Francouzská banka přišla o 100 milionů eur. Útočníci obešli klientské účty

Francouzská bankovní skupina Crédit Mutuel Arkéa 4. listopadu potvrdila kybernetický útok, při kterém útočníci provedli neoprávněné transakce z vlastního účtu banky. Podle agentury Reuters dosáhl objem odcizených prostředků přibližně 100 milionů eur. Skutečný rozsah konečné ztráty však zatím není známý, protože část peněz se podařilo zablokovat a další prostředky se banka pokouší získat zpět.

Podstatný je způsob provedení útoku. Podle oficiálního vyjádření Crédit Mutuel Arkéa útočníci využili platformu externího poskytovatele služeb, přes kterou získali přístup k bankovní infrastruktuře. Následně odesílali prostředky z účtu samotné instituce do dalších bank. Nešlo tedy o klasické napadení individuálních klientských účtů. Útok zasáhl finanční prostředky banky a podle jejího vyjádření se nedotkl klientských vkladů. Bezprostřední reakcí bylo dočasné pozastavení některých transakcí, které vedlo ke zpoždění plateb.

Případ upozorňuje na problém, který se s pokračující digitalizací bankovnictví stává stále významnějším. Banky provozují komplexní technologické systémy propojené s externími poskytovateli, platebními platformami a dalšími finančními institucemi. Každé takové propojení představuje potenciální vstupní bod, jehož zabezpečení nemusí mít banka plně pod vlastní kontrolou.

Ukradené peníze mohly skončit v kryptoměnách

Peníze nebyly odcizeny v kryptoměnách. Podle francouzské banky však následné převody do dalších institucí mohly útočníkům umožnit jejich konverzi prostřednictvím kryptoměnových platforem. Financial Times s odkazem na blockchainovou analytickou společnost Bitquery informovaly o prostředcích identifikovaných v ethereu a stablecoinu DAI. Samotná existence takových transakcí však neprokazuje, kdo za útokem stojí ani jakým způsobem byl původně získán přístup do bankovních systémů.

Pro vyšetřovatele zde vznikají dvě samostatné úlohy. První spočívá v identifikaci technické zranitelnosti a útočníků. Druhá ve sledování finančních toků, které mohou po převodu na blockchain pokračovat přes několik adres, směnáren a dalších služeb. Případ tak současně ukazuje, že transparentnost blockchainových transakcí může pomáhat při mapování odcizených prostředků, ale sama o sobě nezaručuje možnost jejich navrácení.

Indie varuje před útoky využívajícími AI a platební API

Francie není jediným místem, kde jsou ohroženy systémy umožňující převody peněz. Indický národní bezpečnostní tým CERT-In zveřejnil 4. listopadu kritické bezpečnostní upozornění týkající se pokračující kampaně proti finančním institucím. Útočníky označuje jako CRAFTY FALCON a podle jeho zjištění využívají automatizované bezpečnostní nástroje podporované umělou inteligencí. Cílem jsou mimo jiné nebankovní poskytovatelé úvěrů, fintechové společnosti, platební instituce a kryptoměnové platformy.

Zvláštní pozornost si zaslouží útoky na API, tedy programová rozhraní, jejichž prostřednictvím spolu komunikují jednotlivé systémy. Právě tato rozhraní mohou zajišťovat například schvalování a provádění plateb. CERT-In popisuje případy, kdy útočníci pronikají přes méně zabezpečená testovací prostředí, zneužívají sdílené přístupové údaje nebo upravují aplikace tak, aby následně mohli iniciovat neoprávněná volání platebních API. Pokud útočník získá dostatečná oprávnění, nemusí nutně překonat samotný platební systém. Může se pokusit přimět legitimní infrastrukturu k provedení transakcí, které se z technického hlediska podobají běžným operacím. Bezpečnostní agentura upozorňuje také na časování útoků během víkendů a svátků, kdy může být omezená provozní kontrola.

Přestože CERT-In označuje kampaň za aktivní, její upozornění neuvádí konkrétní celkové finanční ztráty ani veřejně nepotvrzuje totožnost pachatelů. Rozsah automatizace a skutečný podíl AI na jednotlivých incidentech proto zůstává předmětem další analýzy.

Šest hodin bez cloudových služeb ukázalo jiný typ zranitelnosti

Zatímco útoky ve Francii a Indii mají kriminální charakter, říjnový výpadek společnosti Google ukazuje, že podobné provozní důsledky může způsobit také technické selhání. Dne 20. října zasáhl výpadek cloudové infrastruktury v londýnském regionu europe-west2 online služby několika britských bank, včetně Lloyds, Halifax, HSBC a Revolutu.

Podle technického rozboru Google Cloud způsobila incident porucha externího elektrického vedení v kombinaci s chybou konfigurace automatického spouštění záložních generátorů. Hlavní dopady trvaly šest hodin a osm minut. Nešlo o kybernetický útok. Bankovní aplikace však přestaly být pro část zákazníků dostupné kvůli selhání infrastruktury provozované třetí stranou.

Právě koncentrace kritických digitálních služeb u omezeného počtu poskytovatelů představuje významné provozní riziko. Záložní systémy, geografická redundance a schopnost rychlého obnovení provozu proto mají pro bankovní sektor podobný význam jako ochrana proti neoprávněnému přístupu.

Podobný problém se v říjnu objevil na Jamajce. Provozovatel platební infrastruktury Jamaica Electronic Transfer Services (JETS) oznámil kybernetický incident v části svých administrativních systémů. Jamajská centrální banka potvrdila možné zpřístupnění některých historických údajů, zároveň ale uvedla, že hlavní sítě pro karetní a mezibankovní platby zůstaly funkční.

Paraguay: Krach digitální banky Ueno zasáhl miliony klientů

Mnohem závažnější situace z pohledu dostupnosti vkladů vznikla na začátku listopadu v Paraguayi. Centrální banka země 3. listopadu oznámila zahájení řízeného řešení selhání Ueno Bank, jedné z nejrychleji rostoucích digitálních bank v zemi. Podle Banco Central del Paraguay došlo po úpravách účetních výkazů k poklesu ukazatele solventnosti banky pod 50 % regulatorně požadovaného minima.

Neznamená to, že by banka přišla o polovinu klientských vkladů. Ukazatel solventnosti vyjadřuje vztah kapitálu, kterým může instituce absorbovat ztráty, k rizikům spojeným s jejími aktivy. Pokles pod zákonnou hranici znamená, že banka nedisponuje dostatečným kapitálovým polštářem. Podle agentur Reuters a Associated Press regulátoři prověřovali mimo jiné nadměrné úvěrování společností propojených s vlastníky banky, nedostatečnou dokumentaci některých úvěrů a nesprávné vykazování aktiv.

Ueno Bank podle vlastních údajů obsluhovala přibližně tři miliony klientů, což odpovídá více než 60 % dospělé populace země. Současně spravovala zhruba 800 až 850 milionů dolarů veřejných prostředků včetně peněz určených na penze a zdravotní zabezpečení. Rozhodnutí centrální banky vedlo k uzavření poboček a přerušení provozu aplikace, platebních karet a převodů. Miliony lidí tak ztratily bezprostřední přístup ke svým penězům, přestože samotná infrastruktura nemusela být napadena útočníky.

Bankovní krize přerostla v politickou

Krach Ueno Bank zároveň otevřel otázky kolem vztahů mezi bankou, jejími vlastníky a politickou reprezentací. Paraguayský prezident Santiago Peña v minulosti vlastnil podíl ve společnosti spojené s finanční skupinou ovládající Ueno Bank. Tvrdí, že tento podíl prodal v roce 2025, a odmítá přímou odpovědnost za problémy instituce. Krize vyvolala rozsáhlé protesty, vyšetřování několika bankovních představitelů a rezignaci guvernéra centrální banky Carlose Carvalla, který dříve působil ve vedení předchůdce Ueno Bank.

Peña 5. listopadu nabídl rezignaci. Podle Associated Press však parlament pokračuje v procesu jeho možného odvolání a zároveň probíhají vyšetřování role státních představitelů a dohledu nad bankou. Regulátor mezitím zahájil proces ochrany vkladatelů. Zákonné pojištění vkladů dosahuje až 228,3 milionu paraguayských guaraní na jednoho vkladatele v dané bance. Podle údajů centrální banky by tato hranice měla plně pokrýt přibližně 97 % klientů.

První fáze výplat oznámená 5. listopadu se týká způsobilých klientů s vklady do 10 milionů guaraní. Paraguayská centrální banka zdůrazňuje, že problém považuje za specifické selhání jedné instituce, nikoli za důkaz plošné nestability domácího bankovního sektoru.

Co mají kybernetické útoky a bankovní kolaps společného?

Z technického hlediska jsou popsané případy odlišné. Ve Francii došlo k neoprávněnému převodu peněz prostřednictvím infrastruktury externího poskytovatele. V Indii bezpečnostní orgány upozorňují na systematické zneužívání platebních rozhraní. Výpadek Google Cloud ukázal závislost bank na technologických dodavatelích, zatímco v Paraguayi se problém nacházel především v kapitálové pozici a řízení finančních rizik banky.

Spojuje je ovšem jeden faktor: závislost klientů na nepřetržitém a důvěryhodném fungování finančních institucí. Význam tohoto rizika potvrzují také evropská regulatorní data. Podle zprávy evropských dohledových orgánů zveřejněné v červnu 2026 bylo za rok 2025 v unijním finančním sektoru nahlášeno 3 383 závažných incidentů souvisejících s informačními a komunikačními technologiemi.

Pouze přibližně 10 % z nich bylo klasifikováno jako kyberbezpečnostní incidenty. Přibližně třetina měla přeshraniční dopad a téměř třetina souvisela se selháním externích subjektů. Tato čísla ukazují, že bankovní odolnost nelze redukovat pouze na ochranu proti hackerům. Podstatnou roli hraje také správa dodavatelů, provozní kontinuita, kvalita interních kontrol a schopnost institucí zvládat krizové situace.

Evropské nařízení DORA, účinné od ledna 2025, právě proto sjednocuje požadavky na řízení technologických rizik, hlášení incidentů, testování digitální odolnosti a dohled nad kritickými poskytovateli ICT služeb.

Regulace ale sama o sobě neodstraňuje technologické zranitelnosti ani riziko špatného řízení finanční instituce. Jejím cílem je omezit pravděpodobnost selhání a především zmenšit jeho dopad na klienty a širší finanční systém.