Tra il 1° e il 2 novembre 2026 sono stati sottratti circa 118 milioni di euro (oltre 133 milioni di dollari) al gruppo bancario francese Crédit Mutuel Arkéa, secondo le stime dell'investigatore blockchain ZachXBT e le cifre riportate dalla stampa francese. La banca, che il 4 novembre ha confermato l'incidente, non ha pubblicato l'importo ma ha dichiarato che l'ordine di grandezza è corretto. Non si tratta di un caso lontano da noi: il punto di ingresso, un fornitore di servizi terzo, è esattamente lo scenario che il regolamento europeo DORA, applicabile dal 17 gennaio 2025, vuole prevenire.

Cosa è successo, secondo le fonti

Le ricostruzioni concordano su alcuni elementi. Gli aggressori sono entrati attraverso la piattaforma di un fornitore di servizi, non nominato, ottenendo accesso a un conto interno della banca (di tesoreria, secondo Ledger Insights). Da lì hanno disposto trasferimenti verso altri istituti finanziari, da cui i fondi sono stati convertiti in criptovalute. Il 4 novembre Arkéa ha comunicato ai clienti che l'incidente era sotto controllo e chiuso, che nessun conto cliente era stato toccato e che l'unico effetto era stato il ritardo di alcuni bonifici; alcuni fondi sono stati congelati, sono in corso azioni di recupero, le autorità sono state informate e le forze dell'ordine francesi indagano.

Sui dettagli le fonti divergono, e conviene separare ciò che è confermato da ciò che non lo è. L'analisi on-chain di Bitquery, ripresa da The Next Web, parla di circa 109 milioni di USDC usciti da Kraken, Crypto.com e OKX tra l'1 e il 2 novembre; parte dei fondi sarebbe poi passata per ether e Monero, una criptovaluta pensata per ostacolare la tracciabilità. Alcuni media avevano indicato la controllata Fortuneo come punto di ingresso, ma la banca ha respinto questa ipotesi parlando di un «attacco sofisticato dall'esterno». ZachXBT ritiene che l'operazione non sia riconducibile al gruppo nordcoreano Lazarus. Nessun responsabile è stato identificato. Arkéa ha 5,8 milioni di clienti e circa 211 miliardi di euro di attivi: la perdita, ha detto, non mette a rischio la solidità del gruppo.

Perché il caso è istruttivo

Due cose colpiscono. La prima è che il danno non è stato la perdita di dati dei clienti, ma il furto diretto di liquidità dell'istituto tramite la sua stessa infrastruttura di pagamento. La seconda è la velocità: la conversione in stablecoin e l'uscita verso gli exchange sono avvenute nell'arco di poche ore, una finestra in cui il rilevamento e il blocco dei pagamenti anomali fanno la differenza tra una perdita e un quasi-incidente. Il caso arriva pochi giorni dopo il furto da 6,3 miliardi di dollari subìto da Binance, già trattato su questo sito, e conferma che il settore finanziario, e i suoi fornitori, restano un bersaglio privilegiato.

Cosa significa per le aziende italiane

Per banche, intermediari e assicurazioni italiane, soggetti a DORA, la lezione riguarda la gestione del rischio dei fornitori ICT. Il regolamento (UE 2022/2554) richiede un registro delle informazioni sugli accordi con i fornitori terzi, clausole contrattuali minime (audit, notifica degli incidenti, strategie di uscita) e una valutazione specifica dei fornitori che supportano funzioni critiche. Quando l'accesso di un fornitore equivale a poter muovere denaro dall'istituto, i controlli sulle sue credenziali, sulle sessioni privilegiate e sui limiti operativi dei pagamenti dovrebbero essere trattati come controlli interni, non come una questione contrattuale.

Anche la tempistica di notifica è un tema pratico. Per DORA un incidente classificato come «maggiore» va notificato all'autorità competente con una prima comunicazione entro 4 ore dalla classificazione e comunque entro 24 ore da quando se ne è venuti a conoscenza, seguita da un rapporto intermedio e da uno finale. Il caso Arkéa mostra quanto sia importante avere già pronti criteri di classificazione e contatti: perdere ore a decidere se «è davvero un incidente maggiore» è un lusso che non ci si può permettere.

Il tema riguarda anche chi non è una banca. Le PMI che forniscono servizi di pagamento, gestionali o piattaforme a clienti finanziari rientrano nella catena di fornitura e riceveranno richieste contrattuali sempre più dettagliate. Per i soggetti NIS2 la sicurezza della supply chain è comunque una misura obbligatoria, con obblighi di notifica a CSIRT Italia per gli incidenti significativi.

Cosa fare subito

  • Aggiornare l'elenco dei fornitori con accesso a sistemi di pagamento, tesoreria o dati sensibili, indicando quali hanno credenziali privilegiate o connessioni dirette.
  • Applicare ai canali dei fornitori gli stessi controlli degli utenti interni: MFA resistente al phishing, accessi just-in-time, sessioni registrate e segmentazione di rete.
  • Impostare limiti operativi e doppia autorizzazione sulle operazioni anomale di tesoreria (importi, orari, nuove controparti), con alert in tempo reale.
  • Verificare i contratti con i fornitori: obbligo di notifica rapida degli incidenti, diritto di audit, piani di uscita e contatti H24.
  • Provare un'esercitazione di incidente con scenario «accesso fornitore compromesso» e misurare i tempi di classificazione e notifica rispetto alle scadenze DORA/NIS2.
  • Preparare messaggi chiari per i clienti e avvertirli di possibili ondate di phishing che sfruttano la notizia, come ha fatto la stessa Arkéa.