Crédit Mutuel Arkéa: ciberataque, investigación en París y marco DORA

El 4 de noviembre de 2026, el Crédit Mutuel Arkéa confirmó haber sido víctima de un ataque que permitió realizar operaciones fraudulentas por más de 100 millones de euros, según franceinfo. Para el Comité Euro Americano de Derecho Digital - CEA Digital Law, el caso interesa por lo que revela sobre la resiliencia operativa de las entidades financieras y sobre sus proveedores tecnológicos.

Qué se sabe del incidente

Según franceinfo, el grupo, formado por las federaciones del Crédit Mutuel de Bretagne y del Sud-Ouest, afirma que el incidente está controlado. Sostiene además que no afecta a los fondos de sus clientes y que solo provocó la ejecución diferida de algunas transferencias. La entidad explica que una parte de los fondos pudo bloquearse y que se adoptan otras medidas para recuperarlos. Añade que las operaciones no pasaron por cuentas de clientes de sus federaciones ni de sus filiales, sino por la plataforma de uno de sus prestadores, y que así llegaron directamente al grupo. También indicó que esperó a tener condiciones de seguridad óptimas antes de restablecer el acceso a su aplicación.

El importe procede de fuentes cercanas al expediente citadas por la prensa. Conviene tratarlo como cifra no confirmada oficialmente en todos sus extremos.

La vía penal

La fiscalía de París informó, según la misma fuente, de que recibió una denuncia del grupo y abrió de inmediato una investigación. Por tratarse de un procedimiento en curso, no cabe atribuir responsabilidades a nadie. Los hechos probados y la identidad de los autores corresponderán a la investigación.

El marco europeo aplicable

El Reglamento (UE) 2022/2554, conocido como DORA, se aplica desde el 17 de enero de 2025 a las entidades financieras de la Unión. Exige gobernanza del riesgo TIC, pruebas de resiliencia, control de los proveedores tecnológicos y notificación de incidentes graves a la autoridad competente. Que el relato de la entidad apunte a la plataforma de un prestador sitúa el debate en la gestión del riesgo de terceros y en la cadena de pagos. La directiva NIS2 es otro marco de referencia en ciberseguridad, aunque para el sector bancario DORA actúa como régimen sectorial específico. Si se notificó el incidente, cuándo y con qué contenido son datos que no constan públicamente, y no los damos por supuestos.

La mirada de CEA Digital Law

Proponemos tres lecturas prácticas, sin prejuzgar el resultado de la investigación.

• Los contratos con proveedores importan. Cuando un incidente cruza la frontera entre banco y prestador, las cláusulas de seguridad, auditoría, cooperación y notificación pasan de ser papel a ser operativa. Las entidades deberían revisarlas a la luz de DORA.
• La rapidez de la respuesta es parte del cumplimiento. Bloquear fondos, informar a clientes y cooperar con la justicia en horas condiciona la recuperación. Los ejercicios de simulación deberían incluir escenarios de fraude en los canales de liquidación.
• Cooperación más allá de Europa. En América Latina y el Caribe y en África, donde crece la banca digital y los pagos instantáneos, los supervisores pueden aprender de DORA un enfoque basado en el riesgo de terceros e intercambio temprano de información. La cooperación judicial internacional será decisiva cuando los fondos se desplazan entre jurisdicciones.

Queda abierta una cuestión: cómo repartir responsabilidades entre entidad y proveedor sin debilitar la protección de los clientes. Esperamos que las autoridades supervisoras aporten criterios, cuando proceda.

Fuentes

• franceinfo: Le Crédit Mutuel Arkéa victime d'un piratage de plus de 100 millions d'euros
• Euribor.com.es: Arkéa pierde 100 millones en un ciberataque y alerta al sector

CEA Digital Law