Grup perbankan dan asuransi asal Prancis, Crédit Mutuel Arkéa, menjadi korban peretasan canggih yang mengakibatkan kerugian hingga Rp2,05 triliun sampai Rp2,1 triliun (sekitar €100 juta atau setara Rp1,98 triliun / $112 juta). Chairman grup, Julien Carmona, mengonfirmasi insiden ini sebagai bentuk pembobolan jenis baru yang memiliki tingkat kerumitan sangat tinggi. Manajemen bank menduga kuat bahwa aksi penjahat siber ini mendapatkan bantuan dari teknologi Kecerdasan Buatan canggih.
Meskipun jumlah kerugian nominalnya sangat besar, Carmona menegaskan stabilitas keuangan lembaga perbankan tersebut tetap aman. Nilai kerugian tersebut setara dengan satu persen dari ekuitas grup atau pendapatan satu kuartal. Pihak bank memastikan bahwa dana yang dicuri berasal dari rekening operasional internal bank sendiri. Sistem layanan perbankan digital Fortuneo serta data nasabah tidak terdampak dalam peristiwa pembobolan ini.
Celah Pihak Ketiga dan Eksekusi Pembayaran Instan
Kronologi pembobolan berawal dari luar ekosistem internal bank. Pada 27 Oktober, tim IT menemukan indikasi peretasan pada sistem vendor penyedia jasa pihak ketiga. Pihak bank langsung memutus akses. Langkah isolasi awal segera dilakukan bersamaan dengan laporan resmi kepada pihak berwenang. Namun, saat itu belum terdeteksi adanya data sensitif yang berhasil digondol peretas untuk menerobos masuk ke sistem utama.
Grup perbankan yang menaungi Crédit Mutuel de Bretagne, Crédit Mutuel du Sud-Ouest, dan Fortuneo ini sengaja merahasiakan identitas penyedia jasa tersebut. Langkah ini diambil guna mencegah serangan lanjutan terhadap vendor yang sama di industri perbankan. Setelah berhasil masuk ke jaringan internal, para peretas membuat nomor rekening IBAN Fortuneo palsu. Rekening bodong ini dipakai memicu perintah transfer instan dari rekening resmi bank ke pihak luar pada Minggu, 1 November.
Sistem pembayaran instan memiliki pengawasan yang lebih fleksibel ketimbang transfer konvensional. Pelaku sengaja memilih waktu akhir pekan agar pengalihan dana berjalan tanpa terdeteksi. Dana tersebut ditransfer ke rekening penampung pada sejumlah bank legitiat di Eropa yang telah disiapkan jauh hari. Dari rekening penampung tersebut, aliran dana langsung dilarikan ke platform aset digital.
Jejak Mata Uang Kripto dan Analisis Blockchain
Pihak manajemen baru menyadari besarnya skala pencurian pada Selasa pagi, 3 November. Tim keamanan siber langsung menghentikan seluruh sambungan pembayaran antarbank dan memblokir akses luar. Seluruh rekening palsu dihapus dan kredensial otentikasi diperbarui secara menyeluruh sebelum pengumuman publik dirilis pada 4 November. Investigasi Keamanan Siber dari unit kejahatan siber kejaksaan Paris kini sedang berlangsung.
Sebelum pengumuman resmi dikeluarkan, para pengamat blockchain telah mendeteksi pergerakan dana mencurigakan. Peneliti siber on-chain ZachXBT mencatat pencairan mencurigakan senilai lebih dari Rp1,87 triliun ($106 juta) pada 2 November. Angka tersebut diperbarui menjadi lebih dari Rp2,35 triliun ($133 juta) pada 4 November. ZachXBT memastikan peretasan ini tidak melibatkan kelompok peretas Lazarus asal Korea Utara.
Laporan dari Bitquery mengonfirmasi penarikan token USDC senilai Rp1,92 triliun ($108,8 juta) dari platform Kraken, Crypto.com, dan OKX dalam kurun 21 jam. Sebagian besar dana pencurian langsung dikonversi ke bentuk aset Ether. Langkah konversi ini dilakukan agar dana tidak dapat dibekukan oleh penerbit terpusat. Pihak Crypto.com dan OKX mengonfirmasi telah membekukan sebagian akun institusional yang terhubung dengan insiden peretasan bank ini.
Klaim Kecerdasan Buatan yang Masih Memicu Tanda Tanya
Julien Carmona menyebut kelompok peretas yang menyerang institusinya sangat terorganisasi dan memiliki persenjataan perangkat siber yang matang. Pihak manajemen meyakini skenario Peretasan Bank ini sangat mungkin dibantu oleh alur kerja berbasis Kecerdasan Buatan. Namun, hingga saat ini manajemen bank belum memberikan rincian teknis mengenai peran spesifik teknologi AI dalam aksi tersebut.
Sejumlah pakar Keamanan Siber menilai teknik serangan yang digunakan sebenarnya merupakan pola lama yang dikemas secara rapi. kekurangan sistem pemasok, pencurian kredensial, penggunaan rekening penampung, dan pencucian dana lewat Mata Uang Kripto tidak mutlak memerlukan peranan AI. Teknologi AI mungkin saja digunakan pada tahap pengumpulan informasi target, penulisan kode eksploitasi, atau pemalsuan dokumen identitas saat membuka rekening penampung.
Proses negosiasi pemulihan dana dengan lembaga asuransi dan platform bursa aset digital masih terus berjalan. Sebagian dana peretasan yang tersisa berhasil dibekukan oleh otoritas keuangan Eropa. Peristiwa ini menjadi alarm keras bagi ekosistem perbankan modern akan tingginya risiko serangan siber yang menargetkan rantai pasok pihak ketiga.
