Ciberataque a Crédit Mutuel Arkéa: la oleada de estafas que viene

Tras el ciberataque contra Crédit Mutuel Arkéa, anunciado el 4 de noviembre de 2026, el banco advirtió a sus clientes. Señala intentos de phishing que suplantan su identidad. Es un patrón habitual: un ataque con eco mediático sirve de pretexto a estafadores que no tienen relación con él. Asesores y empleados deben prepararse.

Este artículo recuerda lo que se sabe del ataque, sin extrapolar. Explica por qué una noticia así alimenta las estafas y qué hacer en cada puesto. Está fechado el 5 de noviembre de 2026: la investigación sigue en curso y las cifras cambian.

¿Qué se sabe del ciberataque contra Crédit Mutuel Arkéa?

Según la AFP, recogida por Boursorama el 4 de noviembre de 2026, el grupo anunció que había sido víctima de un ciberataque y que había presentado una denuncia esa misma mañana. Franceinfo detalló el caso el 5 de noviembre.

Sobre el importe, el banco solo valida un orden de magnitud de «varias decenas de millones de euros», aún en evaluación. La AFP habla de cerca de 100 millones de euros en una estimación provisional. Algunos especialistas apuntan a una cifra más alta, que no está confirmada.

Sobre el modus operandi, el banco describe un ataque sofisticado procedente del exterior, que pasó por la plataforma de uno de sus proveedores. Los atacantes habrían utilizado la cuenta propia del banco para realizar transacciones hacia otras entidades y después habrían convertido los fondos en criptomonedas. El banco descarta el error humano.

Para los clientes, el banco indica que no hay consecuencias sobre sus fondos, con algunas transferencias aplazadas. La fiscalía de París, sección de cibercriminalidad, ha abierto una investigación encomendada a la Oficina contra la Cibercriminalidad (OFAC).

Lo confirmado termina ahí. Nada en esta información señala una técnica de ingeniería social contra los equipos del banco, y este artículo no lo sugiere.

¿Por qué un ciberataque mediático desencadena estafas?

Una noticia de esta magnitud crea tres condiciones favorables a los estafadores. Tienen que ver con la psicología, no con la técnica.

• Una atención máxima. Los clientes leen las noticias y se preocupan por su dinero. Un mensaje sobre la seguridad de su cuenta se espera.
• Un pretexto a medida. «Tras el incidente, estamos controlando las cuentas» resulta creíble, porque el incidente es real y conocido.
• Una confusión deliberada. Las víctimas no distinguen entre el ataque contra el banco y el fraude que las tiene en el punto de mira. Creen responder a un servicio oficial.

Los estafadores no necesitan haber participado en el ataque ni disponer de dato alguno del banco. Se apoyan en el titular del día. El banco, de hecho, lo había previsto al advertir a sus clientes de intentos de phishing en su nombre.

¿Qué formas pueden adoptar estas estafas?

Las formas son conocidas y se combinan: SMS o correo que anuncia una cuenta «bloqueada» y enlace a una falsa página de acceso. A ello se suma la llamada de un supuesto asesor o del «servicio de seguridad» que pide validar operaciones. El artículo sobre el modus operandi del falso asesor bancario detalla este último caso, paso a paso.

El informe de actividad de 2025 de Cybermalveillance.gouv.fr, organismo público francés, da la medida del fenómeno: más de 500 000 solicitudes de asistencia, con un aumento de en torno al 20 % en un año. Según ese informe, el fraude del falso asesor bancario siguió creciendo un 159 %, y la suplantación de números de teléfono un 517 %.

Estas cifras son anteriores al ataque contra Arkéa y describen la tendencia general. Muestran que el terreno ya estaba muy activo antes de cualquier noticia, y que a un ciberataque mediático le basta con aprovecharlo.

¿Qué deben hacer los asesores bancarios?

Los asesores están en primera línea: sus clientes van a llamar, inquietos, o han recibido llamadas de falsos servicios. Su papel es tranquilizar sin dar pie a nada.

1. No pedir nunca un código ni una contraseña por teléfono. Según Cybermalveillance.gouv.fr, un asesor de verdad no lo hace. Decírselo explícitamente a los clientes.
2. Anunciar el canal oficial: aplicación, oficina, número que figura en el reverso de la tarjeta.
3. Ofrecerse a devolver la llamada al cliente al número registrado, nunca al que él cite.
4. Escuchar el relato completo de un cliente que cree haber recibido una llamada, y anotar los detalles para la comunicación del incidente.
5. Escalar de inmediato toda operación dudosa, sin esperar al final de la conversación.

Una frase útil: «Nunca le pediré un código, ni por teléfono ni por mensaje. Si se lo piden, cuelgue y llámenos desde la aplicación o la oficina».

¿Qué señales indican que un mensaje explota la actualidad?

Un mensaje oportunista tiene rasgos recurrentes. Detectarlos de antemano evita depender del reflejo del momento.

• Cita el incidente reciente como razón de su petición.
• Fija un plazo corto: «en una hora», «antes de que acabe el día».
• Pide una acción inmediata: hacer clic, llamar a un número, validar una operación.
• Facilita él mismo el número al que llamar o el enlace que abrir.
• Pide no hablar del tema, o no contactar con la oficina habitual.

Ninguno de estos rasgos basta por sí solo. Su combinación, con la actualidad de fondo, debe activar la devolución de llamada.

¿Qué decir a un cliente preocupado, en concreto?

Un cliente que llama tras leer la prensa quiere que le tranquilicen y le orienten. Funciona bien una respuesta en tres tiempos.

1. Reconocer la preocupación: «Entiendo que esta noticia le inquiete».
2. Dar el hecho confirmado: lo que el banco ha indicado públicamente, nada más. No especular sobre las causas ni los importes.
3. Dar la regla: «Nunca le pediremos un código. En caso de duda, utilice la aplicación o la oficina».

La disciplina del «hecho confirmado» es esencial. Un rumor repetido por un asesor se convierte en información oficial a ojos del cliente y puede ser aprovechado por un estafador.

¿Qué deben hacer los demás empleados?

En un banco, como en cualquier sitio, todo empleado puede recibir una llamada que explote la actualidad: un supuesto proveedor, un falso control interno, una llamada «de la sede» sobre verificaciones excepcionales.

• Considerar que una noticia importante aumenta la probabilidad de una llamada oportunista, y decirlo en el equipo.
• Aplicar sin excepción la devolución de llamada por un canal independiente ante toda petición inusual.
• Rechazar cualquier petición de saltarse el procedimiento en nombre de una «situación excepcional».
• Comunicar las llamadas, incluso las fallidas, con la ficha de datos que hay que recordar.

Este último punto es el más valioso: varias comunicaciones cercanas en el tiempo permiten al equipo de seguridad reconocer una campaña en curso.

¿Qué debe hacer un equipo de seguridad en los primeros días?

Cuando aparece una noticia de este tipo, las primeras horas deciden lo que viene después. Un equipo de seguridad puede actuar en cuatro frentes sin esperar a un incidente interno.

• Recordar con un mensaje breve la regla de la devolución de llamada y el canal para comunicar incidentes.
• Avisar a los equipos en contacto con el público: recepción, soporte, asesores, contabilidad.
• Recoger y cotejar las comunicaciones, para detectar una campaña.
• Comprobar que los procedimientos de validación de transferencias y de restablecimiento de accesos se aplican sin excepción.

El mensaje dirigido a los empleados debe ser factual: lo confirmado, la regla, el canal. No necesita ser alarmista para que se le haga caso.

¿Cómo prepararse antes de la próxima noticia?

Las estafas oportunistas vuelven con cada gran asunto. Los equipos que ya han pronunciado sus frases de negativa y practicado la devolución de llamada reaccionan mejor que los que releen un documento ese día.

La puesta en situación oral se presta a ello. En un juego de rol, un asesor o un empleado recibe la llamada de un personaje. Este se presenta como el servicio de seguridad «tras el incidente», presiona y culpabiliza. El alumno debe verificar, negarse y después comunicarlo. Un formador escribe el escenario a partir de las llamadas que su organización ha recibido realmente, con Face Up. El debriefing indica lo que se dijo, lo que debería haberse dicho y el plan de acción. El alumno repite después tantas veces como haga falta.

Para situarlo en un enfoque completo, consulte la guía sobre concienciación en ciberseguridad y vishing.

Preguntas frecuentes

¿El ataque contra Arkéa fue un ataque telefónico?

Nada lo indica. El banco describe un ataque externo sofisticado que pasó por la plataforma de un proveedor y descarta el error humano. Las estafas aquí mencionadas son distintas: se dirigen a clientes y empleados de otras entidades aprovechando la actualidad.

¿Qué hacer si se recibe un mensaje en nombre de un banco tras un ataque?

No hacer clic, no llamar al número del mensaje y contactar con su banco por la aplicación o la oficina. Según Cybermalveillance.gouv.fr, no valide nunca una operación que usted no haya iniciado.

¿Deben preocuparse los clientes por sus fondos?

Según el banco, el ataque no ha tenido consecuencias sobre los fondos de los clientes, con algunas transferencias aplazadas. El punto de vigilancia son los mensajes y llamadas que explotan el asunto.

¿Quiere entrenar a asesores y empleados para que mantengan sus reflejos cuando la actualidad se mete por medio? Reserve una demostración de Face Up.