Le Crédit Mutuel Arkéa a confirmé ce mercredi avoir été victime d’une importante cyberattaque ayant permis la réalisation d’opérations frauduleuses. Selon les premières investigations, 133 millions de dollars, soit environ 118 millions d’euros, auraient été détournés, avant d’être transférés vers plusieurs plateformes de cryptomonnaies. Le groupe bancaire breton affirme avoir repris le contrôle de la situation et assure que ses clients ne subiront aucune perte financière.
Une cyberattaque révélée après la disparition de millions de dollars
L’affaire a commencé dimanche 1er novembre, lorsque des mouvements financiers suspects ont été détectés sur plusieurs plateformes d’échange de cryptomonnaies. L’enquêteur spécialisé dans les transactions sur blockchain ZachXBT a identifié des retraits représentant initialement plus de 106 millions de dollars, avant de repérer 27 millions de dollars supplémentaires.
Dans la nuit de mardi à mercredi, il a publiquement désigné le Crédit Mutuel Arkéa comme l’établissement victime de cette opération. Le montant total évoqué atteint désormais 133 millions de dollars, soit environ 118 millions d’euros. Ce chiffre n’a toutefois pas été confirmé par la banque, qui poursuit l’évaluation des conséquences financières de l’attaque.
Le Crédit Mutuel Arkéa, dont le siège se trouve au Relecq-Kerhuon, près de Brest, regroupe notamment les fédérations du Crédit Mutuel de Bretagne et du Sud-Ouest ainsi que la banque en ligne Fortuneo. Il constitue un ensemble bancaire distinct du Crédit Mutuel Alliance Fédérale, auquel appartient notamment le CIC.
Fortuneo aurait été utilisée pour détourner les fonds
Selon les premiers éléments recueillis, la fraude aurait principalement concerné Fortuneo, la banque en ligne appartenant au Crédit Mutuel Arkéa. Les auteurs auraient réussi à effectuer des virements bancaires vers des comptes ouverts sur des plateformes d’échange de cryptomonnaies, avant de convertir les sommes reçues en actifs numériques.
Les fraudeurs auraient notamment utilisé des comptes dont les identités et les noms de bénéficiaires permettaient de franchir certains contrôles bancaires. Des virements auraient ainsi été effectués vers des comptes associés à Kraken, Crypto.com et d’autres plateformes spécialisées.
Cette méthode aurait permis de faire sortir des euros du circuit bancaire traditionnel avant de les transformer en cryptomonnaies. Les enquêteurs cherchent désormais à déterminer comment les auteurs ont obtenu les accès nécessaires pour déclencher ces opérations et contourner les dispositifs de sécurité.
Le rôle précis de Fortuneo et les modalités techniques de la fraude n’ont pas encore été officiellement détaillés par le Crédit Mutuel Arkéa.
La banque confirme l’attaque et suspend certaines transactions
Face à l’ampleur de l’affaire, le Crédit Mutuel Arkéa a reconnu ce mercredi avoir subi une attaque informatique ayant permis des opérations frauduleuses. Dans un communiqué, l’établissement a indiqué que l’incident était « aujourd’hui maîtrisé ».
La banque a précisé : « Dès la détection de cette attaque, nos équipes se sont immédiatement mobilisées et ont pris, par mesure de précaution, la décision de suspendre temporairement certaines transactions afin de sécuriser les opérations et de prévenir tout nouveau mouvement frauduleux. »
Cette décision a entraîné des restrictions sur certaines opérations bancaires. Le groupe a annoncé que leur reprise aurait lieu rapidement, après les dernières vérifications de sécurité.
Le Crédit Mutuel Arkéa a également tenu à rassurer ses clients en affirmant que l’incident « n’a aucune conséquence financière pour eux » et que leurs intérêts étaient pleinement protégés. Le groupe n’a annoncé aucune perte supportée par les titulaires de comptes.
Des millions convertis en cryptomonnaies et dispersés sur plusieurs plateformes
L’analyse des mouvements financiers a permis de retracer une partie des sommes détournées. La société spécialisée Bitquery a notamment identifié 108,8 millions de dollars de retraits en stablecoins, des cryptomonnaies dont la valeur est généralement indexée sur une monnaie traditionnelle, depuis plusieurs plateformes entre le 1er et le 2 novembre.
Une partie des fonds aurait ensuite été convertie en ether, puis répartie entre des centaines de portefeuilles numériques. D’autres montants auraient été échangés contre du Monero, une cryptomonnaie qui permet de masquer les informations relatives aux transactions et complique considérablement le travail des enquêteurs.
La plateforme Crypto.com a confirmé avoir pris des mesures pour bloquer les fonds associés à cette affaire. Kraken a également indiqué avoir restreint des comptes liés aux mouvements suspects. Les plateformes concernées affirment que leurs propres systèmes de sécurité n’ont pas été compromis.
Un préjudice qui pourrait dépasser les 118 millions d’euros
Le montant de 118 millions d’euros pourrait encore évoluer. Les investigations portent notamment sur d’éventuels transferts réalisés en dehors des transactions directement observables sur les blockchains publiques, notamment par des opérations de gré à gré.
À ce stade, l’identité des auteurs n’a pas été établie. Les enquêteurs doivent également déterminer si les fraudeurs ont exploité une faille informatique, des accès bancaires compromis ou des manipulations humaines pour déclencher les virements.
Ce scandale a été révélée quelques jours après le piratage record de Binance, au cours duquel 6,3 milliards de dollars d’actifs ont été dérobés. Les deux attaques présentent toutefois des caractéristiques différentes : dans le cas d’Arkéa, les premiers éléments désignent une fraude bancaire suivie d’une conversion des fonds en cryptomonnaies.
Le groupe de pirates nord-coréens Lazarus, soupçonné dans l’attaque contre Binance dont la plateforme a annoncé avoir reconstitué une grande partie des actifs, n’a pas été identifié comme responsable de l’opération visant Arkéa.
Les 5,6 millions de clients du groupe ne subiront aucune perte, assure la banque
Le Crédit Mutuel Arkéa compte environ 5,6 millions de clients à travers ses différentes activités, dont plus d’un million pour Fortuneo. L’établissement a indiqué avoir informé les autorités compétentes et engagé les vérifications nécessaires pour sécuriser ses opérations.
La Banque de France aurait également été avisée de l’incident. Le groupe bancaire, qui avait dégagé un bénéfice net de 230 millions d’euros au premier semestre 2026, n’a pas encore communiqué de montant définitif concernant le préjudice.
La banque a assuré que les transactions temporairement suspendues reprendraient « rapidement, dans des conditions de sécurité optimales », après l’achèvement des contrôles. Elle n’a pas précisé de date de rétablissement complet ni détaillé les mesures techniques déployées pour empêcher une nouvelle fraude.
Réagir à l’article
Soyez le premier à commenter cet article.