Crédit Mutuel Arkéa hackad via leverantör, upp till 118 MEUR

Sammanfattning

Den franska kooperativa bankgruppen Crédit Mutuel Arkéa bekräftade den 4 november 2026 att den utsatts för en cyberattack. Angriparna tog sig in via en av bankens leverantörers plattform och genomförde bedrägliga transaktioner från bankens eget konto. Enligt banken har kundernas tillgångar inte påverkats och incidenten är under kontroll. Vissa överföringar försenades. Uppgiften om 118 miljoner euro (cirka 1,3 miljarder kronor) skulle ha stulits har inte bekräftas. Banken uppger dock att beloppet ligger i rätt storleksordning. Åklagarmyndigheten i Paris har nu inlett en utredning. Leverantören har inte namngivits och ingen aktör hade tagit på sig ansvaret för attacken vid rapporteringstillfället.

Leverantörens plattform blev vägen in

Det var inte Fortuneo, bankens nätbank, som användes för att ta sig in i systemen. Det klargör Crédit Mutuel Arkéa i ett kompletterande uttalande den 4 november, efter uppgifter i fransk press. Angriparna tog sig istället in via en av bakes leverantörers plattform och fick därigenom direkt åtkomst till banken.

Med hjälp av åtkomsten använda angriparna bankens eget konto för att genomföa transaktioner till andra banker. Pengarna kan därefter ha växlats till kryptovaluta via specialiserade plattformar. Enligt banken användes inga kundkonton i bankgruppens olika förbund eller dotterbolag. Banken avvisar också uppgifter om att ett mänskligt misstag inom den egna organisationen skulle ha orsakat intrånget.

Belopp och återvunna medel

Uppgiften om 118 miljoner euro (133 miljoner dollar) kommer ursprungligen från blockkedjeutredaren ZachXBT, som den 2 november började uppmärksamma stora obehöriga uttag från kryptobörser, enligt en publicerad rapport. Banken bekräftar inte den exakta summan, men säger att beloppet ligger i rätt storleksordning. En del av pengarna har kunnat spärras och ytterligare åtgärder pågår för att återfå resterande medel. Banken uppger att förlusterna inte utgör något hot mot koncernens finansiella stabilitet. Enligt bankens pressmeddelandet uppgick balansomslutningen till 211,5 miljarder euro.

Utredning hos cyberbrottsenheten i Paris

Bankgruppen lämnade in en polisanmälan på morgonen den 4 november. Paris åklagarmyndighets enhet för it-brottsllighet inledde omgående en utredning om intrång i automatiserat databehandlingssystem inom ramen för organiserad brottlighet, enligt en annan publicerad rapport. Ärendet har lämnats till OFAC, den franska polisens enhet mot it-brottslighet. Vid rapporteringstillfället samma kväll hade ingen aktör tagit på sig ansvaret för attacken.

När attacken upptäcktes informerade banken behöriga tillsynsmyndigheter och stoppade vissa transaktioner. Nästan hela verksamheten var åter i drift redan under förmiddagen. Banken varnar också sina kunder för phishing i kölvattnet av attacken. Banken beskriver varningen som förebyggande åtgärd. Banken har inte rapporterat att några kunduppgifter har stulits.

Leverantörens identitet är fortfarande okänt.

Banken har inte heller uppgett när intrånget först upptäcktes, exakt vilka myndigheter som underrättades eller hur stor del av de försvunna medlen som har kunnat återvinnas.

Leverantörsberoenden finns redan i svenska bankers hotbild

Attacken riktades inte mot kunderna, utan utnyttjade en leverantörs åtkomst till bankens egna medel. Svenska Bankföreningens hotbildsbedömning för 2026, som publicerades den 4 maj, konstaterar att cyberutpressning i allt högre grad utnyttjar leverantörsberoenden och att tredjepartsriskerna ökat. En svensk bank i samma läge rapporterar enligt DORA till Finansinspektionen. Den första underrättelsen ska in inom fyra timmar från att incidenten klassats som allvarlig och senast 24 timmar efter upptäckt, enligt delegerad förordning (EU) 2025/301.

Referenser

1. Crédit Mutuel Arkéa annonce avoir été victime d’une attaque
2. Informations complémentaires suite à l’attaque dont le Crédit Mutuel Arkéa a été victime
3. Threat assessment for Sweden´s banks 2026
4. Kommissionens delegerade förordning (EU) 2025/301
5. Lathund Dora incidentrapportering
6. Publicerad rapport
7. Publicerad rapport

This post is also available in: