ANALISI
Crédit Mutuel Arkéa e la piattaforma di un fornitore: cosa insegna a chi assume il rischio cyber
Il 4 novembre 2026 Crédit Mutuel Arkéa ha comunicato che attaccanti entrati dalla piattaforma di un fornitore hanno usato il conto della banca per trasferire oltre 100 milioni di euro, poi convertiti in criptovalute. L'analisi: la perdita di fondi tra polizza crime e cyber, il cumulo sul fornitore, la velocità della conversione, i controlli e le domande per i rinnovi.
Tema della settimana dal 31 ottobre al 7 novembre 2026 · di cybercoverinsurance
Il 4 novembre 2026 Crédit Mutuel Arkéa, gruppo bancario cooperativo che comprende Crédit Mutuel de Bretagne, Crédit Mutuel du Sud-Ouest e Fortuneo, ha comunicato un attacco informatico che ha permesso operazioni fraudolente. Gli attaccanti sono entrati dalla piattaforma di un fornitore e hanno usato il conto della banca stessa per inviare bonifici ad altri istituti. Il danno supera i 100 milioni di euro. I conti dei clienti non sono stati toccati.
Il caso non è un ransomware né un furto di dati. È un furto di denaro dal conto proprio di una banca, passato da un fornitore e convertito in criptovalute in poche ore. Per chi assume il rischio cyber pone tre domande: quale polizza risponde a una perdita diretta di fondi, cosa succede se lo stesso fornitore serve altre banche, e quali controlli fermano un bonifico prima che diventi irreversibile.
Cosa si sa
L'attacco. La banca ha spiegato che gli attaccanti «sono passati dalla piattaforma di uno dei nostri fornitori», non nominato, e hanno usato il conto della banca per trasferire fondi ad altre banche, senza passare dai conti dei clienti delle federazioni e delle controllate. Ha parlato di un attacco esterno sofisticato ed escluso un errore umano interno. Nessuno ha rivendicato l'attacco (DH).
L'importo. La stima provvisoria della banca è di circa 100 milioni di euro. Le Télégramme ha indicato 118 milioni di euro, convertendo 133 milioni di dollari; la banca non ha confermato la cifra ma ha detto che l'ordine di grandezza è corretto (Boursorama). Il 6 novembre il presidente della Confédération nationale du Crédit Mutuel, Daniel Baal, ha confermato che il totale supera i 100 milioni e che una parte dei fondi è stata recuperata, senza dire quanta (Quartz).
La risposta. Alcune operazioni sono state sospese in via precauzionale e quasi tutte sono riprese la mattina del 4 novembre. La banca ha presentato denuncia alla sezione cyber della procura di Parigi, che ha aperto un'indagine per accesso fraudolento a un sistema informatico in banda organizzata, affidata all'Office anticybercriminalité. La banca dichiara che l'importo non mette a rischio la sua solidità; nel primo semestre aveva registrato 230 milioni di euro di utile netto (Boursorama).
Il percorso dei fondi. Secondo le analisi on-chain di ZachXBT e Bitquery, riprese da Ostraca, i prelievi di stablecoin dalle piattaforme di scambio sono iniziati il 1° novembre, una domenica, e circa 108,8 milioni di dollari in USDC sono usciti da Kraken, Crypto.com e OKX in 21 ore. Una parte è stata poi convertita in ether (Ostraca). Sono ricostruzioni di terzi, non confermate dalla banca. Secondo Baal, sono state le stesse piattaforme, insieme ai sistemi di sicurezza della banca, a dare l'allarme (Quartz).
Cosa non si sa. Il nome del fornitore, il tipo di piattaforma, il modo in cui è stata compromessa, la durata dell'operazione e l'importo recuperato non sono pubblici.
Una perdita di fondi, non un incidente di dati
Il danno è il denaro stesso. Nella maggior parte dei sinistri cyber il costo nasce da fermo, ripristino, notifiche e responsabilità. Qui il danno principale è il denaro uscito dal conto della banca. Per un istituto finanziario, questa perdita rientra di solito nella copertura crime per le istituzioni finanziarie, con la garanzia per frode informatica, più che nella polizza cyber.
Il confine tra le polizze. Molte polizze cyber escludono o limitano la perdita di fondi propri, o la coprono solo con un sottolimite per la frode sui trasferimenti. Le coperture crime bancarie coprono la frode informatica ma spesso non i costi di indagine, ripristino e risposta all'incidente. Un evento come quello di Arkéa può toccare entrambe: la perdita di fondi da una parte, i costi forensi e di gestione dall'altra. Se le due polizze sono di assicuratori diversi, il rischio è che ciascuna rimandi all'altra.
Il trigger conta. Le garanzie per frode informatica rispondono in genere a un'immissione o modifica fraudolenta di dati nei sistemi dell'assicurato. Se l'ingresso avviene dalla piattaforma di un fornitore, la formulazione deve chiarire se i sistemi del fornitore contano come sistemi dell'assicurato. È la prima clausola da rileggere.
Il fornitore come punto di ingresso
Una piattaforma, quante banche? Antoine Hautin, segretario generale della società di consulenza Almond, ha posto la domanda centrale: se il fornitore serve più banche e il metodo è replicabile, il rischio diventa sistemico (DH). Per chi assume il rischio, è uno scenario di cumulo: un solo fornitore di servizi bancari compromesso, più istituti colpiti nello stesso fine settimana.
Il fornitore non è nominato. Senza il nome, un assicuratore non può sapere quali altri assicurati usino la stessa piattaforma. È la stessa difficoltà vista con lo script di un fornitore nel caso Polymarket di ottobre: la dipendenza esiste, ma il questionario non la registra.
DORA rende il tema obbligatorio. Per le banche europee il regolamento DORA impone un registro dei fornitori di servizi informatici e la segnalazione degli incidenti gravi alle autorità di vigilanza. La banca ha detto di aver avvisato gli organismi competenti (Ostraca). Per un assicuratore, il registro DORA è la fonte più completa per capire da quali fornitori dipende un istituto.
La velocità della conversione
Ore, non giorni. Secondo le ricostruzioni on-chain, oltre 100 milioni di dollari sono usciti dalle piattaforme di scambio in meno di un giorno (Ostraca). Una volta convertiti e spostati, il recupero è difficile. Gli avvocati citati da DH propongono un ritardo obbligatorio nelle conversioni da moneta a criptovaluta per consentire i controlli antifrode.
Il giorno scelto. I prelievi sarebbero iniziati domenica 1° novembre, giorno festivo in Francia (Ostraca). Un attacco nel fine settimana o in un giorno festivo sfrutta la minore presenza di personale. La domanda per il questionario non è solo se esistono controlli, ma se funzionano alle tre di notte di una domenica.
Il blocco parziale ha funzionato. Kraken avrebbe limitato alcuni conti e Tether avrebbe congelato circa 1,14 milioni di USDT (Ostraca). La banca ha recuperato una parte dei fondi (Quartz). Per il sinistro, ogni euro recuperato riduce la perdita netta, e la rapidità della segnalazione alle piattaforme è un controllo che pesa sull'importo finale.
Controlli che fermano il bonifico
Limiti sul conto proprio. I controlli sui pagamenti in uscita sono spesso pensati per i conti dei clienti. Qui è stato usato il conto della banca. Soglie, doppia autorizzazione e verifica dei beneficiari nuovi devono valere anche per i movimenti di tesoreria e per i flussi generati da piattaforme di terzi.
Monitoraggio dei flussi anomali. Una serie di bonifici verso destinazioni nuove, in un giorno festivo, verso istituti che a loro volta alimentano piattaforme di criptovalute, è un modello riconoscibile. La domanda è se il sistema di monitoraggio lo intercetta in automatico o solo quando qualcuno guarda.
Accessi del fornitore. Se la piattaforma del fornitore può generare ordini di pagamento per conto della banca, quegli accessi vanno trattati come accessi privilegiati: autorizzazioni minime, autenticazione forte, registrazione e revisione periodica.
Cosa portare nei rinnovi
Impatto per gli assicuratoriAlto
Un furto di oltre 100 milioni di euro dal conto proprio di una banca, passato dalla piattaforma di un fornitore non nominato, mostra un rischio di perdita diretta di fondi e un possibile cumulo su più istituti.
Sul lato portafoglio, il caso Arkéa suggerisce di chiedere agli istituti finanziari assicurati quali piattaforme di pagamento e tesoreria condividono, e di inserire nei test di cumulo uno scenario in cui un fornitore comune viene usato per trasferimenti fraudolenti da più banche nello stesso fine settimana, con perdite dirette di fondi e costi di risposta per ciascuna.