Una sucesión de ciberataques contra instituciones financieras de Francia, Taiwán y Corea del Sur ha puesto en evidencia las vulnerabilidades de los sistemas bancarios. Las pérdidas ascienden a millones de dólares y los delincuentes han conseguido ejecutar transferencias fraudulentas, incluso utilizando plataformas de proveedores tecnológicos externos.

El caso más grave se produjo en Francia, donde Crédit Mutuel Arkéa reconoció el robo de aproximadamente 100 millones de euros, equivalentes a unos 113 millones de dólares. La entidad cuenta con 5,8 millones de clientes y administra activos por 211.500 millones de euros.

Estos incidentes también plantean interrogantes sobre la disponibilidad del dinero durante una crisis bancaria. El abogado internacional Giovanni Caporaso Gottlieb aconseja mantener una reserva de dinero en efectivo equivalente hasta al 10% del capital para enfrentar emergencias financieras o catástrofes de origen natural. Los interesados en su asesoramiento pueden acceder a su servicio de consulta jurídica.

Cómo los hackers consiguieron robar millones a un banco francés

El ataque contra Crédit Mutuel Arkéa comenzó mediante el acceso a la plataforma de un proveedor externo. Los delincuentes consiguieron efectuar operaciones desde una cuenta perteneciente al propio banco y transfirieron fondos hacia otras entidades financieras.

El investigador ZachXBT calculó que el dinero sustraído podría superar los 133 millones de dólares, aunque la institución francesa no confirmó esa estimación.

El banco aseguró que las cuentas de los clientes permanecieron protegidas, aunque algunas transferencias sufrieron retrasos por las medidas de contención. La magnitud del fraude resulta especialmente significativa si se compara con los resultados financieros de Arkéa. Durante el primer semestre de este año obtuvo beneficios netos de 230 millones de euros. Los 100 millones comprometidos equivalen aproximadamente al 43% de esa ganancia semestral, aunque todavía se desconoce la pérdida definitiva después de posibles recuperaciones.

En Taiwán, Bank SinoPac sufrió transferencias no autorizadas desde cuentas de clientes. Las autoridades investigaron movimientos por unos 40 millones de dólares taiwaneses, mientras el banco confirmó que había reembolsado los fondos afectados.

A diferencia del caso francés, el fraude taiwanés comprometió directamente depósitos de particulares.

El ataque francés también reveló cómo los delincuentes utilizan las criptomonedas para distribuir rápidamente los fondos sustraídos.

Una investigación de Bitquery rastreó 126,04 millones de dólares en USDC transferidos desde Kraken, Crypto.com y OKX hacia 17 billeteras digitales durante 28 horas. De ese dinero, 37,26 millones permanecían en direcciones de Ethereum vinculadas a los atacantes. Tether había congelado 1,14 millones de dólares en USDT, mientras otros fondos continuaban circulando entre plataformas y activos digitales.

La conversión de los fondos en ether y su traslado mediante diferentes redes dificultan su inmovilización. Aunque las operaciones pueden rastrearse, recuperar el dinero exige identificar a sus responsables o conseguir que las plataformas bloqueen los activos.

¿Qué consecuencias económicas tienen estos ciberataques?

Las pérdidas directas representan solo una parte del impacto financiero. Los bancos también deben asumir investigaciones forenses, posibles compensaciones a clientes, interrupciones operativas y nuevas inversiones en protección tecnológica.

Los casos de Francia y Taiwán comparten la vulnerabilidad del papel de los proveedores externos. Bank SinoPac confirmó que los atacantes aprovecharon una configuración de seguridad de su nuevo sistema de banca electrónica. La institución reforzó los mecanismos de verificación y supervisión de transacciones sospechosas.

En Europa, el reglamento DORA, aplicable desde el 17 de enero de 2025, obliga a las entidades financieras a gestionar los riesgos tecnológicos, incluidos los relacionados con empresas proveedoras de servicios digitales.

La Fiscalía de París mantiene abierta una investigación sobre el ataque a Arkéa. Todavía falta determinar la identidad de los responsables y cuánto dinero podrá recuperar la institución.

La sucesión de incidentes deja una preocupación para los reguladores y los bancos sobre cómo los controles deben ser capaces de detectar transferencias anormales antes de que los fondos atraviesen múltiples cuentas, plataformas y jurisdicciones, donde su recuperación se vuelve considerablemente más difícil.