Ngân hàng Pháp mất 100 triệu euro vì chính tài khoản của mình ra lệnh chuyển tiền

Ngân hàng khu vực Crédit Mutuel Arkéa của Pháp ngày 4/11 công bố bị tấn công mạng với tổng giao dịch gian lận khoảng 100 triệu euro, tương đương khoảng 112 triệu USD. Số tiền không ra khỏi kho tiền. Nó ra khỏi chính tài khoản của ngân hàng, được chuyển sang các ngân hàng khác, rồi được đổi thành tiền mã hóa trên các nền tảng chuyên dụng.

Một phần số tiền đã bị phong tỏa. Ngân hàng cho biết đang áp dụng thêm các biện pháp để thu hồi. Tài khoản khách hàng không bị xâm nhập và khách hàng không chịu thiệt hại.

Chuyện gì thực sự đã xảy ra

Cơ chế đáng chú ý hơn con số. Theo AFP, tin tặc truy cập vào tài khoản của chính Arkéa bên trong hệ thống ngân hàng và dùng các tài khoản đó để khởi tạo lệnh chuyển tiền sang ngân hàng khác. Các lệnh này sau đó được chuyển đổi thành tiền mã hóa trên những sàn giao dịch chuyên dụng.

Arkéa loại trừ khả năng lỗi con người. Ngân hàng mô tả đây là "một cuộc tấn công tinh vi đến từ bên ngoài".

Viện Công tố Paris đã mở điều tra chính thức về tội tấn công có tổ chức vào hệ thống xử lý dữ liệu tự động — tội danh của Pháp bao trùm nhóm xâm nhập này.

Ngân hàng cũng cho biết số tiền cuối cùng vẫn đang được đánh giá và không đủ để đe dọa sức khỏe tài chính của tập đoàn. Arkéa báo lãi ròng 230 triệu euro trong nửa đầu năm nay.

Trong khi đó, ZachXBT — nhà điều tra độc lập chuyên truy vết dòng tiền trên blockchain — công bố thông tin về vụ gian lận trên các tài khoản mạng xã hội của mình vào đầu tuần, cho biết số tiền bị đánh cắp đã được chuyển qua nhiều tài khoản mở trên các sàn giao dịch tiền mã hóa.

Thứ bị phá không phải bí mật, mà là quyền ra lệnh

Đọc lại chuỗi sự việc, vì nó đảo ngược mô hình tư duy mà phần lớn tổ chức vẫn giữ về rủi ro mạng.

Không ai đánh cắp một cơ sở dữ liệu. Không ai công bố hồ sơ khách hàng. Cuộc xâm nhập không liên quan đến tính bảo mật thông tin — nó liên quan đến quyền ra lệnh. Kẻ tấn công cần hệ thống của ngân hàng tin rằng một lệnh chuyển tiền là hợp lệ, và tại một thời điểm nào đó, hệ thống đã tin.

Đó là nhóm sự cố đắt nhất. Mất dữ liệu là vấn đề pháp lý và uy tín, nhưng đã có quy trình xử lý quen thuộc. Một lệnh chuyển tiền được cấp quyền sai là số tiền đã rời đi, trên một đường ray được thiết kế để không thể đảo ngược, và lý do duy nhất có tiền quay về là một phần đã bị phong tỏa trước khi bị làm sạch tiếp.

Mọi nền tảng ngân hàng đều dựa trên một giả định đơn giản: nếu lệnh đến đúng kênh, đúng danh tính, thì lệnh là thật. Kẻ tấn công đã học được rằng con đường rẻ nhất vào tiền không phải là phá ổ khóa, mà là trở thành người mà ổ khóa mở ra.

Đây cũng là lý do câu "chúng tôi không bị xâm nhập, không có dữ liệu khách hàng nào bị lộ" vừa đúng vừa không giải quyết vấn đề. Arkéa có thể nói điều đó một cách trung thực và vẫn mất 100 triệu euro.

Vì sao khâu tiền mã hóa giờ là mặc định

Nửa sau của câu chuyện là cách tiền bị đánh cắp được làm sạch trong năm 2026, và nó nhanh hơn trước.

Số tiền được đổi thành tiền mã hóa trên các nền tảng chuyên dụng. Từ đó, theo các nhà điều tra, nó được trải qua nhiều tài khoản sàn giao dịch. Tiền mã hóa hấp dẫn một tổ chức tội phạm vì ba lý do: thanh toán nhanh, chuyển tiền qua biên giới mà không có ngân hàng đại lý đặt câu hỏi, và một chuỗi tài khoản sàn tạo khoảng cách giữa vụ trộm và lần rút tiền.

Nó không ẩn danh — phân tích blockchain chính là cách ZachXBT và những người khác mô tả được lộ trình — nhưng nó nhanh, và tốc độ là thứ kẻ trộm cần trước khi đội chống gian lận của ngân hàng gọi xong cuộc điện thoại đầu tiên.

Đó là lý do phong tỏa nhanh quan trọng ngang với ngăn chặn lệnh chuyển đầu tiên. Độ trễ phát hiện, chứ không phải độ dày của vành đai phòng thủ, quyết định bao nhiêu tiền được lấy lại.

Điều này có nghĩa gì nếu bạn mua phần mềm

Phần lớn người đọc sẽ không điều hành một ngân hàng. Nhưng câu hỏi cấu trúc thì giống nhau ở mọi hệ thống có chuyển tiền, duyệt hồ sơ bồi thường, giải phóng đơn hàng, hoặc thay đổi dữ liệu thay mặt ai đó: điều gì khiến hệ thống này tin một lệnh là hợp lệ, và bạn sẽ biết nó sai nhanh đến mức nào?

Bốn điểm nên kiểm tra ở bất kỳ hệ thống nào bạn mua hoặc xây.

Một thông tin đăng nhập bị lộ có đủ để duyệt một lệnh chuyển tiền lớn không? Nếu một lần đăng nhập hợp lệ có thể khởi tạo một giao dịch không thể đảo ngược, thì an ninh của hệ thống chính là an ninh của lần đăng nhập đó. Hạn mức phê duyệt, xác nhận của người thứ hai với lệnh giá trị cao, và xác minh qua kênh ngoài — không phải thủ tục hành chính, mà là ranh giới giữa một phiền toái và một khoản lỗ chín chữ số.

Lệnh có thể bị làm giả qua kênh đáng tin không? Những cuộc tấn công đáng lo không trông giống tấn công. Chúng đến như một yêu cầu đúng định dạng từ một nguồn mà hệ thống vốn đã tin. Nếu thiết kế của bạn giả định rằng mọi thứ đi vào kênh nội bộ đều là thật, bạn đã chuyển bài toán an ninh sang người có thể chạm tới kênh đó.

Bao lâu thì có người nhận ra? Thiệt hại của Arkéa được giới hạn bởi lượng tiền bị phong tỏa, và đó là hàm số của thời gian. Phát hiện bất thường trong vài phút thay vì vài ngày có giá trị hơn một lớp phòng thủ nữa mà không ai theo dõi.

Đường thu hồi là thật hay chỉ trên giấy? "Chúng tôi có kế hoạch" không phải là biện pháp kiểm soát. Tài khoản nào có thể phong tỏa, qua đối tác nào, trong khung thời gian nào, và ai có thẩm quyền ra quyết định lúc hai giờ sáng — chỉ là biện pháp kiểm soát nếu đã được diễn tập.

Điều chúng tôi muốn nhấn mạnh

Những sự cố như thế này thường được đưa tin như một câu chuyện công nghệ. Thực chất, đây là câu chuyện về niềm tin đặt sai chỗ, vào sai thời điểm, bởi phần mềm làm đúng những gì nó được lệnh làm.

Đó là khoảng trống mà công việc bảo mật tồn tại để lấp, và là khoảng trống chúng tôi xây dựng phòng thủ ngay từ dòng commit đầu tiên. Tại ABN Asia, bạn không chỉ nhận được phần mềm. Bạn nhận được phần mềm bảo mật — được mô hình hóa mối đe dọa trước khi có danh sách tính năng, được kiểm thử với cả những đường đi thù địch chứ không chỉ luồng thuận, và được gia cố trước khi đến tay bạn.

Một ngân hàng với 230 triệu euro lợi nhuận nửa năm, hệ thống tinh vi và một bộ phận an ninh đầy đủ vẫn có thể mất 100 triệu euro trong một đêm. Câu hỏi đáng đặt cho hệ thống của bạn không phải là bạn có phải mục tiêu hay không. Mà là hệ thống của bạn sẽ làm gì nếu lệnh đó trông có vẻ thật.

Nguồn: AFP đưa tin về công bố của Crédit Mutuel Arkéa ngày 4/11/2026; phát ngôn của ngân hàng và Viện Công tố Paris; thông tin công khai từ nhà điều tra blockchain ZachXBT.