Crédit Mutuel Arkéa confirme une cyberattaque le 4 novembre, un incident déclaré maîtrisé malgré un préjudice massif
Crédit Mutuel Arkéa confirme des opérations frauduleuses et un préjudice proche de 100 millions d’euros, tout en assurant l’incident maîtrisé. Le parcours des fonds, les estimations et l’enquête permettent de distinguer ce que la banque reconnaît des éléments encore à établir.
L'essentiel
- Le 4 novembre 2026, Crédit Mutuel Arkéa a reconnu une cyberattaque ayant rendu possibles des transactions frauduleuses.
- La banque retient un préjudice proche de 100 millions d’euros, sans confirmer les 133 millions de dollars avancés par ZachXBT.
- Arkéa affirme que l’intrusion est passée par un prestataire, et non par Fortuneo ou les comptes de ses clients.
- Une plainte a déclenché une enquête confiée à l’Office anticybercriminalité.
Une confirmation bancaire après les alertes du 2 novembre
L’affaire a d’abord émergé par le suivi des mouvements de cryptomonnaies. Le 2 novembre 2026, l’enquêteur blockchain ZachXBT a signalé des retraits suspects dépassant 106 millions de dollars. Après avoir repéré 27 millions supplémentaires, il a relevé son estimation au-delà de 133 millions de dollars. Le 4 novembre, Crédit Mutuel Arkéa a confirmé avoir subi une cyberattaque permettant des opérations frauduleuses.
Le groupe, qui rassemble notamment Fortuneo, le Crédit Mutuel du Sud-Ouest et le Crédit Mutuel de Bretagne, reconnaît donc bien une fraude. Mais il ne valide pas le chiffrage précis de ZachXBT. Dans une communication rapportée par l’AFP, il retient un montant voisin de 100 millions d’euros. L’estimation de 133 millions de dollars, donnée pour environ 118 millions d’euros, reste distincte du montant reconnu par l’établissement.
Un prestataire désigné comme point d’entrée
Arkéa a aussi précisé le chemin emprunté par les attaquants. Contrairement aux premières descriptions évoquant Fortuneo, la banque affirme que l’accès s’est fait par la plateforme d’un prestataire. Les auteurs auraient ainsi atteint directement le groupe, puis utilisé un compte appartenant à Arkéa pour envoyer de l’argent vers d’autres établissements bancaires.
Cette précision change la lecture de l’incident : selon la banque, les comptes des clients de ses filiales et de ses fédérations n’ont pas servi de passage. Le point d’entrée compte donc autant que la destination des fonds. C’est aussi la question centrale de l’exposition des congélateurs de supermarchés, un autre sujet de sécurité informatique, sans que les deux dossiers puissent être assimilés.
Des transactions interrompues pour contenir la fraude
Pourquoi parler d’un incident maîtrisé avec un tel préjudice ? La formule décrit le confinement de l’attaque, pas l’effacement des pertes. Arkéa explique avoir interrompu certaines transactions par précaution afin d’empêcher d’autres mouvements frauduleux. Après des contrôles de sécurité, le groupe a annoncé une reprise progressive, puis indiqué que presque toutes les opérations avaient repris.
La banque assure par ailleurs que ses clients ne subiront pas de conséquence financière. Cette garantie doit être distinguée du préjudice supporté par l’établissement lui-même. Une attaque contenue peut avoir déjà causé des pertes importantes : le retour des opérations ne permet donc pas, à lui seul, de conclure que les sommes détournées ont été récupérées.
Des conversions en cryptomonnaies et une enquête ouverte
Les mouvements décrits dessinent plusieurs étapes, mais pas encore un circuit entièrement établi. BFMTV rapporte des envois vers des plateformes pour convertir les fonds en USDT et en USDC. Boursorama évoque des virements en monnaie traditionnelle avant ces conversions. Cointribune relève, de son côté, 108,8 millions de dollars d’USDC sortis de comptes sur Kraken, Crypto.com et OKX entre le 1er et le 2 novembre, en 21 heures. Ces flux ne constituent pas nécessairement des pertes à additionner.
Une autre étape rapportée porte sur la conversion de 62,98 millions de dollars de stablecoins en 27 553 ethers via UniswapX, en environ quatre heures. Une partie aurait ensuite été transformée en Monero. Des mesures de blocage ont été signalées chez Crypto.com et Kraken, tandis que Tether aurait gelé 1,14 million de dollars d’USDT. La plainte d’Arkéa a conduit la section cybercriminalité du parquet de Paris à ouvrir une enquête pour atteinte à un système informatique en bande organisée, confiée à l’OFAC. Le groupe indique également avoir prévenu les autorités et ses superviseurs.
