Grup perbankan dan asuransi ternama asal Prancis, Crédit Mutuel Arkéa, menjadi korban kejahatan siber berskala masif yang menguras dana sekitar Rp2,05 triliun (€100 juta atau setara $112 juta / Rp1,98 triliun). Aksi pembobolan ini menyasar langsung rekening internal milik bank melalui manipulasi jalur transfer instan interbank. Pimpinan bank menyebut insiden ini sebagai bentuk perampokan model baru yang memiliki tingkat kerumitan sangat tinggi.
Chairman Crédit Mutuel Arkéa, Julien Carmona, menyatakan dalam wawancaranya bersama AFP bahwa kejahatan siber ini diduga kuat dibantu oleh teknologi kecerdasan buatan (AI) tingkat lanjut. Meski demikian, pihak bank belum membeberkan secara spesifik rincian teknis mengenai peran AI dalam mengeksekusi aksi pembobolan tersebut. Pihak bank memastikan bahwa dana nasabah dan sistem bank digital Fortuneo aman tanpa mengalami kerugian sedikit pun.
Bocor Melalui Vendor Ketiga dan Transfer Instan
Jejak pembobolan siber ini terdeteksi pertama kali pada 27 Oktober. Tim keamanan Crédit Mutuel Arkéa menemukan indikasi bahwa sistem milik penyedia layanan pihak ketiga telah diretas oleh kelompok penjahat. Bank segera memutuskan koneksi jaringan dengan vendor tersebut dan melapor ke pihak berwajib. Bank tidak membeberkan nama vendor. Keputusan merahasiakan nama penyedia jasa ini diambil bersama oleh jaringan perbankan untuk mencegah serangan serupa pada vendor lain yang menggunakan sistem sejenis.
Setelah berhasil menembus celah keamanan dari sistem vendor, para peretas bergerak cepat masuk ke dalam infrastruktur informasi internal bank. Pelaku kemudian membuat nomor rekening IBAN palsu di bawah platform Fortuneo. Rekening buatan ini dipakai untuk memicu perintah pembayaran keluar dari rekening resmi Crédit Mutuel Arkéa ke pihak luar. Proses pemindahan uang memanfaatkan sistem pembayaran instan (instant payment) yang secara karakteristik memiliki mekanisme pengawasan lebih longgar dibanding transfer konvensional.
Eksekusi pemindahan dana dimulai pada Minggu, 1 November, ketika seluruh sistem pengawasan mencoba dimanipulasi agar transaksi ilegal terlihat sah. Rekening penerima merupakan akun asli di sejumlah bank Eropa yang telah dibuka jauh hari oleh jaringan penipu. Hal ini menandakan bahwa aksi peretasan perbankan digital ini disiapkan secara matang dalam jangka panjang.
Jejak Pencucian Uang Kripto Bernilai Ratusan Juta Dolar
Dampak peretasan baru disadari sepenuhnya oleh manajemen bank pada Selasa pagi, 3 November. Bank langsung memutus seluruh akses luar, memutuskan sambungan ke sistem pembayaran antarbank, menghapus akun palsu, serta memperbarui seluruh kredensial otentikasi. Rekening nasabah dipastikan aman. Carmona menekankan kerugian Rp2,05 triliun tersebut mencakup sekitar 1% dari ekuitas grup atau setara pendapatan satu kuartal, sehingga stabilitas finansial perusahaan tetap terjaga.
Sebelum pengumuman resmi dirilis, para analis blockchain telah mencium adanya aliran dana mencurigakan. Detektif siber di media sosial X, ZachXBT, mendeteksi penarikan janggal lebih dari Rp1,87 triliun ($106 juta) pada 2 November, sebelum akhirnya menaikkan estimasinya hingga menembus Rp2,35 triliun ($133 juta). ZachXBT memastikan bahwa kelompok peretas kenamaan asal Korea Utara, Lazarus Group, kemungkinan besar tidak berada di balik aksi ini.
Laporan dari firma analitik blockchain Bitquery menunjukkan bahwa dana sebesar Rp1,92 triliun ($108.8 juta) dalam bentuk pengubah nilai USDC ditarik dari bursa kripto seperti Kraken, Crypto.com, dan OKX selama 21 jam. Uang tersebut dilarikan ke kripto. Sebagian besar dana kemudian dikonversi menjadi Ether (ETH) agar tidak bisa dibekukan oleh penerbit terpusat. Pihak Crypto.com dan OKX mengonfirmasi telah membekukan sejumlah akun institusional yang terindikasi menampung aset curian tersebut.
Klaim Keterlibatan AI dan Investigasi Kepolisian
Julien Carmona menggambarkan pelaku sebagai kelompok kriminal terorganisir yang dilengkapi perlengkapan siber tingkat tinggi. Namun, tuduhan keterlibatan kecerdasan buatan dalam insiden ini menuai pertanyaan dari para pengamat keamanan siber. Teknik yang digunakan pelaku seperti peretasan vendor, penggunaan akun perantara (mule account), manipulasi transfer instan, hingga pencucian uang via kripto merupakan metode klasik kejahatan siber yang sudah lama ada.
Peran AI diprediksi terbatas pada tahap pengumpulan informasi target, pembuatan kode eksploitasi, atau pemalsuan dokumen identitas untuk pembukaan rekening penampung. Pihak bank belum membagikan bukti forensik digital untuk memperkuat klaim tersebut. Penyidikan siber resmi dibuka. Unit kejahatan siber Kejaksaan Paris kini memimpin penyelidikan penuh setelah menerima laporan resmi dari pihak bank pada 4 November.
