Alarma por un ciberataque de 118 millones a un banco francés: los dinero terminan en criptomonedas

5 de noviembre de 2026

6 min de lectura

Un ciberataque a un banco francés alerta al sistema bancario europeo. Crédit Mutuel Arkéa, grupo financiero con sede en Bretaña y propietario del banco digital Fortuneo, ha sido víctima de una intrusión informática que ha ejecutado transferencias fraudulentas por un importe estimado de 118 millones de euros.

La cifra, avanzada por el diario Le Télégramme, todavía no ha sido confirmada definitivamente por la entidad. Arkéa ha reconocido que el importe estaría alrededor de 100 millones de euros, pero asegura que parte de los fondos pudo ser bloqueada y que trabaja por recuperar el resto. El grupo confirma que el incidente está controlado y asegura que no ha afectado a las cuentas ni a los depósitos de los clientes.

Las informaciones apuntaban inicialmente a Fortuneo como posible origen del ataque, pero Arkéa desmintió esta hipótesis. Según su versión, los piratas accedieron a los sistemas del grupo a través de la plataforma de un proveedor externo. Desde allí, lograron operar sobre una cuenta propia de la entidad y ordenar transferencias a otros bancos, antes de canalizar el dinero hacia plataformas de criptomonedas.

La investigación habrá de determinar qué vulnerabilidad permitió a los atacantes obtener los permisos necesarios para ejecutar operaciones de esta magnitud. La Fiscalía de París ha abierto diligencias por un presunto ataque a un sistema de tratamiento automatizado de datos en banda organizada, encargadas a la Oficina Anticibercriminalidad.

Crédit Mutuel Arkéa asegura que no se accedió a las cuentas de los clientes y que el incidente no compromete su solvencia. El grupo tiene aproximadamente 5,8 millones de clientes y unos activos de 211.500 millones de euros. Según los datos recogidos por la AFP, obtuvo una ganancia neta de 230 millones de euros durante el primer semestre de 2026.

Sin embargo, el costo final puede ir más allá del dinero no recuperado: la investigación, el refuerzo de los sistemas de seguridad y el posible deterioro de la confianza de los clientes también tendrán un impacto económico. Esta última cuestión es especialmente sensible para Fortuneo, que había captado 180.000 nuevos clientes durante el primer semestre, según Le Monde.

Vulnerabilidad bancaria

El caso ha encendido las alarmas porque demuestra que los bancos tradicionales también pueden sufrir robos digitales de gran magnitud sin que los atacantes hayan de vulnerar directamente las cuentas de los particulares. El punto débil habría sido un proveedor tecnológico externo, una dependencia cada vez más habitual en un sector financiero altamente digitalizado e interconectado.

El incidente pone a prueba el Reglamento europeo de resiliencia operativa digital, aplicable desde el 17 de enero de 2025. La normativa obliga a bancos, aseguradoras y otras instituciones financieras a refuerzar la ciberseguridad, controlar los riesgos de los proveedores tecnológicos y mejorar la capacidad de respuesta ante incidentes graves. La cuestión es hasta qué punto las entidades pueden garantizar la seguridad de todas las empresas y plataformas que intervienen en sus operaciones. El caso Arkéa evidencia que la protección de los sistemas propios ya no es suficiente si no se controla también toda la cadena tecnológica.

El rastre de las criptomonedas

El ataque llega poco después de otro episodio de grandes dimensiones en el sector digital. El 29 de octubre, Binance sufrió un robo de activos digitales valorados en unos 6.340 millones de dólares. Binance comunicó el 3 de noviembre que había recuperado el 98% de los activos afectados el 31 de octubre y que había logrado bloquear o interceptar aproximadamente 2.850 millones de dólares.

Estos casos son diferentes, pero comparten la capacidad de los atacantes para mover grandes cantidades de dinero a través de múltiples infraestructuras financieras. Las criptomonedas facilitan transferencias internacionales rápidas y pueden dificultar la recuperación de los fondos, aunque las transacciones dejan un rastro digital que permite seguirlos.

Comparación con el ataque a supermercado

Así como pasando del artículo anterior sobre ciberataques a sistemas de refrigeración de supermercados, este nuevo episodio cambia el foco de los dispositivos OT a la banca y las finanzas:

Supermercado: ataque a controladores Danfoss/Copeland expuestos a internet, manipulación de temperaturas de conservación
Banco: ataque a través de proveedores externos, transferencias fraudulentas masivas hacia criptomonedas

Aunque los vectores son diferentes, la unión es clara: cualquier sistema expuesto a internet, independientemente del sector, es vulnerable. La secuencia que va de las bases militares de EE. UU. (agosto), Francia (octubre) y este ataque a un banco francés (noviembre) sugiere una campaña sostenida contra la infraestructura crítica europea, adaptando el método al sector objetivo.

Lecciones aprendidas

Del ataque a Crédit Mutuel Arkéa se pueden extraer las siguientes lógicas:

La cadena de suministro es el punto débil: cualquier proveedor externo con acceso a sistemas críticos puede ser la entrada de los atacantes. La gestión de riesgos de terceros ha de ser una prioridad.
La seguridad no es solo técnica: los controles internos de banca, los límites de transferencia y la segregación de deberes han de diseñarse para impedir movimientos masivos sin verificación presencial o multi-factor exhaustivo.
Las criptomonedas como destino: los atacantes cada vez utilizan más fácilmente las criptomonedas para blanquear dinero robado. Las instituciones financieras han de desarrollar capacidades de seguridad específicamente orientadas a rastrear estos movimientos.
La respuesta regulatoria: el Reglamento de Resiliencia Operativa Digital (DORA) ya es aplicable, pero este caso demuestra que la implementación práctica deja mucho que desear en muchas entidades. La fiscalización ha de ser más activa en los proveedores críticos.
La confidencialidad del incidente: la cuantificación tardía de las cifras y la diferencia entre lo que anuncia la prensa y lo que confirma la entidad muestran la necesidad de protocolos de comunicación interna más rigurosos antes de las declaraciones públicas.

Conclusión

El ataque de 118 millones a Crédit Mutuel Arkéa no es un incidente aislado, sino una señal de que el sector bancario es cada vez más vulnerable a ataques sofisticados que explotan la dependencia tecnológica. La unión entre proveedores externos, acceso a cuentas corporativas y la destinación en criptomonedas constituye un patrón que puede repetirse si no se redoblan las medidas de seguridad.

Como cerraba en el artículo anterior sobre supermercados: la pregunta ya no es qué estamos conectando hoy, sino qué sistemas críticos estamos dejando expuestos sin un control adecuado. En este caso, fueron las herramientas de un proveedor externo las que abrieron la puerta, no los controladores de refrigeración. El riesgo es el mismo: cualquier sistema digital sin las debidas medidas de seguridad será el próximo blanco.