קבוצת הבנקאות הצרפתית Crédit Mutuel Arkéa אישרה שהותקפה בתקיפת סייבר שבמהלכה בוצעו העברות הונאה בהיקף של כ-118 מיליון יורו, כ-133 מיליון דולר. לפי הבנק, התוקפים לא נכנסו דרך הבנק הדיגיטלי של הקבוצה, Fortuneo, אלא דרך הפלטפורמה הטכנולוגית של אחד מהספקים החיצוניים שלה. הבנק דחה את הטענה שמדובר בטעות אנוש, ולא פרסם את שם הספק.
הפרט החריג הוא מאיפה יצא הכסף: לפי הדיווחים, הכספים הועברו מהחשבון של הבנק עצמו למוסדות אחרים, ומשם ייתכן שהומרו למטבעות קריפטו בפלטפורמות ייעודיות. הבנק מסר שלתקיפה אין השלכות כספיות על הלקוחות, ושכמעט כל השירותים חזרו לפעול. הסכום עדיין לא סופי: דיווחים מוקדמים דיברו על כ-100 מיליון יורו, והבנק עדיין בודק את היקף הנזק ואת האפשרות להשיב חלק מהכסף.
גם הדרך שבה הפרשה התגלתה מעניינת. ההעברות החשודות זוהו לראשונה על ידי ZachXBT, חשבון של חקירות עצמאיות שעוקב אחרי תנועות כספים בבלוקצ'יין וחשף בעבר פרשות גניבה גדולות. ב-4 בנובמבר צוין שם Crédit Mutuel Arkéa כקורבן המשוער, ורק אז הבנק פרסם הודעה רשמית.
השורה התחתונה מוכרת, אבל ההיקף כאן חריג: הבנק עצמו לא נפרץ דרך המערכות שלו, אלא דרך ספק שהיה לו גישה מספקת כדי להזיז כסף. בנקים משקיעים סכומי עתק באבטחת המערכות שלהם, אבל כל ספק שמחובר אליהם, מחברת תוכנה ועד ספק תשלומים, הוא דלת נוספת. ההתקפה הזאת מראה שמספיק שדלת אחת תהיה פתוחה.
ובישראל? גם הבנקים כאן נשענים על ספקים חיצוניים לשירותי תוכנה, ענן ותשלומים, והפיקוח על הבנקים כבר דורש מהם לנהל את הסיכון הזה. אבל דרישה על הנייר היא לא הגנה. השאלה שכל מנהל אבטחה צריך לשאול השבוע היא לא אם המערכות שלו מוגנות, אלא איזה ספק יכול להזיז כסף בשמו, ומה יקרה אם הספק הזה ייפרץ מחר.
