Rapina cyber da 100 milioni a banca francese, quali precedenti (anche in Italia)

Un gruppo di hacker è riuscito a sottrarre oltre 100 milioni di euro a Crédit Mutuel Arkéa, gruppo bancario francese che controlla anche la banca online Fortuneo. Gli aggressori hanno movimentato denaro da un conto della banca verso altri istituti, per poi convertirne almeno una parte in criptovalute. Il 4 novembre 2026 Arkéa ha confermato l’attacco e precisato che le operazioni fraudolente hanno riguardato fondi propri dell’istituto. I conti dei clienti sono rimasti fuori dal percorso del denaro rubato.

La banca ha sospeso temporaneamente alcune transazioni, bloccato parte dei trasferimenti e avviato il recupero dei fondi. La perdita finale deve ancora essere quantificata: secondo le ricostruzioni giornalistiche l’ammontare movimentato supera i 100 milioni, mentre Arkéa ha confermato l’ordine di grandezza senza validare tutte le cifre circolate. La procura di Parigi ha aperto un’indagine. Secondo Le Monde, la cifra equivale a circa un quarto dell’utile netto annuo 2025 del gruppo. Per l’istituto è uno dei più gravi colpi finanziari mai ricostruiti ai danni di una banca europea attraverso un’intrusione informatica.

Il dettaglio più inquietante riguarda l’accesso. Secondo Le Monde, nell’inchiesta pubblicata il 5 novembre, gli hacker avrebbero compromesso il computer di una persona esterna autorizzata a effettuare transazioni; l’accesso avrebbe aperto una strada verso i conti della banca. La ricostruzione è giornalistica: il punto d’ingresso tecnico resta oggetto di accertamenti. Secondo il quotidiano, la piattaforma Kraken ha segnalato trasferimenti anomali e ne ha fermato una parte.

Attacchi informatiche contro le banche: i casi documentati

La domanda è inevitabile: quanto spesso gli hacker riescono davvero a rapinare una banca? Il tema non è tanto discusso, quasi ci fosse un po’ di tabù.

Eppure gli attacchi alle infrastrutture finanziarie sono frequenti. I furti di denaro direttamente dai conti e dai sistemi di pagamento dell’istituto sono invece casi relativamente rari nelle cronache pubbliche, ma alcuni precedenti europei spiegano come vengono realizzati. Chiariamo: qui l’attaccante entra nell’organizzazione bancaria o nei suoi sistemi di pagamento; non si limita a ingannare un correntista tramite phishing, cosa che come è noto è all’ordine del giorno.

Fonti: Crédit Mutuel Arkéa e AFP (2026); Bank of Valletta tramite Times of Malta (2019); Polizia di Stato (2022); Europol (2017).

Il precedente più vicino alla dinamica francese risale al 13 febbraio 2019, a Malta. Durante la riconciliazione dei pagamenti internazionali, Bank of Valletta trovò undici transazioni sospette per complessivi 13 milioni di euro. Gli ordini erano partiti dai conti utilizzati dalla banca per i pagamenti all’estero, non dai depositi dei clienti. La struttura nazionale maltese per la sicurezza digitale documentò la rapida reazione dell’istituto, che spense temporaneamente filiali, sportelli automatici, servizi online e operazioni internazionali.

Il denaro era stato indirizzato verso banche nel Regno Unito, negli Stati Uniti, nella Repubblica Ceca e a Hong Kong. Identificare i destinatari non bastò a recuperare immediatamente le somme. Il presidente della banca dichiarò a maggio 2019 di aver già recuperato 10 milioni dei 13, mentre proseguivano le procedure per il resto. Il sistema aveva consentito di far partire i pagamenti, ma i controlli successivi limitarono la perdita: è questo, oltre all’importo, il punto di contatto con Arkéa.

Il caso italiano: un finto tecnico e un milione di bonifici

Tre anni dopo, una vicenda italiana ha mostrato un’altra porta d’ingresso ai sistemi interni di una banca. La Polizia postale, nell’indagine resa pubblica il 1° dicembre 2022, ha ricostruito l’azione di un finto addetto all’assistenza tecnica. Con una serie di inganni convinse alcuni operatori a consentire un collegamento da remoto ai loro computer. Una volta dentro, secondo gli investigatori, furono disposti bonifici per circa un milione di euro verso conti controllati dai complici.

Un dipendente si accorse dell’ammanco e segnalò l’anomalia; la Polizia postale di Firenze riuscì a bloccare e recuperare 400.000 euro. Furono denunciate 35 persone, con indagini preliminari ancora in corso al momento del comunicato. La stessa organizzazione aveva condotto anche una campagna di smishing contro i clienti della banca. Il furto attraverso la postazione degli operatori, però, era un’azione distinta e diretta sui sistemi dell’istituto.

Questi episodi spiegano perché, per rapinare una banca, talvolta non serve violare il software che custodisce il denaro. È sufficiente ottenere il controllo di una postazione o di un’identità autorizzata a ordinare trasferimenti e superare le verifiche che dovrebbero fermare operazioni anomale. È esattamente la questione aperta dalle indagini francesi sul possibile ruolo di un accesso esterno.

Carbanak e Cobalt: quando gli hacker trasformavano i bancomat in casse da svuotare

La storia delle rapine digitali alle banche è stata segnata soprattutto da Carbanak e Cobalt, due famiglie di malware impiegate da reti criminali che prendevano di mira il personale e i sistemi interni degli istituti. Secondo la Federazione bancaria europea, dopo l’infezione iniziale i criminali cercavano di muoversi nella rete, osservare le procedure dei dipendenti e raggiungere i server incaricati delle operazioni finanziarie.

Il denaro poteva uscire in tre modi: con bonifici disposti verso conti controllati dagli aggressori, manipolando i saldi per consentire prelievi indebiti oppure impartendo ai bancomat l’ordine di erogare contanti a persone in attesa davanti allo sportello. Nel marzo 2018 un’indagine internazionale sostenuta da Europol portò all’arresto ad Alicante del presunto capo della rete. Le autorità attribuirono alla campagna, sviluppata in oltre 40 Paesi, perdite cumulate superiori a un miliardo di euro su oltre cento istituzioni finanziarie: una somma riferita a molti attacchi nel mondo, non a una singola banca europea.

Un caso ricostruito da Europol il 27 gennaio 2017 fornisce un esempio più circoscritto. Una rete criminale aveva violato i computer di dipendenti bancari con email di spear phishing, penetrato le reti interne e manipolato i sistemi degli ATM. La polizia attribuì agli episodi, avvenuti tra Europa e Asia, circa tre milioni di euro di perdite per le banche. Parte delle somme venne recuperata dopo gli arresti.

Il precedente diventato simbolo mondiale di questo tipo di furto rimane la Bangladesh Bank nel febbraio 2016. I criminali compromisero l’ambiente informatico della banca centrale e fecero arrivare alla Federal Reserve di New York falsi ordini di pagamento per centinaia di milioni di dollari. Ne furono effettivamente sottratti 81 milioni, trasferiti attraverso il sistema bancario filippino. La Federal Reserve di New York e Swift collaborarono con la banca centrale bengalese per ricostruire l’accaduto e tentare il recupero. La compromissione riguardò il sistema informatico della banca mittente, non la rete centrale di Swift.

Quanto sono frequenti davvero i furti informatici alle banche?

Per quantificare il fenomeno bisogna partire dai dati disponibili, che raccontano soprattutto gli incidenti informatici nel settore finanziario. Il rapporto di Banca d’Italia pubblicato il 9 luglio 2026 ha censito 101 eventi ICT gravi nel 2025 tra gli intermediari vigilati, dai quali sono derivate 137 segnalazioni. Di questi eventi, 23 erano di cybersicurezza. Gli altri 78 riguardavano problemi operativi, come malfunzionamenti dei sistemi e delle reti.

Incidenti ICT gravi in Italia nel 2025: la quota cyber

Il documento precisa che i casi cyber del 2025 erano soprattutto furti di dati, attacchi ai fornitori e ransomware. Nel 56% delle segnalazioni di tutti i gravi incidenti risultava coinvolto un fornitore di servizi; nel 70% l’effetto osservato era un’interruzione. Le perdite economiche più elevate erano concentrate in pochi episodi. La banca centrale non pubblica un conteggio separato delle rapine informatiche che abbiano trasferito con successo denaro dai conti propri degli istituti.

Un altro rapporto del Fondo monetario internazionale dedicato alla vigilanza cyber italiana, pubblicato nel settembre 2026, registra la crescita degli attacchi gravi a banche e istituti di pagamento e moneta elettronica: da 10 nel 2020 a 35 nel 2024. Tre attacchi del 2024 provocarono perdite stimate superiori a due milioni di euro ciascuno. Quella categoria comprende danni economici di varia natura, e quindi non permette di contare quanti criminali siano riusciti a portare via denaro dalla banca.

La dimensione europea si vede dal Risk Assessment Report di EBA del giugno 2026: dall’avvio delle notifiche DORA nel gennaio 2025 a marzo 2026 l’Autorità bancaria europea ha ricevuto oltre 18.000 segnalazioni di incidenti ICT. Prevalgono guasti e interruzioni dei sistemi; fra gli attacchi cyber compaiono soprattutto DDoS, furti d’identità ed esfiltrazioni di dati. Una singola vicenda può generare più segnalazioni e l’universo include soggetti diversi dalle banche commerciali.

La risposta sulla frequenza delle rapine è dunque precisa nei suoi limiti: gli attacchi cyber contro il settore sono numerosi e crescenti, mentre i furti diretti ai fondi degli istituti sono documentati in un numero molto più ristretto di casi. Le statistiche pubbliche non forniscono una probabilità europea attendibile di successo di questi colpi. Si può però misurare il divario tra il volume degli incidenti e i pochi episodi resi pubblici in cui gli hacker hanno davvero fatto uscire denaro.

Come si ferma una rapina digitale: i controlli che devono funzionare anche dopo l’intrusione

Gli episodi descritti hanno un elemento ricorrente: la compromissione di un sistema o di una postazione rende possibile impartire ordini che sembrano provenire da personale autorizzato. I criminali cercano poi di spostare il denaro in fretta, prima che gli addetti alle riconciliazioni o i sistemi antifrode identifichino le anomalie. Il tempo guadagnato è decisivo: a Malta furono recuperati almeno 10 milioni, in Italia la Polizia postale riuscì a fermarne 400.000, mentre in Francia proseguono i tentativi di recupero.

Da qui discendono difese più specifiche di un antivirus: separare le autorizzazioni a preparare e approvare un pagamento; fissare soglie di importo e regole per i nuovi beneficiari; verificare le operazioni anomale con un canale indipendente dalla macchina che le ha ordinate; sorvegliare gli accessi remoti di dipendenti e fornitori; assicurare la possibilità di sospendere rapidamente le transazioni e richiamare i bonifici. I controlli devono reagire anche quando credenziali e computer sembrano legittimi.

Il Customer Security Programme di Swift impone alle istituzioni che usano la rete controlli per proteggere l’ambiente locale, gestire identità e privilegi e individuare attività anomale. L’edizione 2026 del framework di sicurezza comprende esplicitamente il monitoraggio di sistemi e transazioni. La ricerca Follow the Money di Swift e BAE Systems spiega inoltre come i criminali usino conti di transito, prestanome e criptovalute per rendere più complesso il recupero dopo il furto.

Dal 17 gennaio 2025, il regolamento europeo DORA richiede alle entità finanziarie interessate di gestire il rischio informatico, gli incidenti gravi e le dipendenze dai fornitori ICT, con verifiche e responsabilità contrattuali. La BCE, nel rapporto sulla vigilanza 2025, indica la sicurezza delle terze parti e i test di intrusione guidati dalle minacce fra le proprie priorità: è una risposta diretta al rischio che un accesso apparentemente periferico diventi una via verso i sistemi centrali.

Arkéa mostra quanto denaro possa uscire in un tempo breve, Bank of Valletta quanto contino i controlli sui pagamenti internazionali, il caso italiano quanto costi concedere un accesso remoto alla persona sbagliata e Carbanak quanto a lungo una banda organizzata possa studiare le procedure di una banca. La protezione decisiva è quella che ferma il pagamento fraudolento anche quando l’intrusione è già riuscita. Per una banca, la differenza tra un incidente informatico e una rapina da cento milioni si gioca in quel passaggio.