In breve
Gli attaccanti hanno sottratto a Crédit Mutuel Arkéa una somma stimata in 118 milioni di euro (133 milioni di dollari), entrando dalla piattaforma di un fornitore e disponendo bonifici dal conto della banca stessa. La banca cooperativa francese, con circa 5,8 milioni di soci, ha confermato l'attacco il 4 novembre 2026 e afferma che i patrimoni dei clienti non sono stati coinvolti. Per le piattaforme fintech e bancarie il caso dimostra che un fornitore in grado di avviare pagamenti fa parte della propria superficie d'attacco, non soltanto della catena di fornitura.
Che cosa è successo a Crédit Mutuel Arkéa?
Crédit Mutuel Arkéa, il gruppo bretone che controlla Crédit Mutuel de Bretagne, Crédit Mutuel du Sud-Ouest e la banca online Fortuneo, ha comunicato la sera del 4 novembre 2026 di aver subito un «attacco sofisticato dall'esterno». In un secondo comunicato la banca ha precisato che gli attaccanti sono «passati dalla piattaforma di uno dei nostri fornitori» e hanno raggiunto direttamente la banca. Hanno poi usato il conto di Crédit Mutuel Arkéa per inviare bonifici ad altre banche, il che ha potenzialmente consentito di convertire il denaro in criptovalute.
La banca non ha indicato il nome del fornitore né spiegato come gli attaccanti siano passati da quella piattaforma ai suoi sistemi. Afferma che l'attacco è stato contenuto, che collabora con le autorità giudiziarie e di polizia e che una parte del denaro è stata bloccata. Secondo The Record e BleepingComputer, ha inoltre respinto le ricostruzioni che attribuivano l'accaduto a un errore umano interno.
| Data (2026) | Evento |
|---|---|
| 1–2 novembre | ZachXBT segnala che un istituto europeo non nominato ha perso oltre 106 milioni di dollari tramite conti su exchange centralizzati |
| 3 novembre | Altri 27 milioni di dollari prelevati dagli exchange dallo stesso soggetto, per un totale di circa 133 milioni di dollari |
| 4 novembre | Crédit Mutuel Arkéa conferma l'attacco; alcuni bonifici vengono ritardati mentre le operazioni sono sospese |
| 5–9 novembre | La banca indica la piattaforma di un fornitore come punto d'ingresso, esclude Fortuneo e comunica il congelamento di parte dei fondi |
Come è uscito il denaro dalla banca?
La frode ha usato fondi propri della banca, non i saldi dei clienti. I bonifici sono partiti dal conto di Arkéa verso conti presso altri istituti e da lì verso exchange di criptovalute. ZachXBT ha tracciato i prelievi in stablecoin USDC e USDT; Help Net Security, citando analisi blockchain, riferisce che parte dei proventi è stata convertita in ether e una parte in Monero, molto più difficile da tracciare. Secondo ZachXBT, gli schemi di riciclaggio non indicano il gruppo nordcoreano Lazarus.
Il giornalista francese Grégory Raymond ha riferito, citando fonti, che i conti di destinazione sugli exchange erano stati aperti con identità falsificate i cui nomi coincidevano con i dati dei bonifici. Se confermato, questo spiegherebbe perché i controlli sul nome del beneficiario non hanno fermato il denaro: la verifica del nome conferma che nome e conto corrispondono, non che il titolare sia legittimo. La banca non ha commentato questo punto.
Che cosa significa per i team software in USA e UE?
La lezione principale riguarda la portata. La maggior parte delle valutazioni sui fornitori terzi si chiede se un fornitore detiene dati sensibili. Per i sistemi di pagamento la domanda più importante è un'altra: la piattaforma di un fornitore può avviare o autorizzare movimenti di denaro, e da quali conti? In questo caso agli attaccanti non sono servite le credenziali dei clienti; è bastato un percorso dalla piattaforma del fornitore al conto proprio della banca. I conti di tesoreria, regolamento e operativi hanno spesso limiti più alti e meno controlli comportamentali rispetto ai conti retail, e per questo sono un bersaglio appetibile.
Per banche, istituti di pagamento e loro fornitori di software nell'UE, il caso rientra pienamente nel Digital Operational Resilience Act (DORA), applicabile dal 17 gennaio 2025. Il DORA richiede un registro dei fornitori terzi di servizi ICT, contratti con diritti di audit, recesso e uscita e una segnalazione per fasi degli incidenti ICT gravi. Negli Stati Uniti, le linee guida interagenzia del 2023 di Federal Reserve, FDIC e OCC sulle relazioni con terze parti fissano aspettative simili lungo tutto il ciclo di vita del fornitore. In entrambi i mercati, dopo questo caso i revisori faranno la stessa domanda: quali fornitori possono muovere denaro e che cosa li ferma se vengono compromessi?
Conta anche il percorso del riciclaggio. I fondi hanno raggiunto gli exchange nel giro di ore e sono stati convertiti in stablecoin e poi in asset che nessun emittente può congelare. Un rilevamento misurato in giorni è troppo lento. I controlli devono intervenire prima o nel momento stesso in cui un bonifico lascia l'istituto.
Che cosa significa per il mercato italiano?
In Italia banche, istituti di pagamento e IMEL rientrano nello stesso perimetro: il DORA si applica dal 17 gennaio 2025 e la vigilanza spetta alla Banca d'Italia, insieme alla BCE per le banche significative. Per le esternalizzazioni che non riguardano servizi ICT restano di riferimento le disposizioni di vigilanza della Circolare 285 della Banca d'Italia. A questo si aggiunge il decreto legislativo 138/2024, che recepisce la direttiva NIS2 e rende l'Agenzia per la Cybersicurezza Nazionale (ACN) il riferimento per la sicurezza di molti fornitori digitali.
Il tema della concentrazione è particolarmente sentito: molte banche italiane, a partire dalle BCC e dalle banche popolari, si appoggiano a centri servizi e outsourcer informatici condivisi. Un fornitore compromesso può quindi raggiungere più istituti contemporaneamente. Per fintech e prestatori di servizi di pagamento che si collegano via API a queste piattaforme o a partner di Banking-as-a-Service, la domanda posta dal caso Arkéa è molto concreta: quali diritti ha la propria integrazione, e si può interromperla in pochi minuti in caso di incidente?
C'è poi il lato dei pagamenti. Dal 9 ottobre 2025 i prestatori di servizi di pagamento dell'area euro devono offrire la verifica del beneficiario (Verification of Payee) sui bonifici SEPA. Il caso ne mostra il limite: se i conti di destinazione vengono aperti con identità false ma nomi coincidenti, la verifica dà esito positivo. Il controllo sul beneficiario non sostituisce quindi i limiti operativi né la doppia autorizzazione sui conti propri dell'istituto.
Che cosa devono verificare subito i team di pagamenti e banking?
- Mappare la portata dei fornitori sul denaro. Elencate ogni piattaforma terza in grado di creare, rilasciare o autorizzare un pagamento, e da quali conti, compresi i conti interni di tesoreria e di regolamento.
- Separare lettura e disposizione. Date alle integrazioni dei fornitori il perimetro più ristretto possibile, con credenziali a breve scadenza, mutual TLS o richieste firmate e nessun diritto permanente di rilascio dei pagamenti.
- Mettere limiti ai conti propri della banca. Applicate limiti di velocità, blocchi sui nuovi beneficiari e una doppia approvazione su canale separato ai grandi bonifici in uscita dai conti istituzionali, non solo da quelli dei clienti.
- Sorvegliare i flussi verso gli exchange. Segnalate le raffiche di bonifici verso nuove controparti e verso conti collegati a on-ramp di criptovalute e inviatele a revisione manuale.
- Prevedere un interruttore per singolo fornitore. Assicuratevi di poter sospendere in pochi minuti la connessione di un fornitore senza bloccare tutti i pagamenti, ed esercitatevi a farlo.
- Testare la segnalazione degli incidenti. Organizzate una simulazione tabletop su uno scenario di frode originata da un fornitore, confrontandola con le tempistiche di segnalazione del DORA o dell'autorità di vigilanza.
Domande frequenti
Che cosa è successo a Crédit Mutuel Arkéa?
Il 4 novembre 2026 Crédit Mutuel Arkéa ha confermato un attacco informatico che ha consentito operazioni fraudolente. Secondo la banca, gli attaccanti sono passati dalla piattaforma di uno dei suoi fornitori, hanno raggiunto direttamente la banca e hanno usato il suo conto per inviare bonifici ad altre banche, dove il denaro poteva essere convertito in criptovalute.
Quanto denaro è stato sottratto ad Arkéa?
La banca non ha pubblicato una cifra esatta. Ha riconosciuto l'ordine di grandezza di 118 milioni di euro (133 milioni di dollari) riportato dalla stampa. L'investigatore blockchain ZachXBT, che per primo ha segnalato il furto, ha tracciato oltre 106 milioni di dollari e poi altri 27 milioni di dollari prelevati da conti sugli exchange. Parte dei fondi è stata bloccata.
I clienti di Arkéa sono stati coinvolti?
La banca afferma che i patrimoni dei clienti non sono stati coinvolti e che gli attaccanti non sono passati dai conti dei clienti. Alcuni bonifici hanno subito ritardi perché la banca ha sospeso brevemente alcune operazioni per precauzione. Ha inoltre messo in guardia i clienti dai messaggi di phishing che sfruttano l'incidente.
Quale fornitore è stato usato nell'attacco?
Arkéa non ha nominato il fornitore né spiegato come gli attaccanti siano passati da quella piattaforma al suo ambiente. Ha escluso la banca online Fortuneo come punto d'ingresso e ha respinto le ricostruzioni che indicavano un errore umano interno.
Che cosa richiede il DORA dopo un incidente del genere?
Nell'UE il Digital Operational Resilience Act si applica a banche e società di pagamento dal 17 gennaio 2025. Richiede un registro e la gestione del rischio dei fornitori terzi di servizi ICT, contratti con diritti di audit e di uscita e una segnalazione per fasi degli incidenti ICT gravi, a partire da una notifica iniziale entro poche ore dalla classificazione dell'incidente.
Fonti
Crédit Mutuel Arkéa — Informazioni complementari dopo l'attacco (fonte primaria, novembre 2026)
BleepingComputer — Hackers pull off $133 million French bank heist via service provider (7 novembre 2026)
The Record by Recorded Future News — French bank confirms cyber heist (4 novembre 2026)
Help Net Security — $133 million stolen from French bank via exploited service provider (9 novembre 2026)