Mercredi, le Crédit Mutuel Arkéa a confirmé avoir été victime d’une cyberattaque portant sur plus de 100 millions d’euros. Les fonds dérobés auraient ensuite été convertis en cryptomonnaies par les cybercriminels.
Tribune ESET – Une enquête a été ouverte afin de faire la lumière sur cette attaque. Dans un communiqué publié mercredi soir, la banque indique que le préjudice, estimé provisoirement à une centaine de millions d’euros, pourrait encore évoluer. Elle précise également avoir engagé des démarches pour tenter de récupérer les fonds détournés. Prudence envers les potentielles tentatives d’escroquerie visant les clients dans les prochaines semaines…
Benoit Grunemwald – Expert en Cybersécurité chez ESET France réagit :
« Dès le week-end précédant le 4 novembre, ZachXBT signale des mouvements de cryptoactifs suspects. Spécialisé dans les fraudes aux cryptomonnaies, cet enquêteur croise les transactions publiques des blockchains avec l’OSINT, le renseignement en sources ouvertes, pour suivre les fonds et documenter le blanchiment. Ces signaux ne prédisent pas l’intrusion, ils révèlent des opérations déjà engagées. De la même manière, la Cyber Threat Intelligence (CTI), ou renseignement sur les cybermenaces, permet de vérifier et contextualiser ces observations, puis de les confronter aux données internes pour orienter l’investigation et la réponse.
Le 4 novembre, Arkéa confirme l’attaque et annonce que l’incident circonscrit. Le préjudice dépasserait 100 millions d’euros. Les détails sont inconnus, mais la banque confirme l’intrusion par la plateforme d’un prestataire. Ceci illustre le risque lié à la chaîne d’approvisionnement numérique, ou supply chain. Un tiers compromis peut exposer les systèmes de son client par les accès et les interconnexions nécessaires à la fourniture du service. L’enjeu est de limiter cette confiance. Un accès technique ne doit pas donner des droits étendus sur les opérations financières. Sans préjuger de la faille exploitée ici, les bonnes pratiques consistent à cartographier les prestataires critiques et leurs accès, appliquer le moindre privilège et l’authentification multifacteur, cloisonner les interconnexions et surveiller les opérations sensibles. La révocation rapide des accès doit être prévue en cas d’incident. Pour les entités concernées, l’article 21 de NIS2 intègre la sécurité des fournisseurs et prestataires directs à la gestion des risques cyber, en tenant compte de leurs vulnérabilités et pratiques de sécurité. Exigences contractuelles, audits, modalités d’alerte et réévaluations régulières complètent ces mesures : externaliser un service ne dispense pas de maîtriser le risque associé.
L’enquête devra permettre de comprendre l’attaque. Quelle est la faille exploitée et quelles sont les conditions de validation des virements. La vigilance reste de mise, Arkéa alerte déjà sur des tentatives d’hameçonnage exploitant l’affaire. L’incident circonscrit, le risque de nouvelles escroqueries demeure.«