Crédit Mutuel Arkéa／官方：攻擊者經服務供應商平台動用集團自有帳戶轉帳——不確認一億一千八百萬歐元遭盜之數，僅認同數量級；顧客資產未受影響

重點摘要

法國合作銀行集團 Crédit Mutuel Arkéa 十一月四日於布列斯特兩度發稿，確認遭來自外部的精密攻擊：攻擊者經一名未具名服務供應商的平台直達集團，並動用集團自有帳戶向其他銀行轉帳，其後或經專門平台把資金兌換成加密貨幣。集團不確認外界所指一億一千八百萬歐元（約一億三千三百萬美元）遭盜之數，僅認同其數量級；部分資金已攔截，最終金額仍在評估，並稱有關數額不致動搖其財務穩健。顧客資產未受影響，僅部分轉帳延遲執行。

Crédit Mutuel Arkéa／官方：攻擊者經服務供應商平台動用集團自有帳戶轉帳——不確認一億一千八百萬歐元遭盜之數，僅認同數量級；顧客資產未受影響

法國合作銀行集團 Crédit Mutuel Arkéa 十一月四日於布列斯特兩度發稿，確認遭來自外部的精密攻擊：攻擊者經一名未具名服務供應商的平台直達集團，並動用集團自有帳戶向其他銀行轉帳，其後或經專門平台把資金兌換成加密貨幣。集團不確認外界所指一億一千八百萬歐元（約一億三千三百萬美元）遭盜之數，僅認同其數量級；部分資金已攔截，最終金額仍在評估，並稱有關數額不致動搖其財務穩健。顧客資產未受影響，僅部分轉帳延遲執行。

Crédit Mutuel Arkéa／官方：攻擊者經服務供應商平台動用集團自有帳戶轉帳——不確認一億一千八百萬歐元遭盜之數，僅認同數量級；顧客資產未受影響

法國布列塔尼及西南部的合作銀行集團 Crédit Mutuel Arkéa，十一月四日先後發表兩份官方公報，宣布已成為一宗網絡攻擊的受害人，並因此出現欺詐交易。集團強調事件已經受控，顧客資產不受影響，僅令部分轉帳延遲執行。本報已直接讀取當日下午一時（布列斯特時間，香港時間同日晚上八時）首份公報，以及下午五時半（香港時間十一月五日凌晨零時半）的補充問答法文網頁與英文新聞稿，來源真實性已驗證。下文只採用公報明文寫出的事實，包括攻擊路徑、自有帳戶轉帳、加密貨幣兌換的或然表述，以及集團對金額「只認同數量級、不確認精確數字」的立場。

一、官方兩度發稿：自有帳戶被用來轉帳，入口在供應商平台

首份公報以布列斯特、二零二六年十一月四日具名發出。標題直接寫明集團「宣布已成為一宗攻擊的受害人」，並在開首重申三點：事件已經受控、業務正逐步恢復、顧客資產未受影響。正文指，該次攻擊「使欺詐交易得以完成」。集團在偵測到攻擊後，按既有程序通報主管機關及監管機構；團隊隨即動員，並作為預防措施，暫時暫停部分交易，以防範任何新的欺詐資金調動。公報寫道，事件「已經結束並於今日受控」；在集團及其附屬公司完成核實並加強保安措施後，業務於當日上午逐步恢復。集團向各聯邦及附屬公司的全體顧客保證：事件對其資產沒有任何影響，只令部分轉帳延遲執行；顧客利益獲充分保障，保護其資產是絕對優先事項。

就金額而言，首份公報只寫「此次攻擊所涉金額仍在評估」，並稱無論如何都「不致動搖集團的穩健與財務健康」。補充問答把這一點寫得更具體。外界問及能否確認一億一千八百萬歐元（約一億三千三百萬美元）遭盜時，集團回答：「我們不確認這些資訊，只能認同其數量級。」團隊仍在精確評估財務後果：部分相關資金已可攔截，其他追回行動仍在進行。由於現階段向外界公布最終金額仍屬過早，集團重申，有關金額絕對不致動搖 Crédit Mutuel Arkéa 的財務健康與穩健。

補充問答把資金如何被調走寫清楚。攻擊者動用的是 Crédit Mutuel Arkéa 的自有帳戶，向其他銀行同業發起交易，其後「有可能」經專門平台把該筆資金兌換成加密貨幣；他們並未途經各聯邦或附屬公司的顧客帳戶。集團因而重申，事件對顧客沒有財務後果。一經識別攻擊，團隊立即啟動必要保安措施，以遏制事件並阻止任何針對集團的新欺詐調動。

入口路徑方面，集團明確否定部分媒體所指「經網上銀行附屬公司 Fortuneo 進入」的說法：「沒有任何『入口』經由 Fortuneo。」攻擊者「經我們其中一名服務供應商的平台」，從而「直接到達 Crédit Mutuel Arkéa」。集團沒有公布該供應商名稱，也沒有描述平台上的具體技術缺口。至於是否集團內部人為失誤所致，官方答案同樣直接：不是。這是一宗來自外部、現已受控的精密攻擊；其保安系統很快識別可疑活動，並採取必要措施加以遏制。團隊正與主管司法及執法機關合作，以精確查明攻擊來源及手法。

補充問答並交代營運恢復情況：事件對銀行網絡或 Fortuneo 顧客的影響為「沒有」；顧客資產未受影響，只令部分轉帳延遲執行。事件今日已受控；在集團及其附屬公司完成核實並加強保安措施後，絕大部分業務已於當日上午恢復。集團按既有危機程序採取措施，並向主管機關及監管機構通報；作為預防，曾暫時暫停部分交易，以保障營運並防範欺詐調動。

首份公報亦提到，此類攻擊之後可能出現釣魚（法文原文為 hameçonnage／phishing）企圖，並呼籲顧客保持高度警覺，切勿向任何人透露個人及銀行資料，包括登入名稱、密碼、銀行卡號碼，以及經短訊收到的驗證碼；如有懷疑，應直接聯絡自己的銀行顧問核實來訊。補充問答澄清：提到釣魚，並不代表顧客資料已遭外洩。集團解釋，在此類攻擊的背景下，常見釣魚企圖增加，企圖騙取機密資料，因此必須預防性地提高顧客警覺。換言之，官方並未宣布顧客個人資料外洩，只是警告後續社會工程風險。

公報附帶的集團簡介寫明：Crédit Mutuel Arkéa 是合作制銀行及金融服務集團，由布列塔尼互助信貸（Crédit Mutuel de Bretagne）與西南互助信貸（Crédit Mutuel du Sud-Ouest）兩個聯邦、其屬下地方銀行，以及約四十家專門附屬公司組成，例子包括 Fortuneo、Monext、Arkéa Banque Entreprises et Institutionnels、Arkéa Asset Management、Arkéa Capital、Suravenir 及 Arkéa Assurances 等。集團有一萬二千零七十三名員工、二千六百名民選董事，逾五百八十萬名社員與顧客，資產總額為二千一百一十五億歐元；並以布列塔尼及法國西南部的主要金融夥伴自居。

二、技術原理：受信任的供應商通道如何變成支付軌道上的入口

官方沒有公開該名服務供應商是哪一類平台，也沒有描述認證、權限或付款指令如何被濫用，因此不應把事件還原成某一款已知漏洞或具體入侵步驟。可以從公報已寫明的三件事，理解其技術含義。第一，攻擊者並非先進入個別零售顧客的網銀帳戶再轉走存款，而是取得足以驅動「集團自有帳戶」向其他銀行發起交易的路徑。第二，這條路徑並非經其網上銀行附屬公司 Fortuneo，而是經「一名服務供應商的平台」直達集團。第三，保安系統很快發現可疑活動，集團隨即以暫停部分交易、加強核實與通報監管及司法當局來切斷後續調動，並已攔截部分資金。

在銀行業的日常架構裡，自有帳戶通常用來處理集團自身的資金位置、同業往來及內部清算，而不是存放零售顧客的存款。一旦攻擊者能以這個帳戶向其他銀行發出看來合法的付款指示，資金便會沿著既有的銀行同業通道離開，事後追索必須同時依賴對手銀行、支付系統營運商及執法機關。集團提到，這些轉帳「有可能」再經專門平台兌換成加密貨幣——這只是官方的或然表述，並非已證實的兌換完成紀錄。即便如此，該表述反映一種常見的後續風險：法幣一旦進入可迅速轉出的交易所或支付通道，追回窗口會明顯縮短。今次集團寫明部分資金已攔截、其他追回行動仍在進行，說明應變並非只停留在內部系統隔離，也包括在支付鏈上阻擋或追回已送出的款項。

供應商平台成為入口，指出的是第三方接入而非「外網陌生人直接撞開核心帳務系統」這一種想像。銀行為了發卡處理、支付受理、訊息轉換或資金調撥，往往把經過授權的外部平台接進內部流程；這些平台一旦被濫用，攻擊者走的是原本被視為受信任的營運通道，而不是顧客使用的零售介面。集團特別澄清入口不在 Fortuneo，正是為了避免把事件誤讀成網上銀行被攻破、顧客帳戶被逐一盜用。對防守者而言，這代表供應商通道的身份驗證、授權範圍、異常轉帳偵測，以及「以銀行自身帳戶發起的大額或異常同業付款」是否與顧客側轉帳受到同等監察，都屬於支付安全的一部分，而不能只檢查面向公眾的登入頁。

集團沒有把事件歸因於內部人為操作失誤，而稱之為來自外部、現已受控的精密攻擊，並稱保安系統很快識別可疑活動。這兩句並不能外推成「所有偵測都及時」或「損失已被全部追回」：官方同時承認最終金額仍在評估，且不確認外界提出的精確數字。可核對的技術教訓因此停留在已披露的層次：把服務供應商平台視作可直達集團支付能力的高權限通道；對自有帳戶的向外轉帳設置可迅速觸發的異常規則；在發現後有能力暫停交易、通報監管並同步攔截在途資金；以及在公眾溝通中清楚區分「顧客資產是否受影響」與「集團自身資金位置承受了多大衝擊」。

官方亦沒有說顧客資料庫被竊取。首份公報的釣魚提示，補充問答進一步定性為預防性宣導：此類事件之後，冒充銀行索取登入名稱、密碼、卡號或短訊驗證碼的嘗試往往增加。這與「確認個人資料已外洩」是兩回事，但對顧客端的實務含義相同——即使銀行強調資產未受影響，仍須提防隨之而來的社會工程。

四、日常應用場景

1. 開發者與技術團隊

對負責支付網關、財務核心、資金調撥或把外部處理商接進銀行／金融科技系統的工程團隊來說，今次事件的可對照之處，不在於模仿未經披露的手法，而在於檢查「供應商平台」是否被默認為已充分受信任。任何可以代集團或機構發起付款、調整清算指示或觸達自有帳戶的外部接駁，都應視為高權限通道：接駁帳戶的權限是否最小化、異常付款能否在分鐘級被標出、是否能迅速暫停特定交易類別，以及供應商側的認證與管理後台是否與核心帳務受到同等監察。測試或營運文件不應假設「只有顧客網銀才會被攻擊」。

2. 企業與隱私敏感行業

銀行、保險、支付機構及任何把資金調撥外判予處理商的企業，都要區分兩類後果：顧客帳戶有否被直接盜用，以及機構自身的清算或營運帳戶有否被用來轉出資金。今次官方強調顧客資產未受影響，但集團自有帳戶被用來向其他銀行轉帳，說明即使零售客戶端看來「沒有被入侵」，機構仍可能在支付軌道上承受以億歐元數量級計、且尚未定案的財務衝擊。企業應向關鍵供應商索取事故通報與權限說明，檢視自身是否依賴類似的第三方支付或處理平台，並預先演練如何暫停交易、通知監管及在對手銀行攔截在途款項。香港的認可機構還須按本身的外判及科技風險管理制度，評估第三方平台一旦被濫用時的業務連續性與客戶溝通安排。

3. 一般用戶

根據官方，Crédit Mutuel Arkéa 及其附屬公司（包括 Fortuneo）的顧客資產未因今次事件受損，只是部分轉帳曾經延遲。一般用戶最需要理會的，是集團自己提出的預防性釣魚警示：不要向來歷不明的電話、電郵或短訊提供登入名稱、密碼、銀行卡號碼或一次性驗證碼；如有懷疑，應透過自己本來就認識的銀行顧問或官方應用核實，而不是回覆訊息中的連結或電話。官方並未宣布顧客個人資料已外洩，但這類攻擊之後出現冒充銀行的嘗試並不罕見。

4. 香港與亞洲市場視角

香港作為國際金融中心，本地銀行、儲值支付工具營運商及跨境支付公司同樣高度依賴發卡、收單、清算及訊息處理等服務供應商。今次法國合作銀行集團的個案說明，攻擊者不一定要先攻破面向零售客戶的應用，只要能經供應商平台取得足以驅動機構自有帳戶的轉帳能力，資金便可沿銀行同業通道離開，再尋找加密貨幣等較難追索的出口。對亞洲財資、支付及金融科技團隊而言，檢視清單應包括：哪些供應商能夠觸達自有或清算帳戶、大額或異常同業付款的偵測門檻、暫停交易的決策鏈有多短，以及一旦資金已被匯往境外或虛擬資產平台，與對手機構、執法機關的協作預案是否已經寫明。香港用戶亦應把「銀行主動提醒可能出現釣魚」理解成標準的事後風險，而不是自行推斷資料已經外洩。

五、專業評價與潛在考量

優勢

集團在同一日內兩度以具名公報說明事件，先安撫顧客資產不受影響，再回答入口是否在 Fortuneo、是否內部人為失誤、金額能否確認為一億一千八百萬歐元等關鍵問題，溝通節奏相對完整。官方清楚寫出攻擊者動用的是集團自有帳戶、入口在未具名服務供應商平台，並否定經 Fortuneo 進入的說法，有助外界避免把事件誤讀成零售網銀被攻破。保安系統很快識別可疑活動、暫停部分交易、通報監管及司法當局，以及攔截部分資金並展開追回，顯示應變同時覆蓋營運遏制與支付鏈追索。對金額只認同數量級、不確認精確數字，並承認最終金額仍在評估，避免把尚未核實的損失說成定案。

需要留意的地方

集團始終沒有公布該服務供應商的名稱或類別，也沒有說明平台上的技術缺口、攻擊持續多久，以及已攔截資金佔整體的比例，外界因此無法獨立核對規模與根因，只能接受「數量級」這一模糊區間。一億一千八百萬歐元（約一億三千三百萬美元）的具體數字並未獲官方確認，轉帳之後是否確實兌換成加密貨幣，也只是「有可能」的表述。入口既在供應商平台，第三方的身份驗證、授權範圍與監控缺口便成為核心問題，但這些細節要等到調查與監管程序推進後，才可能有更多可核對材料。顧客資料雖未被官方宣布外洩，釣魚風險仍被預告；公眾溝通若只強調「資產無損」而忽略後續社會工程，讀者可能低估冒充銀行的嘗試。

結語

Crédit Mutuel Arkéa 今次以兩份官方公報說明的，不是零售顧客帳戶被逐一盜用，而是攻擊者經服務供應商平台直達集團，並動用集團自有帳戶向其他銀行轉帳；金額方面，集團不確認一億一千八百萬歐元之數，只認同其數量級，同時強調顧客資產未受影響、部分資金已攔截、財務穩健不受動搖。對香港金融機構與依賴支付處理商的企業而言，教訓在於把供應商通道視為可觸達付款能力的高權限入口，並為自有帳戶的異常轉帳預先準備偵測、暫停與跨機構攔截能力，而不是只加固面向公眾的登入頁。

第三方平台的權限邊界、異常資金調撥能否被即時發現，以及事故後如何同時通知監管、保護顧客免受釣魚，都屬於可落地的雲端、身份與支付安全工作。香港企業若要為內部系統設立多重身份驗證、端到端加密與嚴格的存取控制，並對現有伺服器與網絡環境進行弱點評估，可參考 YSK Limited 的香港雲端遷移與網絡安全（https://ysk.hk/services/cloud-security）。該服務涵蓋 AWS／GCP 遷移、零信任網絡安全、企業級防火牆與漏洞掃描，以及異地備份與災難復原；所有開發者外判計劃亦包含一部美國獨立 IP 伺服器。

參考來源

延伸閱讀 · 相關服務與產品

相關文章