Para: clientes de Crédit Mutuel Arkéa (incluidos Crédit Mutuel de Bretagne, Crédit Mutuel du Sud-Ouest y filiales como Fortuneo) y empresas que conectan proveedores externos a sus sistemas de pagos y transferencias. Este artículo se basa en los comunicados oficiales de Crédit Mutuel Arkéa y no aborda métodos de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
- A quién afecta
clientes de Crédit Mutuel Arkéa (incluidos Crédit Mutuel de Bretagne, Crédit Mutuel du Sud-Ouest y filiales como Fortuneo) y empresas que conectan proveedores externos a sus sistemas de pagos y transferencias.
- Confirmado hasta ahoraVer la tabla ↓
- Transferencias fraudulentas desde su propia cuenta
- Transferencias a otros bancos
- Entrada a través de la plataforma de un proveedor de servicios
2 más
- Algunas transferencias ejecutadas con retraso
- Parte de los fondos bloqueada
Señalado como posiblemente afectado
- Conversión en criptomonedas
- Aún sin confirmar
- El importe final y cuánto puede recuperarse
- La plataforma del proveedor de servicios y cómo se desarrolló la intrusión
- Si los fondos enviados a otros actores bancarios se convirtieron en criptomonedas
2 más
- El resultado de la investigación de las autoridades
- La resolución completa de las transferencias retrasadas
- Qué hacer ahoraVer los pasos ↓
- Sepa si le afecta: las cuentas de los clientes no se usaron
- No abra enlaces de mensajes que digan ser del grupo ni comparta secretos
- Confirme por un canal que abra usted mismo o pregunte directamente a su asesor
2 más
- Si una transferencia suya se retrasó, compruébela en la aplicación oficial
- Empresas: enumeren las conexiones y los privilegios de los proveedores (lo primero que hay que hacer)
- Dónde verificarlo (fuente)Todas las fuentes ↓
- Crédit Mutuel Arkéa, «Crédit Mutuel Arkéa annonce avoir été victime d'une attaque» (comunicado de prensa, 4 de noviembre de 2026, en francés)
- Última comprobación
- A 7 de noviembre de 2026
Próximos avisos y qué comprobamos
El grupo publicó un comunicado y una declaración complementaria el 4 de noviembre y dice que informará de la evolución en cuanto haya nuevos elementos. Comprobamos su lista de comunicados de prensa el 7 de noviembre y no encontramos nada más reciente que esos dos documentos.
Qué deben hacer hoy clientes y empresas
Sepa si le afecta: las cuentas de los clientes no se usaron
El grupo dice que los atacantes usaron la cuenta propia de Arkéa y no pasaron por las cuentas de clientes de sus federaciones o filiales. Dice que los activos de los clientes no están afectados y que solo algunas transferencias se ejecutaron con retraso.
Sus declaraciones no piden a los clientes que cambien contraseñas ni que tomen medidas similares. Tampoco dicen si se vieron comprometidos datos de clientes (véase la tabla de abajo).
No abra enlaces de mensajes que digan ser del grupo ni comparta secretos
El grupo advierte de que son posibles intentos de phishing tras este ataque y pide a los clientes que nunca compartan su identificador, contraseña, número de tarjeta ni el código de validación recibido por SMS.
Esto vale para mensajes que dicen «para completar su transferencia» o «para proteger su cuenta». Que un mensaje mencione correctamente lo que usted vio en las noticias no prueba que sea genuino (consejo de este sitio; véase Qué es el phishing).
Confirme por un canal que abra usted mismo o pregunte directamente a su asesor
En caso de duda, el grupo dice que contacte directamente con su asesor bancario para confirmar que un mensaje es genuino.
Si no tiene asesor, este sitio sugiere usar la aplicación de su pantalla de inicio o un sitio oficial que usted mismo haya guardado en favoritos, no un enlace ni un número de teléfono del mensaje.
Si una transferencia suya se retrasó, compruébela en la aplicación oficial
El grupo dice que suspendió temporalmente ciertas operaciones para evitar más fraudes y que casi todas las operaciones se reanudaron la mañana del 4 de noviembre. Compruebe el estado de una transferencia retrasada en la aplicación o el sitio web oficial que abra usted mismo.
Un mensaje que le haga introducir datos en una página enlazada para «reiniciar una transferencia bloqueada» no es un paso que el grupo haya descrito. No lo siga (consejo de este sitio).
Empresas: enumeren las conexiones y los privilegios de los proveedores (lo primero que hay que hacer)
El grupo dice que el ataque llegó a él a través de la plataforma de un proveedor de servicios. Si conecta proveedores externos a sus sistemas de pagos y transferencias, empiece por enumerar qué proveedor tiene qué conexión y qué operaciones puede realizar.
Anote por separado si cada uno solo puede ver, puede crear datos de transferencia o puede aprobar y ejecutar. Los puntos de revisión se explican en la sección para empresas más abajo.
Qué ocurrió (según los comunicados de Crédit Mutuel Arkéa)
El grupo publicó un comunicado el 4 de noviembre de 2026 y, más tarde ese mismo día, una declaración complementaria que responde a las principales preguntas recibidas. Todo lo que sigue se basa en esos dos documentos.
Detección (fecha no publicada)
El grupo dice que un ataque permitió operaciones fraudulentas. Tras detectarlo, siguió los procedimientos habituales e informó a las autoridades competentes y de supervisión, y suspendió temporalmente ciertas operaciones para evitar nuevos movimientos fraudulentos.4 de noviembre (miércoles), por la mañana
Las operaciones se reanudaron progresivamente. El grupo dice que casi todas se habían reanudado a lo largo de la mañana.4 de noviembre
Se publican el comunicado y la declaración complementaria (respuestas a preguntas). El grupo dice que el incidente está cerrado y bajo control.7 de noviembre
Este sitio comprobó la lista de comunicados de prensa del grupo. No se encontró nada más reciente que los dos documentos del 4 de noviembre.
Atacantes externos
Descrito por el grupo como un ataque externo sofisticado
↓ llegaron al grupo a través de la plataforma de un proveedor de servicios
Cuenta propia de Crédit Mutuel Arkéa
No se usaron cuentas de clientes de las federaciones ni de las filiales (grupo)
↓ transferencias a otros actores bancarios
Otros actores bancarios
Después pudo convertirse en criptomonedas (grupo). Parte de los fondos bloqueada
- Qué ocurrió
- Un ataque permitió operaciones fraudulentas. El grupo dice que el incidente está cerrado y bajo control (4 de noviembre)
- Punto de entrada (versión del grupo)
- Llegó al grupo directamente a través de la plataforma de un proveedor de servicios. No se publican el proveedor ni el método
- Cuenta utilizada
- La cuenta propia de Arkéa. No se usaron las cuentas de clientes de sus federaciones y filiales
- Adónde fue el dinero
- Transferencias a otros actores bancarios, lo que después pudo permitir a los atacantes convertir el dinero en criptomonedas mediante plataformas especializadas
- Negado por el grupo
- Un error humano en Arkéa como causa. Las informaciones de prensa según las cuales la intrusión se produjo a través de su filial de banca en línea (Fortuneo)
- Impacto en los clientes
- Sin impacto en los activos de los clientes. Algunas transferencias ejecutadas con retraso. Casi todas las operaciones se reanudaron la mañana del 4 de noviembre
- Importes implicados
- En evaluación; todavía no está en el momento de publicar una cifra definitiva. Parte de los fondos bloqueada y acciones de recuperación en curso. El grupo dice que los importes no son de naturaleza que afecte a su solidez financiera
- Cifra planteada en la prensa y en las preguntas
- Sobre los 118 millones de euros (133 millones de dólares) planteados como pregunta en la declaración complementaria del grupo, este no la confirmó y dijo que el orden de magnitud es válido
- Autoridades
- Informadas las autoridades competentes y de supervisión según los procedimientos habituales; trabaja con las autoridades judiciales y policiales sobre el origen y el método
- Mensaje a los clientes
- El phishing es posible; nunca comparta identificador, contraseña, número de tarjeta ni código de validación por SMS; en caso de duda, contacte directamente con su asesor bancario
- Tamaño del grupo (descripción del grupo)
- 12.073 empleados y más de 5,8 millones de socios y clientes
Qué se sabe y qué todavía no
El estado a 7 de noviembre de 2026 (recoge el comunicado y la declaración complementaria del 4 de noviembre). Esta tabla se reescribirá cuando haya novedades.
| Elemento | Lo que dice el grupo | Estado |
|---|---|---|
| Transferencias fraudulentas desde su propia cuenta | Un ataque permitió operaciones fraudulentas, usando la cuenta propia de Arkéa | Confirmado (empresa) |
| Transferencias a otros bancos | Se hicieron transferencias a otros actores bancarios | Confirmado (empresa) |
| Entrada a través de la plataforma de un proveedor de servicios | Versión del grupo; proveedor y método no publicados | Confirmado (empresa) |
| Algunas transferencias ejecutadas con retraso | Algunas transferencias se retrasaron; casi todas se reanudaron la mañana del 4 de nov. | Confirmado (empresa) |
| Parte de los fondos bloqueada | Parte de los fondos se bloqueó; acciones de recuperación en curso | Confirmado (empresa) |
| Conversión en criptomonedas | Pudo ser posible a través de otros actores bancarios | Posible (empresa) |
| Efecto en los activos de los clientes | Ninguno | No incluido (empresa) |
| Cuentas de clientes o de filiales usadas | No se usaron | No incluido (empresa) |
| Error humano en Arkéa como causa | Negado; un ataque externo sofisticado | No incluido (empresa) |
| Intrusión a través de la filial de banca en línea (Fortuneo) | Negado; llegó al grupo directamente a través de la plataforma de un proveedor | No incluido (empresa) |
| Datos personales de clientes | No indicado (la P7 describe una advertencia preventiva; no hay declaración sobre si se filtraron datos) | No indicado |
| Importes implicados | En evaluación. Sobre los 118 millones de euros planteados en la pregunta de la declaración complementaria, no confirmados, orden de magnitud válido; cifra definitiva aún no publicada | En investigación |
| Importe recuperable | Acciones de recuperación en curso; sin importe publicado | En investigación |
| Proveedor de servicios y método | No publicados; se están estableciendo con las autoridades | En investigación |
| Contacto con las autoridades | Informadas las autoridades competentes y de supervisión; las autoridades judiciales y policiales trabajan con el grupo | Hecho |
Cómo leer el importe: la cifra no es una que el grupo haya confirmado
118 millones de euros es una cifra de la prensa y de una pregunta de la declaración complementaria del grupo. El grupo no la confirmó, dijo solo que el orden de magnitud es válido y que todavía no está en el momento de publicar una cifra definitiva.
Por eso este sitio no trata el importe como una cifra del grupo. Reescribiremos este artículo cuando el grupo dé una cifra definitiva.
A qué puede dar lugar este tipo de caso
Como dice el grupo, los activos de los clientes no están afectados. Aun así, dos cosas pueden importar a los usuarios. Lo siguiente es lo que, en general, puede ocurrir en una situación así, no algo que el grupo haya dicho que ocurrió aquí.
- Cuando un incidente o fraude bancario sale en las noticias, suele circular phishing basado en «comprobar su cuenta», «reiniciar una transferencia bloqueada» o «compensación». Conocer la noticia basta para que un mensaje así parezca genuino
- Cuando el sistema de un proveedor es la vía de entrada, las pantallas y los procedimientos del banco siguen siendo genuinos y los clientes no ven nada distinto. Lo que pueden hacer los clientes es, sobre todo, no responder a mensajes falsos
Qué deben revisar las empresas: las conexiones de proveedores a los sistemas de pagos y transferencias
Lo que se sabe: el ataque llegó al grupo a través de la plataforma de un proveedor de servicios, se envió dinero desde su cuenta propia a otros actores bancarios, y el grupo dice que sus sistemas detectaron rápidamente actividad sospechosa y que suspendió ciertas operaciones. El método no se ha publicado, así que aquí solo se dan puntos de revisión generales que se derivan de la secuencia publicada. No significan que el grupo o su proveedor dejaran de hacerlos.
Enumere las conexiones y los privilegios de los proveedores
Para cada proveedor externo que interviene en pagos y transferencias, anote cómo se conecta, qué cuenta usa y qué operaciones puede realizar. Separar solo ver, crear datos de transferencia, aprobar y ejecutar mostrará los privilegios demasiado amplios.
Separe el derecho a crear del derecho a aprobar y ejecutar
Compruebe que ninguna conexión de proveedor pueda llevar una transferencia desde su creación hasta su ejecución. Si la ejecución requiere la aprobación de una persona ajena al sistema del proveedor, el compromiso de una sola conexión no mueve fondos.
Fije límites y retenciones por destino e importe
Ponga límites a los destinos nuevos, a los importes inusuales y a las series rápidas de transferencias, y añada una retención y una confirmación por un segundo canal antes de ejecutar. Una primera regla que probar: retener toda transferencia a un destino nuevo, sea cual sea el importe, hasta que una segunda persona la confirme por teléfono u otro canal.
Decida de antemano el procedimiento de parada
El grupo suspendió ciertas operaciones tras la detección. Decida antes de un incidente quién puede ordenar una parada y cómo se reanuda. Un aviso a los clientes preparado de antemano también permite comunicar más rápido.
Las prioridades para toda la organización están en Base de seguridad para organizaciones.
Fuentes (registros públicos)
Los hechos de este artículo se basan en la información pública siguiente. No especulamos sobre el nombre del proveedor de servicios ni sobre cómo se produjo la intrusión, que no se han publicado.
- Crédit Mutuel Arkéa, «Crédit Mutuel Arkéa annonce avoir été victime d'une attaque» (comunicado de prensa, 4 de noviembre de 2026, en francés) — cm-arkea.com (PDF)
- Crédit Mutuel Arkéa, «Informations complémentaires suite à l'attaque dont le Crédit Mutuel Arkéa a été victime» (declaración complementaria, 4 de noviembre de 2026, en francés) — cm-arkea.com
- La lista de comunicados de prensa del grupo (comprobada el 7 de noviembre; nada más reciente que los dos documentos del 4 de noviembre) — cm-arkea.com
Historial de actualizaciones
2026-11-07: Primera versión. Basada en el comunicado y la declaración complementaria del grupo del 4 de noviembre de 2026 (comprobados el 7 de noviembre; no se encontró nada más reciente). El grupo dice que informará de la evolución en cuanto haya nuevos elementos. Actualizaremos este artículo cuando lo haga.
Lectura recomendada
- Mismo tipo de caso (sistemas de un proveedor externo): Acceso no autorizado a un contratista de Daiwa Securities
- Un robo de criptoactivos: Robo de criptoactivos en Bitget (unos 387,5 millones de dólares)
- Prepararse ante mensajes fraudulentos: Qué es el phishing / Cómo elegir la autenticación multifactor
- Preparación a nivel de organización: Base de seguridad para organizaciones
- Otros incidentes de 2026: Filtraciones de datos y ciberataques (Japón y el extranjero)