2,2 млн долларов в USDC и USDT оставались на адресах, которые могли стать целью блокировки. Не все найденные кошельки принадлежат хакерам, а связь с банковскими переводами исследователи устанавливают по косвенным данным.

Масштаб потерь и реакция банка

Crédit Mutuel Arkéa обслуживает более 5,8 млн клиентов и располагает активами на 211,5 млрд евро. По данным Financial Times, 100 млн евро равны примерно четверти чистой прибыли группы за 2025 год, хотя банк заявил, что ущерб не угрожает его платёжеспособности. Утекли ли персональные данные, банк не сообщил. Действовал он по трём направлениям:

• приостановил часть транзакций, в том числе мгновенные переводы и платежи через Wero;
• возобновил почти все операции утром 4 ноября после проверки инфраструктуры;
• подал заявление в парижскую прокуратуру, которая открыла дело, и уведомил Европейский центральный банк и надзорные органы.

Рафаэль Балоч, генеральный директор компании RedSecLabs, назвал случай беспрецедентным для Европы и указал на рост сложных атак на прикладном уровне и социальной инженерии против финансовых организаций.

Подрядчик как чёрный ход

Хакеры не стали искать пароли миллионов клиентов. Они вошли через поставщика услуг и дальше действовали от имени самого банка. Это классическая атака через цепочку поставок. Банки, госучреждения, заводы и больницы пользуются десятками внешних сервисов, и каждый подрядчик превращается в дверь, которую приходится охранять наравне с главным входом. Российские банки, маркетплейсы и промышленные компании тоже работают через интеграторов, облачных провайдеров и процессинговые сервисы, поэтому слабое звено у подрядчика может ударить и по российскому заказчику.

В 2016 году хакеры через систему SWIFT отправили поддельные платёжные поручения почти на миллиард долларов от имени Центрального банка Бангладеш, и 81 млн долларов удалось вывести и отмыть через казино. Схема отличалась от случая Arkéa, но общее у двух атак в том, что хакеры подчинили механизм, через который банк действует от собственного имени.

Следом приходят мошенники

Банк предупредил о вероятном росте фишинга. После громких инцидентов преступники звонят от имени службы безопасности, предлагают помочь с доступом и просят подтвердить банковские данные. Схема знакома и российским пользователям, которым регулярно звонят «специалисты банка», а правила защиты везде одинаковы:

• не называть по телефону и в переписке логины, пароли, данные карт и коды из SMS;
• перезванивать в банк по заранее известному номеру, а не по тому, что продиктовал собеседник;
• любое предложение помочь с доступом считать поводом для проверки.

Эксперты CISOCLUB отметили, что взлом Arkéa показывает уязвимость модели, в которой банк защищает собственный периметр, а подрядчиков проверяет раз в год по анкете. Доступ внешнего поставщика к платёжному контуру равен административной учётной записи, поэтому его права нужно сводить к минимуму, а сервисные аккаунты держать под наблюдением. Крупные переводы требуют независимого подтверждения, не зависящего от того, кто и через какую систему инициировал операцию.

Мониторинг должен ловить не только подозрительные входы, но и странное поведение законных каналов, например внезапные платежи новым получателям. В криптосреде деньги уходят за часы, поэтому банку нужен готовый регламент обращения к эмитентам стейблкоинов и биржам. Причина пока не установлена, и выводы о слабости подрядчика или плохой сегментации сети остаются гипотезами, но цену ошибки уже платит заказчик.

Ранее сообщалось, что Федеральная резервная система США и Управление контролёра денежного обращения (OCC) начали выяснять у американских банков, не фиксировали ли они подозрительных операций или сбоев после масштабного хищения криптовалюты у биржи Binance. В результате атаки злоумышленники вывели активы примерно на $6,34 млрд, а ФБР связало произошедшее с северокорейской группировкой TraderTraitor. Подтверждений финансовых потерь банков пока нет. Регуляторы проводят проверки, чтобы установить, не затронул ли инцидент традиционную финансовую систему.