Französische Bank verliert rund 100 Mio. Euro bei Cyberangriff – KI „sehr wahrscheinlich“ im Spiel

Angreifer verschafften sich über einen kompromittierten Dienstleister Zugang zu den Systemen von Crédit Mutuel Arkéa und transferierten per Sofortüberweisung rund 100 Millionen Euro von einem Konto der Bank. Der Vorstandschef bezeichnet den Vorfall als „Diebstahl einer neuen Art“ und sagt, KI habe sehr wahrscheinlich geholfen. Wie genau es dazu kam, erklärt er jedoch nicht.

Crédit Mutuel Arkéa, die in der Bretagne ansässige Banken- und Versicherungsgruppe hinter Crédit Mutuel de Bretagne, Crédit Mutuel du Sud-Ouest und der Onlinebank Fortuneo, machte den Angriff am 4. November öffentlich. In einem am 12. November veröffentlichten Interview mit AFP bezeichnet Vorstandschef Julien Carmona den Angriff als beispiellos „in puncto Raffinesse“ und bestätigt, dass sich die finanziellen Folgen auf „rund hundert Millionen Euro“ belaufen. Das entspreche etwa einem Prozent des Eigenkapitals der Gruppe oder dem Gewinn eines Quartals. Die Solidität der Bank sei dadurch „absolut nicht beeinträchtigt“. Laut Reuters zielte der Angriff auf ein Konto der Bank und nicht auf die Konten ihrer Kunden.

So lief der Angriff ab

Der Angriff nahm außerhalb der Bank seinen Anfang. Am 27. Oktober stellte Crédit Mutuel Arkéa Anzeichen dafür fest, dass die Systeme eines Dienstleisters kompromittiert worden waren. Die Bank kappte die Verbindung zu diesem Anbieter und informierte die Behörden. „Zu diesem Zeitpunkt gab es jedoch nichts, was uns hätte erkennen lassen, dass Daten von diesem Drittanbieter entwendet worden waren, um anschließend in unser eigenes Informationssystem einzudringen“, sagt Carmona gegenüber AFP. Die Bank hat den Dienstleister nicht namentlich genannt. Im Gespräch mit Les Echos erklärte Carmona, dies sei eine gemeinsame Entscheidung der Banken gewesen. Eine namentliche Nennung könnte ähnliche Dienstleister ebenfalls einem Angriff aussetzen.

Nach dem Eindringen erstellten die Angreifer gefälschte Fortuneo-IBANs. Über diese lösten sie von einem eigenen Konto bei Crédit Mutuel Arkéa ausgehende Zahlungsaufträge an externe Empfänger aus – über Sofortzahlungssysteme, die laut Carmona „definitionsgemäß weniger Kontrollen unterliegen als klassische Überweisungen“. Die Überweisungen begannen am Sonntag, dem 1. November. Dabei sei „alles unternommen worden, um Kontrollen zu umgehen und diese unrechtmäßigen Überweisungen legitim erscheinen zu lassen“. Das Geld ging an echte Konten bei anderen regulären europäischen Banken, die die Betrüger selbst eröffnet hatten. Für Carmona war das ein Zeichen dafür, dass der Angriff lange im Voraus vorbereitet worden war. Anschließend wurde das Geld auf Kryptoplattformen transferiert, um seine Herkunft zu verschleiern.

Am Morgen des Dienstags, dem 3. November, erkannte die Bank das Ausmaß des Betrugs. Um weitere Verluste zu verhindern, kappte sie sämtliche externe Zugänge zu ihrem Informationssystem und die Verbindung zum Interbanken-Zahlungssystem. Außerdem entfernte sie die gefälschten Konten und änderte alle Zugangsdaten, bevor sie den Vorfall am folgenden Tag öffentlich machte. Carmona sagte gegenüber Les Echos, dass die Systeme von Fortuneo und damit auch die Kunden der Onlinebank nicht betroffen gewesen seien.

Kryptotransaktionen wurden vor der öffentlichen Bekanntgabe der Bank entdeckt

Carmona räumt ein, dass Experten für Krypto-Assets bereits am Sonntag und Montag ungewöhnliche Transaktionen zu Kryptoplattformen beobachtet hatten. „Zu diesem Zeitpunkt stellte jedoch weder von ihnen noch, soweit ich weiß, sonst jemand eine Verbindung zu Crédit Mutuel Arkéa her“, sagte er.

Mindestens ein Ermittler erkannte den Zusammenhang, bevor die Bank sich äußerte. Der Blockchain-Analyst ZachXBT wies am 2. November auf verdächtige Abhebungen von mehr als 106 Millionen US-Dollar hin. Am 4. November erhöhte er seine Schätzung auf mehr als 133 Millionen US-Dollar und nannte Crédit Mutuel Arkéa als mutmaßliches Opfer, berichtet CoinDesk. Das Blockchain-Analyseunternehmen Bitquery verfolgte am 1. und 2. November innerhalb von 21 Stunden Abhebungen in Höhe von 108,8 Millionen US-Dollar in USDC von Konten bei Kraken, Crypto.com und OKX zurück. Ein großer Teil davon wurde in Ether umgetauscht, das von keinem zentralen Herausgeber eingefroren werden kann. Crypto.com erklärt, Gelder mit Bezug zu dem Vorfall blockiert zu haben. OKX teilt mit, das Konto eines institutionellen Kunden eingefroren zu haben. ZachXBT sagt, er sei „mit hoher Sicherheit“ davon überzeugt, dass Nordkoreas Lazarus-Gruppe nicht hinter dem Angriff stecke.

Die Bank hat noch keine endgültige Verlustsumme veröffentlicht, weil sie hofft, einen Teil des Geldes zurückzuerhalten. Carmona sagt, Banken und Kryptoplattformen hätten einige Überweisungen zurückhalten oder einfrieren können. Ein Teil der Gelder sei wiederbeschafft worden, über den Verbleib des restlichen Geldes werde noch verhandelt. Zudem stehe die Bank mit ihrem Versicherer in Gesprächen. Reuters berichtet, dass die Cybercrime-Einheit der Pariser Staatsanwaltschaft nach Eingang der Anzeige der Bank am 4. November Ermittlungen aufgenommen habe.

Welche Rolle spielte die KI?

Carmona bezeichnet die Angreifer als „sehr gut organisierte, sehr gut ausgestattete und sehr gut ausgerüstete kriminelle Gruppe“, die einen Angriff verübt habe, der „sehr wahrscheinlich durch fortschrittliche künstliche Intelligenz unterstützt“ worden sei. Allerdings hat sich niemand zu dem Angriff bekannt, und Carmona hat nicht näher erläutert, was die KI angeblich getan haben soll.

Das ist relevant, denn die bislang bekannt gewordenen Methoden sind seit Langem bekannt und keineswegs neu – auch wenn hier KI dafür verantwortlich gemacht wird. Ein kompromittierter Dienstleister, gestohlene Zugangsdaten, betrügerische Zahlungsaufträge, Konten bei anderen Banken, über die Geld weitergeleitet wird, und Geldwäsche über Kryptoplattformen erfordern keine KI. Sie könnte durchaus bei der Aufklärung, beim Programmieren oder beim Fälschen von Dokumenten geholfen haben, die für die Eröffnung dieser Konten benötigt wurden. Bislang stammt diese Behauptung jedoch von einem Opfer, das keine Belege vorgelegt hat. Dasselbe gilt für Carmonas eigene Einschätzung, Crédit Mutuel Arkéa sei die erste französische und möglicherweise europäische Bank, die Opfer eines erfolgreichen Angriffs dieser Art geworden sei.