{"id":127144,"date":"2026-11-08T10:58:50","date_gmt":"2026-11-08T09:58:50","guid":{"rendered":"https:\/\/ceadigilaw.org\/?p=127144"},"modified":"2026-11-08T10:58:50","modified_gmt":"2026-11-08T09:58:50","slug":"credit-mutuel-arkea-ciberataque-investigacion-dora","status":"publish","type":"post","link":"https:\/\/ceadigilaw.org\/es\/blog\/credit-mutuel-arkea-ciberataque-investigacion-dora\/","title":{"rendered":"Cr\u00e9dit Mutuel Ark\u00e9a: ciberataque, investigaci\u00f3n en Par\u00eds y marco DORA"},"content":{"rendered":"<div class=\"cea-blog-resumen\">\n<p><strong>En resumen<\/strong><\/p>\n<ul>\n<li>Cr\u00e9dit Mutuel Ark\u00e9a confirm\u00f3 el 4 de noviembre de 2026 un ataque que permiti\u00f3 operaciones fraudulentas de m\u00e1s de 100 millones de euros, sin consecuencias para los fondos de los clientes, seg\u00fan la entidad.<\/li>\n<li>La fiscal\u00eda de Par\u00eds abri\u00f3 una investigaci\u00f3n tras la denuncia del grupo. La entidad indica que los fondos pasaron por la plataforma de un proveedor.<\/li>\n<li>El caso ilustra la importancia de la gesti\u00f3n del riesgo de terceros TIC y de la notificaci\u00f3n de incidentes bajo DORA.<\/li>\n<\/ul>\n<\/div>\n<p>El 4 de noviembre de 2026, el Cr\u00e9dit Mutuel Ark\u00e9a confirm\u00f3 haber sido v\u00edctima de un ataque que permiti\u00f3 realizar operaciones fraudulentas por m\u00e1s de 100 millones de euros, seg\u00fan <a href=\"https:\/\/www.franceinfo.fr\/economie\/fraude\/le-credit-mutuel-arkea-bretagne-victime-d-un-piratage-de-plus-de-100-millions-d-euros-sans-repercussion-pour-les-clients_8267399.html\" target=\"_blank\" rel=\"noopener\">franceinfo<\/a>. Para el Comit\u00e9 Euro Americano de Derecho Digital &#8211; CEA Digital Law, el caso interesa por lo que revela sobre la resiliencia operativa de las entidades financieras y sobre sus proveedores tecnol\u00f3gicos.<\/p>\n<h2>Qu\u00e9 se sabe del incidente<\/h2>\n<p>Seg\u00fan franceinfo, el grupo, formado por las federaciones del Cr\u00e9dit Mutuel de Bretagne y del Sud-Ouest, afirma que el incidente est\u00e1 controlado. Sostiene adem\u00e1s que no afecta a los fondos de sus clientes y que solo provoc\u00f3 la ejecuci\u00f3n diferida de algunas transferencias. La entidad explica que una parte de los fondos pudo bloquearse y que se adoptan otras medidas para recuperarlos. A\u00f1ade que las operaciones no pasaron por cuentas de clientes de sus federaciones ni de sus filiales, sino por la plataforma de uno de sus prestadores, y que as\u00ed llegaron directamente al grupo. Tambi\u00e9n indic\u00f3 que esper\u00f3 a tener condiciones de seguridad \u00f3ptimas antes de restablecer el acceso a su aplicaci\u00f3n.<\/p>\n<p>El importe procede de fuentes cercanas al expediente citadas por la prensa. Conviene tratarlo como cifra no confirmada oficialmente en todos sus extremos.<\/p>\n<h2>La v\u00eda penal<\/h2>\n<p>La fiscal\u00eda de Par\u00eds inform\u00f3, seg\u00fan la misma fuente, de que recibi\u00f3 una denuncia del grupo y abri\u00f3 de inmediato una investigaci\u00f3n. Por tratarse de un procedimiento en curso, no cabe atribuir responsabilidades a nadie. Los hechos probados y la identidad de los autores corresponder\u00e1n a la investigaci\u00f3n.<\/p>\n<h2>El marco europeo aplicable<\/h2>\n<p>El Reglamento (UE) 2022\/2554, conocido como DORA, se aplica desde el 17 de enero de 2025 a las entidades financieras de la Uni\u00f3n. Exige gobernanza del riesgo TIC, pruebas de resiliencia, control de los proveedores tecnol\u00f3gicos y notificaci\u00f3n de incidentes graves a la autoridad competente. Que el relato de la entidad apunte a la plataforma de un prestador sit\u00faa el debate en la gesti\u00f3n del riesgo de terceros y en la cadena de pagos. La directiva NIS2 es otro marco de referencia en ciberseguridad, aunque para el sector bancario DORA act\u00faa como r\u00e9gimen sectorial espec\u00edfico. Si se notific\u00f3 el incidente, cu\u00e1ndo y con qu\u00e9 contenido son datos que no constan p\u00fablicamente, y no los damos por supuestos.<\/p>\n<h2>La mirada de CEA Digital Law<\/h2>\n<p>Proponemos tres lecturas pr\u00e1cticas, sin prejuzgar el resultado de la investigaci\u00f3n.<\/p>\n<ul>\n<li><strong>Los contratos con proveedores importan.<\/strong> Cuando un incidente cruza la frontera entre banco y prestador, las cl\u00e1usulas de seguridad, auditor\u00eda, cooperaci\u00f3n y notificaci\u00f3n pasan de ser papel a ser operativa. Las entidades deber\u00edan revisarlas a la luz de DORA.<\/li>\n<li><strong>La rapidez de la respuesta es parte del cumplimiento.<\/strong> Bloquear fondos, informar a clientes y cooperar con la justicia en horas condiciona la recuperaci\u00f3n. Los ejercicios de simulaci\u00f3n deber\u00edan incluir escenarios de fraude en los canales de liquidaci\u00f3n.<\/li>\n<li><strong>Cooperaci\u00f3n m\u00e1s all\u00e1 de Europa.<\/strong> En Am\u00e9rica Latina y el Caribe y en \u00c1frica, donde crece la banca digital y los pagos instant\u00e1neos, los supervisores pueden aprender de DORA un enfoque basado en el riesgo de terceros e intercambio temprano de informaci\u00f3n. La cooperaci\u00f3n judicial internacional ser\u00e1 decisiva cuando los fondos se desplazan entre jurisdicciones.<\/li>\n<\/ul>\n<p>Queda abierta una cuesti\u00f3n: c\u00f3mo repartir responsabilidades entre entidad y proveedor sin debilitar la protecci\u00f3n de los clientes. Esperamos que las autoridades supervisoras aporten criterios, cuando proceda.<\/p>\n<h2>Fuentes<\/h2>\n<ul class=\"cea-blog-fuentes\">\n<li><a href=\"https:\/\/www.franceinfo.fr\/economie\/fraude\/le-credit-mutuel-arkea-bretagne-victime-d-un-piratage-de-plus-de-100-millions-d-euros-sans-repercussion-pour-les-clients_8267399.html\" target=\"_blank\" rel=\"noopener\">franceinfo: Le Cr\u00e9dit Mutuel Ark\u00e9a victime d&#039;un piratage de plus de 100 millions d&#039;euros<\/a><\/li>\n<li><a href=\"https:\/\/www.euribor.com.es\/2026\/11\/05\/arkea-pierde-100-millones-en-un-ciberataque-y-alerta-al-sector\/\" target=\"_blank\" rel=\"noopener\">Euribor.com.es: Ark\u00e9a pierde 100 millones en un ciberataque y alerta al sector<\/a><\/li>\n<\/ul>\n<p class=\"cea-blog-firma\"><em>CEA Digital Law<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Cr\u00e9dit Mutuel Ark\u00e9a confirma un ataque con operaciones fraudulentas de m\u00e1s de 100 millones de euros. Analizamos qu\u00e9 implica para DORA y la gesti\u00f3n de terceros.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"wds_primary_category":0,"wds_primary_cea_women":0,"footnotes":""},"categories":[1087],"tags":[1529,245,1000,1415,1530],"cea_women":[],"class_list":["post-127144","post","type-post","status-publish","format-standard","hentry","category-ciberseguridad","tag-banca","tag-ciberseguridad","tag-dora","tag-francia","tag-riesgo-de-terceros"],"acf":[],"_links":{"self":[{"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/posts\/127144","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/comments?post=127144"}],"version-history":[{"count":1,"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/posts\/127144\/revisions"}],"predecessor-version":[{"id":127159,"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/posts\/127144\/revisions\/127159"}],"wp:attachment":[{"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/media?parent=127144"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/categories?post=127144"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/tags?post=127144"},{"taxonomy":"cea_women","embeddable":true,"href":"https:\/\/ceadigilaw.org\/es\/wp-json\/wp\/v2\/cea_women?post=127144"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}