Bankalara yönelik siber saldırılarda genellikle müşteri hesapları, kartlar ya da kişisel veriler konuşulur. Fransa’daki son olay ise farklı: Saldırganlar bir bankanın kendi hesabını hedef aldı. Fransız kooperatif bankacılık grubu Crédit Mutuel Arkéa, 4 Kasım 2026’da yaptığı açıklamalarda saldırganların bir hizmet sağlayıcının platformu üzerinden bankaya doğrudan ulaştığını ve bankanın kendi hesabını kullanarak diğer bankalara işlem yaptığını doğruladı. Olay, 7 Kasım’da güvenlik haber sitesi BleepingComputer tarafından ayrıntılı biçimde aktarıldı.
Crédit Mutuel Arkéa, Crédit Mutuel de Bretagne ve Crédit Mutuel du Sud-Ouest federasyonlarını ve Fortuneo, Monext, Suravenir gibi yaklaşık kırk iştiraki bünyesinde barındıran büyük bir grup. Banka; 12.073 çalışanı, 5,8 milyondan fazla üye ve müşterisi ile 211,5 milyar avroluk toplam varlığa sahip olduğunu belirtiyor.
Olay nasıl ortaya çıktı?
İlk işaretler 2 Kasım’da blokzincir dolandırıcılık araştırmacısı ZachXBT’den geldi. Araştırmacı, bir gün önce birden fazla merkezi kripto borsası hesabından büyük ölçekli yetkisiz çekimler yapıldığını duyurdu. ZachXBT’ye göre saldırgan 118 milyon avroya (133 milyon dolar) kadar fonu USDC ve USDT gibi sabit kripto paralar olarak çekmiş olabilir. Araştırmacı o aşamada kurumun adını vermedi; ancak kamuya açıklama yapılmamasının, saldırganın 3 Kasım’a kadar 30 milyon doları aklamasına imkân verdiğini, aksi halde bu tutarın Avrupa Birliği kolluk kuvvetlerince dondurulabileceğini savundu.
Banka olayı 4 Kasım’da kamuoyuna açıkladı ve olayın “kapatıldığını ve kontrol altında olduğunu” bildirdi. Aynı gün yayımlanan ek açıklamada işlemlerin neredeyse tamamının, grup ve iştiraklerinin doğrulamaları tamamlayıp güçlendirilmiş güvenlik önlemlerini devreye almasının ardından sabah saatlerinde yeniden başladığı belirtildi.
Saldırganlar içeri nereden girdi?
Basında bankanın çevrim içi markası Fortuneo üzerinden bir giriş olduğu iddia edilmişti. Banka bunu açıkça reddetti: Fortuneo üzerinden bir “giriş” olmadı. Saldırganlar, bankanın hizmet sağlayıcılarından birinin platformundan geçerek doğrudan Crédit Mutuel Arkéa’ya ulaştı. Hizmet sağlayıcının adı açıklanmadı.
Ardından saldırganlar, federasyonların ya da iştiraklerin müşteri hesaplarını değil, Crédit Mutuel Arkéa’nın kendi hesabını kullanarak diğer bankalara işlemler gerçekleştirdi. Banka, bu paranın daha sonra uzmanlaşmış platformlar aracılığıyla kripto paraya çevrilmiş olabileceğini belirtiyor. Saldırı tespit edilir edilmez kriz prosedürlerinin devreye alındığı, ek sahte hareketleri önlemek için bazı işlemlerin tedbiren geçici olarak askıya alındığı ve ilgili makamlarla denetim kurumlarının bilgilendirildiği ifade ediliyor.
Kayıp ne kadar?
Banka, 118 milyon avroluk rakamı doğrulamıyor. Açıklamadaki ifade şöyle: Bu bilgiyi teyit etmiyoruz, yalnızca büyüklük sırasını doğrulayabiliyoruz. Bankaya göre ilgili fonların bir kısmı bloke edildi ve geri kalanı için kurtarma çalışmaları sürüyor. Nihai tutarı açıklamak için henüz erken olsa da söz konusu miktarların bankanın mali gücünü ve sağlamlığını tehdit edecek nitelikte olmadığı vurgulanıyor.
Banka, olayın kendi çalışanlarının bir insan hatasından kaynaklandığını da reddediyor ve olayı dışarıdan gelen “sofistike bir saldırı” olarak tanımlıyor. Saldırının kökeni ve yöntemi, adli makamlar ve kolluk kuvvetleriyle birlikte inceleniyor.
Müşteriler için ne anlama geliyor?
Bankanın açıklamasına göre olayın müşterilerin varlıkları üzerinde bir etkisi yok; yalnızca bazı havale işlemlerinde gecikme yaşandı. Bununla birlikte banka, müşterilerini oltalama (phishing) girişimlerine karşı uyarıyor. Banka bunun müşteri verilerinin ele geçirildiği anlamına gelmediğini, bu tür saldırıların ardından gizli bilgileri ele geçirmeye çalışan sahte mesajların artmasının yaygın olduğunu ve uyarının önleyici olduğunu belirtiyor. Müşterilerden, telefon ya da e-postayla hassas bilgi paylaşmamaları ve şüpheli mesajları doğrudan danışmanlarını arayarak doğrulamaları isteniyor.
Tedarik zinciri riskinin bankacılıktaki yüzü
Olay, kurumların en güçlü savunmasının bile bir hizmet sağlayıcının platformu kadar güçlü olduğunu yeniden hatırlatıyor. Saldırganlar müşteri hesaplarıyla uğraşmak yerine, kurumun kendi para hareketlerini yönetebilen bir bağlantıyı kullandı ve fonları hızla kripto paraya çevirerek iz sürmeyi zorlaştırdı. Kamuoyuna açıklamanın zamanlaması da tartışmanın parçası: Araştırmacının iddiasına göre geç kalınan her gün, aklanan para miktarını artırdı.
Kurumlar için çıkarılacak dersler belli: Hizmet sağlayıcıların erişim yetkileri en az ayrıcalık ilkesiyle sınırlanmalı, kurumun kendi hesaplarından yapılan yüksek tutarlı ve olağan dışı transferler için ek onay ve anomali tespiti bulunmalı, olay müdahale planları ise kripto borsalarıyla hızlı iletişim kurmayı da kapsamalı.
Kaynak: Crédit Mutuel Arkéa basın açıklaması, BleepingComputer
