L’essentiel en bref
Crédit Mutuel Arkéa, banque bretonne qui revendique 5,6 millions de clients, a confirmé le 4 novembre une cyberattaque passée par la plateforme d’un de ses prestataires. Les attaquants ont utilisé le compte propre de la banque pour virer des fonds vers d’autres établissements, puis vers des plateformes crypto. Le montant avancé — environ 133 millions de dollars, soit près de 118 millions d’euros — n’est pas confirmé officiellement, mais Arkéa le qualifie de bon ordre de grandeur.
Les clients ne subissent pas de perte selon la banque. Pour tout le secteur fintech et bancaire, l’affaire pose une question très concrète : comment des virements massifs, émis via l’accès d’un tiers, ont-ils pu échapper aux systèmes d’alerte pendant plusieurs jours ? La sécurité d’un système de paiement ne s’arrête pas à son périmètre : elle inclut chaque intégration de prestataire.
Que s’est-il passé ?
L’alerte n’est pas venue de la banque. Le lundi 2 novembre, ZachXBT, enquêteur américain reconnu pour ses travaux sur le blanchiment en cryptomonnaies, annonce sur son canal Telegram qu’une entité européenne non identifiée a perdu plus de 106 millions de dollars. Le lendemain, il fait état de retraits supplémentaires de plus de 27 millions de dollars, puis, dans la nuit du mardi au mercredi, désigne la banque française.
Le mercredi 4 novembre, Crédit Mutuel Arkéa reconnaît une attaque informatique ayant permis « la réalisation d’opérations frauduleuses » et assure que l’incident est « circonscrit ». Dans la journée, certaines transactions sont suspendues « pour sécuriser les opérations et prévenir tout transfert frauduleux supplémentaire », et l’application mobile reste inaccessible une bonne partie de la journée. La banque indique à ses clients que l’incident n’a « aucune conséquence sur leurs avoirs » et a seulement entraîné une exécution différée de certains virements.
Comment les attaquants ont-ils opéré ?
Interrogée par l’AFP, la banque précise que les attaquants « sont passés par la plateforme d’un de nos prestataires », puis ont « utilisé le compte propre de Crédit Mutuel Arkéa » pour émettre des virements vers d’autres banques. Ce n’est donc pas l’argent des clients qui a été visé, mais la trésorerie de l’établissement. Arkéa affirme qu’aucun compte de ses fédérations ou filiales n’a été utilisé et dément une entrée par sa banque en ligne Fortuneo, évoquée par plusieurs sources.
La banque écarte l’hypothèse d’une erreur humaine interne et parle d’« une attaque sophistiquée venant de l’extérieur ». Elle n’a en revanche dévoilé ni le nom du prestataire, ni la faille exploitée, ni le périmètre exact des systèmes touchés.
Le circuit de blanchiment
D’après les sources citées par la presse, les virements ont atterri sur des comptes ouverts avec de fausses identités sur des plateformes d’échange comme Kraken, OKX ou Crypto.com. Les euros y ont été convertis en stablecoins. Le cabinet d’analyse Bitquery estime que plus de 108 millions de dollars en USDC ont ensuite été retirés, essentiellement depuis Kraken. Dans la nuit du 1er au 2 novembre, une partie du butin a été échangée contre de l’ether, puis, selon ZachXBT, convertie en Monero via des services d’échange instantané — une cryptomonnaie dont les transactions sont très difficiles à tracer.
Arkéa indique qu’« une partie des fonds concernés a pu être bloquée » et que d’autres démarches de récupération sont en cours ; Crypto.com aurait notamment gelé des fonds liés à l’affaire. ZachXBT écarte, à ce stade, la piste des groupes nord-coréens.
Où en est l’enquête ?
Après une plainte d’Arkéa, la section cybercriminalité du parquet de Paris a « immédiatement ouvert une enquête » pour « atteinte à un système de traitement automatisé de données en bande organisée », rapporte l’AFP. Les investigations sont confiées à l’Office anti-cybercriminalité (OFAC). La banque a également informé la Banque de France.
Les points encore ouverts sont nombreux : identité du prestataire compromis, nature de la faille, montant exact du préjudice et part des fonds récupérables. Pour le secteur, l’affaire s’inscrit dans un contexte réglementaire précis : le règlement européen DORA, applicable depuis janvier 2025, impose aux entités financières de maîtriser le risque lié à leurs prestataires de services TIC et de notifier les incidents majeurs aux autorités.
Quelles leçons pour les banques et les fintechs ?
Sans préjuger des conclusions de l’enquête, le scénario décrit par la banque — accès par un tiers, puis émission de virements depuis un compte interne — dessine une check-list que toute équipe d’ingénierie financière peut appliquer dès maintenant.
1. Traiter l’accès d’un prestataire comme un accès privilégié
Une plateforme tierce reliée aux systèmes de paiement doit disposer des droits strictement nécessaires, d’identifiants dédiés et révocables, et d’une journalisation exploitée en temps réel. Le cloisonnement réseau et applicatif entre le prestataire et le cœur bancaire doit être testé, pas seulement documenté — c’est précisément l’objet d’un test d’intrusion ciblé sur les intégrations tierces.
2. Contrôler les comptes propres comme les comptes clients
Les dispositifs anti-fraude sont souvent calibrés sur les comptes de la clientèle. Les virements émis depuis la trésorerie de l’établissement méritent les mêmes garde-fous : plafonds, double validation au-delà d’un seuil, liste blanche de bénéficiaires et alertes sur tout nouveau destinataire.
3. Surveiller les flux sortants vers l’écosystème crypto
Une série de virements vers des comptes récemment ouverts, rattachés à des plateformes d’échange, est un signal fort. Corréler destination, montant, fréquence et ancienneté du bénéficiaire permet de déclencher un blocage en heures plutôt qu’en jours — le délai qui sépare ici un incident contenu d’un préjudice à neuf chiffres.
4. Préparer la réponse et la continuité de service
Suspendre des virements et rendre une application indisponible protège les fonds, mais pèse sur les clients. Les scénarios de coupure ciblée, les messages clients et la notification aux autorités doivent être prêts avant l’incident, comme l’exige déjà le cadre DORA.
Questions fréquentes
Que s’est-il passé au Crédit Mutuel Arkéa ?
Le 4 novembre 2026, Crédit Mutuel Arkéa a reconnu avoir subi une cyberattaque ayant permis « la réalisation d’opérations frauduleuses ». Selon la banque, les attaquants sont passés par la plateforme d’un de ses prestataires, puis ont utilisé le compte propre de Crédit Mutuel Arkéa pour émettre des virements vers d’autres banques. L’incident est présenté comme circonscrit.
Quel est le montant détourné ?
La banque n’a pas communiqué de chiffre officiel. Plusieurs sources évoquent environ 133 millions de dollars, soit près de 118 millions d’euros ; Arkéa indique que c’est le bon ordre de grandeur. Une partie des fonds a pu être bloquée sur des plateformes d’échange de cryptomonnaies.
Les clients de la banque sont-ils touchés ?
Arkéa affirme que l’attaque n’a aucune conséquence financière pour ses clients : c’est l’argent de la banque, et non celui des comptes clients, qui a été visé. Certains virements ont été suspendus ou différés le 4 novembre et l’application mobile est restée inaccessible une partie de la journée.
Qui enquête sur la cyberattaque ?
Après une plainte d’Arkéa, la section cybercriminalité du parquet de Paris a ouvert une enquête pour atteinte à un système de traitement automatisé de données en bande organisée. Les investigations ont été confiées à l’Office anti-cybercriminalité (OFAC). La Banque de France a été informée.
Quelles leçons pour les banques et les fintechs ?
Trois points ressortent : l’accès d’un prestataire aux systèmes de paiement doit être cloisonné et surveillé comme un accès interne ; les virements émis depuis les comptes propres de l’établissement doivent passer par les mêmes contrôles de fraude que ceux des clients ; et la détection doit couvrir les flux sortants vers des plateformes crypto, car le vol s’est étalé sur plusieurs jours.
Sources
01net — Cyberattaque du Crédit Mutuel Arkéa : un prestataire piraté, des millions blanchis en crypto (5 novembre 2026)
Journal du Net — Crédit Mutuel Arkéa reconnaît avoir subi une attaque informatique (4 novembre 2026)
Silicon.fr — Crédit Mutuel Arkéa victime d’une cyberattaque : ce que l’on sait du détournement présumé de 118 millions € (4 novembre 2026)
Le Monde — Cyberattaque au Crédit mutuel Arkéa : une enquête ouverte après un détournement estimé à près de 100 millions d’euros (4 novembre 2026)