La banque francaise Credit Mutuel Arkea dit qu'une cyberattaque a permis des virements frauduleux depuis son propre compte

Credit Mutuel Arkea a dit mercredi 4 novembre qu'une cyberattaque avait permis a des pirates de mener des virements frauduleux depuis le compte propre de la banque. La banque a dit que l'incident etait sous controle, que les operations reprenaient et que les avoirs des clients n'etaient pas touches.

Dans son communique public, la banque a dit: "Credit Mutuel Arkea a ete la cible d'une attaque qui a permis l'execution de transactions frauduleuses. L'incident est desormais sous controle." La banque a qualifie l'incident d'"attaque sophistiquee venue de l'exterieur."

Comment les attaquants sont entres

Dans une note de questions et reponses, Arkea a dit que les attaquants etaient passes par la plateforme d'un de ses prestataires et avaient atteint la banque directement. Les attaquants ont utilise le compte propre de la banque pour envoyer des transactions vers d'autres banques, ce qui a pu ensuite leur permettre de convertir l'argent en cryptomonnaie par des plateformes specialisees.

La banque a dementi les informations de la presse francaise selon lesquelles les attaquants seraient entres par Fortuneo, sa filiale de banque en ligne. Elle a aussi dit que l'attaque n'etait pas le resultat d'une erreur humaine.

Ce que les clients ont vecu mercredi

L'application bancaire etait inaccessible et certains virements n'ont pas pu etre faits mercredi 4 novembre. La banque a suspendu certaines transactions par precaution apres avoir decouvert l'attaque. Au moment de son communique, la banque a dit que les operations reprenaient.

L'argent, et ce qui n'est pas confirme

La banque n'a pas donne de chiffre final. Interrogee sur un vol de 118 millions d'euros, ou 133 millions de dollars, elle a dit qu'elle ne confirmait pas le chiffre et qu'elle pouvait seulement valider l'ordre de grandeur. Un porte-parole a dit a Reuters: "Il est encore trop tot pour donner un chiffre final."

L'AFP a rapporte que la banque avait place l'attaque a environ 100 millions d'euros dans une estimation provisoire. Reuters a rapporte que la banque avait dit que ses pertes etaient inferieures au chiffre de 133 millions de dollars avance par l'enqueteur on-chain ZachXBT. Les lecteurs doivent traiter les 100 millions d'euros comme une estimation provisoire et les 133 millions de dollars comme l'estimation de l'enqueteur, pas comme une perte finale confirmee.

Une partie des fonds concernes a ete gelee et d'autres mesures sont en cours pour recuperer le reste, a dit la banque. Elle a ajoute que les montants en jeu ne sont pas assez grands pour menacer sa sante financiere ou sa solidite.

La piste signalee avant que la banque parle

ZachXBT a signale l'incident pour la premiere fois lundi 2 novembre, sans nommer la victime. Il a ecrit sur son canal Telegram qu'une entite de l'UE etait soupconnee d'avoir perdu plus de 106 millions de dollars depuis plusieurs comptes d'echange centralises le 1er novembre, les fonds etant retires en USDC et USDT. Il a ensuite porte le total a plus de 133 millions de dollars.

Le cabinet d'analyse on-chain Bitquery a trace 108,8 millions de dollars en USDC retires de Kraken, Crypto.com et OKX les 1er et 2 novembre.

Enquete et la banque

Le parquet de Paris a ouvert une enquete mercredi apres le depot par Arkea d'une plainte aupres de sa section cybercriminalite, et l'Office francais anti-cybercriminalite traite le dossier.

Arkea a son siege a Le Relecq-Kerhuon, pres de Brest, dans le nord-ouest de la France. Elle comptait environ 5,6 millions de clients fin 2025 et fait partie du groupe plus large Credit Mutuel, qui regroupe les federations Credit Mutuel de Bretagne et du Sud-Ouest.