Le groupe bancaire français Crédit Mutuel Arkéa a confirmé une cyberattaque permettant aux criminels de transférer des fonds importants depuis les propres comptes de l’institution. L’intrusion a été menée par un prestataire de services tiers, mettant en lumière comment des faiblesses extérieures à l’infrastructure bancaire peuvent exposer les systèmes financiers à de graves menaces pour la sécurité.
L’incident est devenu public début novembre 2026, lorsque l’enquêteur sur la blockchain ZachXBT a signalé des retraits suspects impliquant des comptes d’échange de cryptomonnaies. Il a estimé que les attaquants avaient volé environ 118 millions d’euros (133 millions de dollars), bien que la banque ait contesté ce chiffre et n’ait pas établi ses pertes finales.
Crédit Mutuel Arkéa a reconnu l’attaque du 4 novembre, la qualifiant d’opération sophistiquée. L’institution, qui dessert environ 5,8 millions de clients et détient 211,5 milliards d’euros d’actifs, a déclaré que l’incident avait été contenu et que des efforts de reconstruction étaient en cours.
Selon la banque, les attaquants ont obtenu l’accès via une plateforme exploitée par un prestataire de services externe. Une fois à l’intérieur, ils ont pu initier des transactions non autorisées via le compte propre de Crédit Mutuel Arkéa, transférant de l’argent vers d’autres institutions financières.
Les fonds volés ont pu ensuite être convertis en cryptomonnaie via des plateformes spécialisées. ZachXBT a rapporté que les attaquants avaient retiré des actifs en utilisant les stablecoins USDC et USDT et affirmait qu’environ 30 millions de dollars avaient déjà été blanchis au 3 novembre. Ces résultats n’ont pas été confirmés de manière indépendante par la banque.
Crédit Mutuel Arkéa a rejeté les spéculations selon lesquelles sa filiale de banque en ligne, Fortuneo, serait responsable de l’intrusion. Elle a également exclu toute erreur humaine au sein du groupe bancaire, bien que la méthode technique précise utilisée pour compromettre le prestataire de services n’ait pas été divulguée.
L’institution a confirmé que certains fonds concernés avaient été bloqués et que des mesures de recouvrement supplémentaires étaient en cours. Elle a reconnu que les sommes en jeu étaient importantes mais a maintenu que les pertes ne menaçaient pas sa stabilité financière.
Il est important de noter que les attaquants n’ont pas accédé aux comptes clients individuels pour effectuer les transferts frauduleux. La banque a indiqué que les actifs des clients restaient intacts, bien que des restrictions précautionnelles aient temporairement retardé certaines transactions.
Suite à cette découverte, Crédit Mutuel Arkéa a activé ses procédures de réponse aux incidents et suspendu certaines parties de ses systèmes afin d’empêcher toute activité non autorisée supplémentaire. Les opérations bancaires ont ensuite recommencé à revenir à la normale sous des contrôles de sécurité renforcés.
L’organisation coopère avec la police et les autorités judiciaires pour déterminer comment les assaillants sont entrés dans ses systèmes et identifier les responsables. Aucun suspect n’a été nommé publiquement.
La banque a également averti ses clients de tentatives potentielles de phishing exploitant la publicité entourant l’incident. Les fraudeurs peuvent se faire passer pour des représentants de la banque et demander des mots de passe, des détails de carte de paiement ou des codes d’authentification.
Pendant que l’enquête se poursuit, les dommages financiers exacts restent incertains. Le chiffre rapporté de 133 millions de dollars est une estimation externe plutôt qu’une perte confirmée, et Crédit Mutuel Arkéa n’a pas encore annoncé la part des fonds transférés qu’elle prévoit de récupérer.