Sebuah Bank Prancis Kehilangan €100 Juta karena Catatan Akuntansinya Sendiri Mengatakan Demikian

Crédit Mutuel Arkéa kehilangan sekitar €100 juta akibat penipu yang tidak membobol brankas — mereka menggunakan rekening bank itu sendiri untuk mengirim uang. Ini pengingat yang berguna bahwa kegagalan perangkat lunak yang paling mahal jarang yang membocorkan data. Yang paling mahal adalah kegagalan yang mengotorisasi pembayaran.

Crédit Mutuel Arkéa, sebuah bank regional Prancis, mengungkapkan pada 4 November bahwa mereka telah terkena serangan siber dengan transaksi curang sekitar €100 juta — sekitar $112 juta pada kurs saat ini. Uang itu tidak keluar melalui brankas. Uang itu keluar melalui rekening bank itu sendiri, ditransfer ke bank lain dan kemudian dikonversi menjadi mata uang kripto di platform khusus.

Sebagian dana telah dibekukan. Bank mengatakan langkah-langkah pemulihan lebih lanjut sedang dilakukan. Rekening nasabah tidak dibobol, dan Arkéa mengatakan nasabah tidak mengalami kerugian.

Apa yang sebenarnya terjadi

Mekanismenya lebih penting daripada jumlahnya. Menurut Agence France-Presse, para penyerang memperoleh akses ke akun milik Arkéa sendiri di dalam bank dan menggunakannya untuk menginisiasi transfer ke bank lain. Transfer tersebut kemudian dipindahkan ke kripto di platform perdagangan khusus.

Arkéa secara eksplisit menepis kesalahan manusia. Mereka menyebut insiden itu sebagai "serangan canggih dari luar."

Kantor jaksa Paris telah membuka penyelidikan resmi atas serangan terorganisir terhadap sistem pemrosesan data otomatis — tuduhan Prancis yang mencakup jenis intrusi ini.

Bank tersebut juga mengatakan bahwa jumlah akhirnya masih dalam proses penilaian, dan bahwa jumlah itu tidak cukup besar untuk mengancam kesehatan keuangan grup. Arkéa melaporkan laba bersih €230 juta pada paruh pertama tahun ini.

Sementara itu, penyelidik blockchain independen ZachXBT menerbitkan rincian penipuan tersebut di akun media sosialnya awal pekan ini, dengan mengatakan dana yang dicuri telah dialirkan melalui beberapa akun yang dibuka di bursa kripto.

Kegagalan itu terletak pada otorisasi, bukan kerahasiaan

Baca urutan itu lagi, karena itu membalik model mental yang masih dipegang sebagian besar organisasi tentang risiko siber.

Tidak ada yang mencuri basis data. Tidak ada yang mempublikasikan data pelanggan. Kompromi itu sama sekali bukan tentang kerahasiaan — melainkan tentang otorisasi. Para penyerang memerlukan sistem bank untuk percaya bahwa instruksi transfer itu sah, dan pada suatu titik, sistem-sistem itu pun mempercayainya.

Itu kategori yang mahal. Kehilangan data adalah masalah hukum dan reputasi dengan playbook yang sudah dikenal. Pembayaran push yang diotorisasi adalah uang yang sudah keluar, melalui jalur yang dirancang untuk tidak dapat dibalik, dan satu-satunya alasan siapa pun bisa memulihkan apa pun adalah sebagian dana dibekukan sebelum dapat dicuci lebih jauh.

Setiap platform perbankan dibangun atas asumsi sederhana: jika instruksi datang melalui saluran yang benar, ditandatangani oleh identitas yang benar, maka instruksi itu asli. Penyerang telah belajar bahwa jalur termurah menuju uang bukanlah mengalahkan kunci — melainkan menjadi orang yang dibukakan kunci itu.

Ini juga alasan mengapa "kami tidak dibobol, tidak ada data pelanggan yang terekspos" bisa sekaligus benar dan tidak relevan. Arkéa dapat mengatakan itu dengan jujur dan tetap merugi €100 juta.

Mengapa jalur kripto kini menjadi standar

Paruh kedua cerita ini membahas bagaimana uang curian dicuci pada 2026, dan prosesnya lebih cepat daripada sebelumnya.

Dana tersebut dikonversi menjadi mata uang kripto di platform-platform khusus. Dari sana, kata para penyelidik, dana itu disebar ke beberapa akun bursa. Kripto menarik bagi operasi kriminal karena tiga alasan: penyelesaiannya cepat, transfer melintasi batas negara tanpa bank koresponden yang mengajukan pertanyaan, dan rantai akun bursa menciptakan jarak antara pencurian dan penarikan.

Ini tidak anonim — analisis blockchain justru adalah cara ZachXBT dan lainnya dapat menggambarkan rutenya — tetapi ini cepat, dan kecepatan adalah yang dibutuhkan seorang pencuri sebelum tim fraud bank menyelesaikan panggilan telepon pertamanya.

Itulah sebabnya membekukan dana dengan cepat sama pentingnya dengan mencegah transfer awal. Latensi deteksi, bukan kekuatan perimeter, yang menentukan berapa banyak dari uang ini yang kembali.

Apa artinya ini jika Anda membeli perangkat lunak

Sebagian besar pembaca ini tidak akan pernah mengelola bank. Tetapi pertanyaan struktural yang sama mendasari setiap sistem yang memindahkan uang, menyetujui klaim, merilis order, atau mengubah catatan atas nama seseorang: apa yang membuat sistem ini meyakini bahwa suatu instruksi sah, dan seberapa cepat Anda akan mengetahui jika instruksi itu salah?

Ada empat hal yang layak diperiksa dalam sistem apa pun yang Anda beli atau bangun.

Apakah satu kredensial yang dikompromikan dapat mengotorisasi transfer besar? Jika satu login yang valid dapat memulai pembayaran yang tidak dapat dibatalkan, keamanan sistem adalah keamanan login yang satu itu. Batas persetujuan, konfirmasi pihak kedua atas instruksi bernilai tinggi, dan verifikasi di luar jalur bukanlah birokrasi — itu adalah perbedaan antara gangguan dan kerugian sembilan digit.

Bisakah sebuah instruksi dipalsukan melalui saluran terpercaya? Serangan yang menarik tidak terlihat seperti serangan. Serangan itu datang sebagai permintaan yang diformat dengan benar dari sumber yang sudah dipercaya oleh sistem. Jika desain Anda mengasumsikan bahwa apa pun yang tiba di saluran internal itu asli, Anda telah memindahkan masalah keamanan kepada siapa pun yang dapat menjangkau saluran tersebut.

Berapa lama sampai seseorang menyadarinya? Kerusakan Arkéa dibatasi oleh seberapa banyak yang dibekukan, dan itu adalah fungsi waktu. Deteksi anomali yang terpicu dalam hitungan menit alih-alih hitungan hari bernilai lebih daripada lapisan pencegahan lain yang tidak diawasi siapa pun.

Apakah jalur pemulihan itu nyata, atau hanya di atas kertas? "Kami punya rencana" bukanlah pengendalian. Akun mana yang dapat dibekukan, melalui pihak lawan mana, dalam jendela waktu berapa, dan siapa yang memiliki wewenang untuk mengambil keputusan itu pada pukul dua pagi — itu baru menjadi pengendalian jika sudah disimulasikan.

Garis yang terus kita kembalikan

Insiden seperti ini biasanya dilaporkan sebagai kisah teknologi. Lebih tepatnya, ini adalah kisah tentang kepercayaan yang ditempatkan di tempat yang salah, pada saat yang salah, oleh perangkat lunak yang melakukan persis apa yang diperintahkan.

Itulah celah yang menjadi alasan kerja keamanan ada: untuk menutupnya. Dan itulah celah yang kami lawan sejak commit pertama. Di ABN Asia, Anda tidak sekadar mendapatkan perangkat lunak. Anda mendapatkan perangkat lunak yang aman — dimodelkan ancamannya sebelum daftar fitur dibuat, diuji terhadap jalur bermusuhan maupun jalur normal, dan diperkuat sebelum sampai kepada Anda.

Bank dengan laba setengah tahun €230 juta, sistem yang canggih, dan fungsi keamanan yang lengkap tetap bisa kehilangan €100 juta dalam satu malam. Pertanyaan yang layak diajukan tentang stack Anda sendiri bukanlah apakah Anda menjadi target. Melainkan apa yang akan dilakukan sistem Anda jika instruksi itu tampak asli.

Sumber: pemberitaan Agence France-Presse tentang pengungkapan Crédit Mutuel Arkéa pada 4 November 2026; pernyataan bank dan kantor kejaksaan Paris; pemberitaan publik oleh penyelidik blockchain ZachXBT.

Harap dicatat bahwa versi bahasa Indonesia didukung oleh AI dan karena itu mungkin terjadi kesalahan kecil.

Penulis

Ai-Banking-NetworkSecurity (ABN), ABN ASIA didirikan oleh orang-orang dengan akar yang kuat di dunia akademis, dengan pengalaman kerja di Amerika Serikat, Belanda, Hungaria, Jepang, Korea Selatan, Singapura, dan Vietnam. ABN Asia adalah tempat di mana akademik dan teknologi bertemu dengan peluang. Dengan solusi terdepan kami dan layanan pengembangan perangkat lunak yang kompeten, kami membantu bisnis untuk meningkatkan level dan bersaing di panggung global. Komitmen kami: Lebih Cepat. Lebih Baik. Lebih handal. Dalam kebanyakan kasus: Lebih murah juga.

Jangan ragu untuk menghubungi kami jika Anda membutuhkan layanan IT, konsultasi digital, solusi perangkat lunak siap pakai, atau jika Anda ingin mengirimkan permintaan proposal (RFP). Anda dapat menghubungi kami di [email protected]. Kami siap membantu Anda dengan semua kebutuhan teknologi Anda.