Crédit Mutuel Arkéa versucht, die bei einem am 4. November bekannt gewordenen Cyberangriff veruntreuten Gelder zurückzuerlangen. Nach den Angaben, die Reuters am 5. November vorliegen, wurden etwa 100 Millionen Euro gestohlen. Die Bank versichert, dass das Vermögen ihrer Kunden nicht betroffen ist. Einige Transaktionen verzögerten sich jedoch während der Schutzmaßnahmen.
Der Fall betrifft somit zwei unterschiedliche Bereiche des Bankbetriebs: das Geld, das die Bank für eigene Rechnung verwahrt und das von den betrügerischen Transaktionen betroffen war, und die von ihren Kunden genutzten Dienstleistungen, die vorübergehend beeinträchtigt waren. Diese Unterscheidung erklärt, warum eine Überweisung aufgeschoben worden sein kann, ohne dass das Konto des Inhabers leergeräumt wurde.
Die Kundenkonten wurden nicht für die Veruntreuung genutzt
In ihrer Mitteilung vom 4. November räumt Arkéa betrügerische Transaktionen ein und beschreibt die vorsorgliche Aussetzung bestimmter Vorgänge. Die Wiederaufnahme war für den Vormittag angekündigt, nach Überprüfungen und einer Verstärkung der Schutzmaßnahmen.
Die Bank unterscheidet die betroffenen Gelder von den Einlagen von Privatpersonen und Unternehmen. Sie erklärt, dass die Folge für die Kunden in einer Verzögerung bei der Ausführung bestimmter Überweisungen bestand. Diese Erklärung bezieht sich auf ihre Föderationen und Tochtergesellschaften; sie bedeutet nicht, dass alle ihre Dienstleistungen unterbrochen wurden.
Kunden sollten den Status einer erwarteten Transaktion in ihrem gewohnten Online-Banking überprüfen. Eine ausstehende Transaktion ist nicht dasselbe wie eine unbekannte Abbuchung. Wenn eine Transaktion ungewöhnlich erscheint, sollte der Kundenberater über den bereits bekannten Kommunikationskanal kontaktiert werden, nicht über eine Telefonnummer, die in einer Nachricht im Zusammenhang mit dem Angriff mitgeteilt wurde.
Gelder wurden an andere Banken überwiesen
Das öffentlich bekannt gewordene Szenario beruht darauf, dass ein Arkéa gehörendes Konto genutzt wurde, um Gelder an andere Institute zu überweisen. Anschließend war von Umwandlungen in Kryptowährungen die Rede. Ursprünglich handelte es sich nicht um den Hack einer Kryptowährungs-Wallet von Kunden.
Die AFP berichtet, dass ein Teil der Beträge möglicherweise gesperrt werden konnte und Schritte zur Rückforderung im Gange sind. Die Nachrichtenagentur gibt außerdem an, dass die Bank einen einfachen menschlichen Fehler ausschließt und von einem Eindringen von außen spricht. Diese Angaben stammen vom Institut und nicht aus einem öffentlichen technischen Bericht über den Angriff.
Der veruntreute Betrag und der endgültige Verlust sind also nicht dasselbe. Ersterer beschreibt die festgestellten betrügerischen Transaktionen; Letzterer hängt unter anderem davon ab, was zurückerlangt werden kann. Die verfügbaren Informationen reichen noch nicht aus, um eine endgültige finanzielle Bilanz zu ziehen.
Ermittlungen in Paris eingeleitet
Reuters berichtet, dass die Pariser Staatsanwaltschaft am 4. November die Anzeige der Bank erhalten und Ermittlungen eingeleitet hat, die spezialisierten Cybercrime-Diensten übertragen wurden. Ein Dienstleister wird als Teil des Zugangswegs der Angreifer genannt, doch Arkéa hat dessen Identität nicht öffentlich gemacht.
Diese Abhängigkeit von einem externen Dienst ist ein wichtiger Aspekt der Ermittlungen. Sie reicht jedoch nicht aus, um die ausgenutzte Schwachstelle, möglicherweise kompromittierte Zugangsdaten oder die jeweiligen Verantwortlichkeiten zu bestimmen. Nichts in den ausgewerteten Informationen erlaubt es, den Angriff einer bestimmten Gruppe zuzuschreiben.
Die AFP präzisiert, dass die Ermittlungen einen bandenmäßigen Angriff auf ein automatisiertes Datenverarbeitungssystem betreffen. Die Einleitung eines Ermittlungsverfahrens belegt den Einsatz der Justiz; sie bedeutet weder, dass die Täter identifiziert wurden, noch, dass der genaue Ablauf der Veruntreuung geklärt ist.
Vorsicht ist auch bei eingehenden Nachrichten geboten
In ihrer Warnung an die Kunden weist Arkéa darauf hin, dass auf einen Angriff, über den in den Medien ausführlich berichtet wird, Phishing-Versuche folgen können. Eine E-Mail oder ein Anruf, in dem Hilfe bei der Sicherung eines Kontos angeboten wird, kann die durch den Vorfall ausgelöste Verunsicherung ausnutzen.
Die Bank erinnert daran, keine Zugangsdaten, Passwörter, Kartendaten oder per SMS erhaltenen Bestätigungscodes weiterzugeben. Im Zweifelsfall empfiehlt sie, den Kundenberater direkt zu kontaktieren. Die in einer Nachricht behauptete Dringlichkeit macht diese Überprüfung nicht überflüssig – auch dann nicht, wenn der Gesprächspartner den Namen der Bank kennt oder den Cyberangriff erwähnt.
Die nächste Bilanz muss Auskunft über die zurückerlangten Beträge und die Ergebnisse der Ermittlungen geben. Für das Institut besteht die Herausforderung sowohl darin, die Gelder zurückzuerlangen, als auch darin, den Angriffsweg nachzuvollziehen. Für die Kunden sind weiterhin der Status ihrer Transaktionen und Mitteilungen ihrer üblichen Ansprechpartner maßgeblich.
Archivfoto: Sitz von Crédit Mutuel Arkéa in Le Relecq-Kerhuon im Jahr 2023. Focale fixe / FJaffres / Wikimedia Commons / CC BY-SA 4.0.
