No engañaron a ningún cliente. El banco se pagó a sí mismo.

Público / grupo en riesgo

Equipos de seguridad, pagos y fraude de bancos, empresas que dan acceso a sus sistemas a proveedores, y cualquiera que lea titulares de «atraco con IA»

En qué puedes fijarte

• El 27 de octubre el banco detectó indicios de que el sistema de información de un proveedor estaba comprometido y cortó la conexión entre ambos; en ese momento, dice el presidente, nada hacía pensar que los atacantes pudieran llegar al banco.
• Desde el domingo 1 de noviembre, los atacantes generaron IBAN falsos a nombre de Fortuneo, el banco online del grupo, para lanzar órdenes de pago desde la cuenta propia de Crédit Mutuel Arkéa, no desde cuentas de clientes.
• Eligieron transferencias inmediatas, que según el presidente llevan por naturaleza menos controles que las ordinarias, y empezaron en fin de semana.
• El dinero fue primero a cuentas reales abiertas de antemano en otros bancos europeos y después a plataformas de criptomonedas para borrar el rastro; el presidente ve en esas cuentas previas la señal de un ataque preparado con mucho tiempo.
• Especialistas en cripto vieron transacciones anómalas el domingo y el lunes, y el investigador ZachXBT hizo público el fraude, pero el banco no midió el alcance hasta la mañana del martes, cuando cortó todos los accesos externos.

Lo que dice la fuente

Crédit Mutuel Arkéa anunció el 4 de noviembre de 2026 que un «ataque sofisticado procedente del exterior» había provocado transferencias fraudulentas de unos 100 millones de euros desde su cuenta propia hacia otros bancos, que el ataque estaba contenido y que los clientes no sufrieron pérdidas (AFP). La fiscalía de París abrió una investigación por ataque a un sistema de tratamiento automatizado de datos por banda organizada. Le Télégramme publicó una cifra mayor (133 millones), que el banco no confirmó. En una entrevista con AFP el 13 de noviembre, recogida por Silicon.fr e INCYBER, el presidente Julien Carmona describió la cronología: compromiso del proveedor detectado el 27 de octubre; IBAN falsos de Fortuneo usados desde el 1 de noviembre para lanzar órdenes de pago desde la cuenta propia del banco; transferencias inmediatas a cuentas reales en otros bancos europeos y después a plataformas cripto; descubrimiento del alcance el 3 de noviembre. Cifró la pérdida en unos 100 millones de euros, en torno al 1 % de los fondos propios del grupo, dijo que parte del dinero se ha recuperado o congelado, calificó el ataque de inédito en sofisticación y «muy probablemente» ayudado por inteligencia artificial avanzada, y dijo que se desconoce a los autores.

Lo que esta evidencia no puede decirnos

Este caso se apoya en las declaraciones del propio banco y en la prensa; ningún tribunal se ha pronunciado y los autores no están identificados. El papel de la inteligencia artificial es una valoración del presidente («muy probablemente»), y ninguna fuente publica pruebas de qué hizo la IA, si es que hizo algo; los 110 millones de dólares del titular son la conversión de unos 100 millones de euros, y el importe bruto desviado podría ser mayor. No se ha hecho público cómo se comprometió al proveedor ni cómo se aceptaron los IBAN falsos. Nada de lo que aquí se dice indica que clientes de Fortuneo o de Crédit Mutuel Arkéa perdieran dinero; no eran el objetivo.