Cyberattaque du Crédit Mutuel Arkéa : une centaine de millions d'euros détournés

Le Crédit Mutuel Arkéa a révélé mercredi 4 novembre une cyberattaque ayant permis des transferts frauduleux d'une centaine de millions d'euros. Les assaillants ont converti les fonds en cryptomonnaies sur des plateformes spécialisées. Le parquet de Paris a ouvert une enquête et la banque assure que les avoirs de sa clientèle n'ont subi aucune ponction.

Le groupe bancaire coopératif, dont le siège se trouve dans le Finistère, a rendu l'incident public, déposé plainte et activé ses procédures de crise. Certaines transactions ont été suspendues à titre de précaution, retardant l'exécution de virements, avant une reprise quasi complète le matin du 4 novembre. L'établissement revendique plus de 5,6 millions de sociétaires et clients et un total de bilan de 211,6 milliards d'euros.

« Nous tenons à rassurer l'ensemble de nos clients : cet incident n'a aucune conséquence financière pour eux. Leurs intérêts sont pleinement protégés », a déclaré la banque dans son communiqué.

Le compte propre de la banque utilisé comme passerelle

Le mode opératoire diffère des vols de données bancaires courants. Aucun compte de client n'a été touché : les assaillants ont manipulé le compte propre du Crédit Mutuel Arkéa, le compte qu'une banque utilise pour ses propres opérations, pour lancer des virements vers d'autres établissements bancaires. Ces mouvements ont ensuite ouvert la voie à une conversion en cryptomonnaies.

« L'opération se fait en trois temps », décompose Mathieu Françon, avocat au cabinet Bersay : « on détourne de la monnaie traditionnelle », « on la transforme en crypto », puis « on anonymise cette crypto ». Le spécialiste pointe une lacune de la réglementation : « on n'encadre pas les outils qui permettent d'anonymiser la crypto aujourd'hui. » Il propose un contrôle renforcé au point de conversion entre monnaie traditionnelle et cryptomonnaies. Un délai de latence laisserait le temps de vérifier que les transactions ne sont pas frauduleuses.

Une intrusion passée par un prestataire externe

La banque a écarté plusieurs hypothèses. Les attaquants « sont passés par la plateforme d'un de nos prestataires et ont ainsi atteint le Crédit Mutuel Arkéa directement », indique le groupe, qui décrit une « attaque sophistiquée venant de l'extérieur ». La banque en ligne Fortuneo, filiale du groupe, n'a pas servi de porte d'entrée et aucune erreur humaine interne n'est en cause.

L'identité du prestataire compromis n'a pas été révélée. Le silence alimente l'interrogation centrale posée par Antoine Hautin, secrétaire général du cabinet de conseil en cybersécurité Almond : « vérifier s'il y a un enjeu autour du fournisseur mis en cause : alimente-t-il plusieurs banques ? » L'opération s'est étalée « sur plusieurs heures, voire plusieurs jours ». « La temporalité de l'attaque soulève des questions », ajoute le consultant, pour qui déterminer si le mécanisme est duplicable chez d'autres établissements permettrait de trancher la question d'un éventuel risque systémique, la possibilité qu'une défaillance se propage d'un acteur à l'ensemble du secteur.

Le traçage blockchain situe le vol autour de 118 millions d'euros

Le montant définitif reste à établir. L'enquêteur indépendant ZachXBT, spécialiste du traçage des fonds en cryptomonnaies, a identifié le Crédit Mutuel Arkéa comme victime présumée d'un vol supérieur à 133 millions de dollars, soit environ 118 millions d'euros. La banque ne confirme pas ce chiffre ; elle en valide « l'ordre de grandeur » et a évoqué jeudi 5 novembre un préjudice d'environ 100 millions d'euros. La banque précise qu'« une partie des fonds concernés a pu être bloquée » et que « d'autres actions sont en cours afin de les recouvrer ».

La société d'analyse Bitquery a retracé 108,8 millions de dollars de retraits en USDC (stablecoin adossé au dollar) depuis des comptes ouverts sur les plateformes Kraken, Crypto.com et OKX. Les retraits se sont étalés sur 21 heures entre le 1er et le 2 novembre. Une large part des sommes a été convertie en ether, une cryptomonnaie sans émetteur central en mesure de geler les fonds. Crypto.com a bloqué des fonds liés à l'incident ; OKX a gelé un compte client institutionnel concerné. ZachXBT écarte, avec un haut degré de confiance, la piste du groupe nord-coréen Lazarus.

Des dépôts protégés jusqu'à 100 000 euros

Pour la clientèle du groupe, qui réunit le Crédit Mutuel de Bretagne, le Crédit Mutuel Sud-Ouest, Fortuneo et l'assureur Suravenir, l'impact direct est nul : aucun compte n'a été débité. La réglementation impose par ailleurs à la banque de rembourser toute opération frauduleuse. En cas de défaillance d'un établissement, le Fonds de garantie des dépôts et de résolution (FGDR) couvre chaque déposant à hauteur de 100 000 euros par banque et indemnise sous sept jours ouvrables.

Le préjudice pèse en revanche sur les résultats du groupe. À 118 millions d'euros, il équivaudrait à environ un quart du résultat net part du groupe de 2025, fixé à 450 millions d'euros après une hausse de 13,8 % sur un an. « Les montants impactés par cette attaque n'étaient pas de nature à remettre en cause la solidité et la santé financière du groupe », répond l'établissement.

Un précédent pour les banques françaises

« Nous sommes face à la plus grosse attaque informatique sur un acteur bancaire en France », tranche Guillaume Seligmann, avocat au cabinet Bersay. Rafay Baloch, dirigeant du cabinet de cybersécurité RedSecLabs, qualifie l'attaque de sans précédent en Europe et décrit des intrusions sophistiquées qui visent la couche applicative des institutions bancaires et s'appuient sur des manœuvres d'ingénierie sociale (manipulation des personnes pour obtenir un accès). Les vols de fonds aboutis aux dépens d'une grande banque restent rares : le précédent le plus célèbre remonte à 2016 : des pirates avaient soustrait 81 millions de dollars au compte de la banque centrale du Bangladesh détenu auprès de la Réserve fédérale de New York.

Le risque de réplication inquiète davantage que le cas breton. « Les effets induits sur l'ensemble de cette industrie en raison de la très forte corrélation entre eux sont susceptibles d'avoir un impact réellement désastreux », avertit Guillaume Seligmann, qui appelle les acteurs financiers à mutualiser leurs moyens de défense et à renoncer au travail en silo. Puneet Kakkar, directeur à Paris du cabinet d'investigations Nardello & Co, souligne que chaque incident cyber touchant le système financier compte et que les criminels gagnent en audace et en créativité, même si la cybersécurité des banques françaises est réputée solide.

DORA encadre la dépendance aux prestataires

La faille exploitée, un accès ouvert chez un prestataire, correspond à une fragilité que les superviseurs documentent depuis plusieurs années. Le règlement européen DORA (résilience opérationnelle numérique du secteur financier), applicable depuis le 17 janvier 2025, impose aux banques de recenser leurs contrats informatiques et de déclarer les incidents majeurs, et soumet les prestataires critiques à un cadre de surveillance commun des autorités européennes.

Denis Beau, premier sous-gouverneur de la Banque de France et président désigné de l'ACPR (Autorité de contrôle prudentiel et de résolution), alertait le 9 septembre sur les risques de dépendance du secteur financier à ses fournisseurs technologiques, après des recommandations adressées en juin aux fédérations professionnelles. Il rappelait l'incident CrowdStrike de juillet 2024, quand une mise à jour défectueuse d'un logiciel de sécurité avait mis hors service 8,5 millions d'ordinateurs dans le monde. Le piratage du Crédit Mutuel Arkéa illustre ce scénario.

Une course contre la montre engagée

« Une course contre la montre qui est engagée », résume Antoine Hautin : plus les fonds circulent entre portefeuilles et plateformes, plus leur récupération s'éloigne. Les cryptomonnaies compliquent la traçabilité des sommes exfiltrées. « L'absence de revendication pourrait faire pencher la balance envers une attaque purement crapuleuse qui sert à extorquer de l'argent », ajoute le consultant.

La procédure vise une atteinte à un système de traitement automatisé de données en bande organisée. Trois inconnues vont structurer les prochaines semaines : l'identité du prestataire compromis, le risque que le même schéma frappe d'autres établissements et la part des sommes dérobées qui pourra être gelée ou restituée. La banque a informé la Banque centrale européenne et ses superviseurs français. L'ACPR a décliné tout commentaire. Une semaine plus tôt, le FBI attribuait à des pirates nord-coréens le piratage de la plateforme Binance, chiffré à 6,3 milliards de dollars.