ANÁLISIS
Crédit Mutuel Arkéa y la plataforma de un proveedor: lo que enseña a quien asume el riesgo cyber
El 4 de noviembre de 2026 Crédit Mutuel Arkéa comunicó que atacantes entrados por la plataforma de un proveedor usaron la cuenta del banco para transferir más de 100 millones de euros, convertidos después en criptomonedas. El análisis: la pérdida de fondos entre póliza de crimen y cyber, el cúmulo en el proveedor, la velocidad de la conversión, los controles y preguntas para las renovaciones.
Tema de la semana del 31 de octubre al 7 de noviembre de 2026 · por cybercoverinsurance
El 4 de noviembre de 2026 Crédit Mutuel Arkéa, grupo bancario cooperativo que incluye Crédit Mutuel de Bretagne, Crédit Mutuel du Sud-Ouest y Fortuneo, comunicó un ataque informático que permitió operaciones fraudulentas. Los atacantes entraron por la plataforma de un proveedor y usaron la cuenta del propio banco para enviar transferencias a otras entidades. El daño supera los 100 millones de euros. Las cuentas de los clientes no se vieron afectadas.
El caso no es un ransomware ni un robo de datos. Es un robo de dinero de la cuenta propia de un banco, a través de un proveedor y convertido en criptomonedas en pocas horas. Para quien asume el riesgo cyber plantea tres preguntas: qué póliza responde a una pérdida directa de fondos, qué ocurre si el mismo proveedor da servicio a otros bancos y qué controles detienen una transferencia antes de que sea irreversible.
Lo que se sabe
El ataque. El banco explicó que los atacantes «pasaron por la plataforma de uno de nuestros proveedores», sin nombrarlo, y usaron la cuenta del banco para transferir fondos a otros bancos, sin pasar por las cuentas de clientes de las federaciones y filiales. Habló de un ataque externo sofisticado y descartó un error humano interno. Nadie ha reivindicado el ataque (DH).
El importe. La estimación provisional del banco es de unos 100 millones de euros. Le Télégramme indicó 118 millones de euros, convirtiendo 133 millones de dólares; el banco no confirmó la cifra pero dijo que el orden de magnitud es correcto (Boursorama). El 6 de noviembre el presidente de la Confédération nationale du Crédit Mutuel, Daniel Baal, confirmó que el total supera los 100 millones y que se ha recuperado una parte de los fondos, sin decir cuánto (Quartz).
La respuesta. Algunas operaciones se suspendieron por precaución y casi todas se reanudaron la mañana del 4 de noviembre. El banco presentó denuncia ante la sección de cibercrimen de la fiscalía de París, que abrió una investigación por acceso fraudulento a un sistema informático en banda organizada, encargada a la Office anticybercriminalité. El banco afirma que el importe no pone en riesgo su solidez; en el primer semestre registró 230 millones de euros de beneficio neto (Boursorama).
El recorrido de los fondos. Según los análisis on-chain de ZachXBT y Bitquery, recogidos por Ostraca, las retiradas de stablecoins de las plataformas de intercambio empezaron el 1 de noviembre, un domingo, y unos 108,8 millones de dólares en USDC salieron de Kraken, Crypto.com y OKX en 21 horas. Una parte se convirtió después en ether (Ostraca). Son reconstrucciones de terceros, no confirmadas por el banco. Según Baal, fueron las propias plataformas, junto con los sistemas de seguridad del banco, las que dieron la alarma (Quartz).
Lo que no se sabe. No son públicos el nombre del proveedor, el tipo de plataforma, cómo se comprometió, cuánto duró la operación ni el importe recuperado.
Una pérdida de fondos, no un incidente de datos
El daño es el propio dinero. En la mayoría de los siniestros cyber el coste nace de la interrupción, la recuperación, las notificaciones y la responsabilidad. Aquí el daño principal es el dinero que salió de la cuenta del banco. Para una entidad financiera, esta pérdida suele entrar en la cobertura de crimen para entidades financieras, con la garantía de fraude informático, más que en la póliza cyber.
La frontera entre pólizas. Muchas pólizas cyber excluyen o limitan la pérdida de fondos propios, o la cubren solo con un sublímite para el fraude en transferencias. Las coberturas de crimen bancario cubren el fraude informático pero a menudo no los costes de investigación, recuperación y respuesta al incidente. Un evento como el de Arkéa puede afectar a ambas: la pérdida de fondos por un lado, los costes forenses y de gestión por otro. Si las dos pólizas son de aseguradores distintos, el riesgo es que cada una remita a la otra.
El trigger importa. Las garantías de fraude informático responden en general a una introducción o modificación fraudulenta de datos en los sistemas del asegurado. Si la entrada se produce desde la plataforma de un proveedor, el wording debe aclarar si los sistemas del proveedor cuentan como sistemas del asegurado. Es la primera cláusula que hay que releer.
El proveedor como punto de entrada
Una plataforma, ¿cuántos bancos? Antoine Hautin, secretario general de la consultora Almond, planteó la pregunta central: si el proveedor da servicio a varios bancos y el método es replicable, el riesgo se vuelve sistémico (DH). Para quien asume el riesgo, es un escenario de cúmulo: un solo proveedor de servicios bancarios comprometido, varias entidades afectadas en el mismo fin de semana.
El proveedor no tiene nombre. Sin el nombre, un asegurador no puede saber qué otros asegurados usan la misma plataforma. Es la misma dificultad vista con el script de un proveedor en el caso Polymarket de octubre: la dependencia existe, pero el cuestionario no la registra.
DORA hace el tema obligatorio. Para los bancos europeos el reglamento DORA impone un registro de los proveedores de servicios TIC y la notificación de los incidentes graves a los supervisores. El banco dijo haber avisado a los organismos competentes (Ostraca). Para un asegurador, el registro DORA es la fuente más completa para entender de qué proveedores depende una entidad.
La velocidad de la conversión
Horas, no días. Según las reconstrucciones on-chain, más de 100 millones de dólares salieron de las plataformas de intercambio en menos de un día (Ostraca). Una vez convertidos y movidos, la recuperación es difícil. Los abogados citados por DH proponen un retraso obligatorio en las conversiones de dinero a criptomonedas para permitir los controles antifraude.
El día elegido. Las retiradas habrían empezado el domingo 1 de noviembre, festivo en Francia (Ostraca). Un ataque en fin de semana o en festivo aprovecha la menor presencia de personal. La pregunta para el cuestionario no es solo si existen controles, sino si funcionan a las tres de la madrugada de un domingo.
El bloqueo parcial funcionó. Kraken habría limitado algunas cuentas y Tether habría congelado unos 1,14 millones de USDT (Ostraca). El banco recuperó una parte de los fondos (Quartz). Para el siniestro, cada euro recuperado reduce la pérdida neta, y la rapidez del aviso a las plataformas es un control que pesa en el importe final.
Controles que detienen la transferencia
Límites en la cuenta propia. Los controles sobre pagos salientes suelen estar pensados para las cuentas de los clientes. Aquí se usó la cuenta del banco. Umbrales, doble autorización y verificación de beneficiarios nuevos deben aplicarse también a los movimientos de tesorería y a los flujos generados por plataformas de terceros.
Vigilancia de flujos anómalos. Una serie de transferencias a destinos nuevos, en un festivo, hacia entidades que a su vez alimentan plataformas de criptomonedas, es un patrón reconocible. La pregunta es si el sistema de vigilancia lo detecta de forma automática o solo cuando alguien mira.
Accesos del proveedor. Si la plataforma del proveedor puede generar órdenes de pago por cuenta del banco, esos accesos deben tratarse como accesos privilegiados: permisos mínimos, autenticación fuerte, registro y revisión periódica.
Qué llevar a las renovaciones
Impacto para las aseguradorasAlto
Un robo de más de 100 millones de euros de la cuenta propia de un banco, a través de la plataforma de un proveedor no identificado, muestra un riesgo de pérdida directa de fondos y un posible cúmulo en varias entidades.
En cuanto a la cartera, el caso Arkéa sugiere preguntar a las entidades financieras aseguradas qué plataformas de pago y tesorería comparten, e incluir en las pruebas de cúmulo un escenario en el que un proveedor común se usa para transferencias fraudulentas desde varios bancos en el mismo fin de semana, con pérdidas directas de fondos y costes de respuesta para cada uno.