Crédit Mutuel Arkéa : cyberattaque via un prestataire

Crédit Mutuel Arkéa a confirmé, dans un communiqué publié mercredi 4 novembre 2026 en soirée, avoir été victime d'une cyberattaque « sophistiquée ». Selon le groupe bancaire breton, des attaquants seraient passés par la plateforme de l'un de ses prestataires pour utiliser un compte du groupe et initier des transferts de fonds. Le chercheur en traçage de cryptoactifs ZachXBT évalue la perte à plus de 133 millions de dollars en cryptomonnaie, un montant que la banque dit pouvoir « valider dans l'ordre de grandeur » sans le confirmer formellement. Crédit Mutuel Arkéa affirme que les comptes et les avoirs de ses clients n'ont pas été touchés.

Crédit Mutuel Arkéa : que s'est-il passé ?

D'après le communiqué relayé par The Record, Crédit Mutuel Arkéa explique que l'attaque est « passée par la plateforme d'un de nos prestataires » pour atteindre directement le groupe. La banque insiste sur le caractère « sophistiqué » de l'intrusion, écartant explicitement l'hypothèse d'une erreur humaine interne. Dès la détection de l'attaque, « les mesures nécessaires ont été prises dans le cadre des procédures de crise existantes », indique l'établissement, qui ajoute que « l'incident est désormais sous contrôle » et travaille avec les autorités judiciaires et policières, sans les nommer.

Crédit Mutuel Arkéa précise que la perte, quel que soit son montant définitif, n'est « absolument pas de nature » à menacer sa solvabilité. Le groupe affirme par ailleurs que les comptes de ses clients particuliers n'ont pas été accédés et que leurs avoirs n'ont pas été affectés par l'incident.

Un prestataire comme porte d'entrée

Le scénario décrit, un attaquant qui compromet un fournisseur pour atteindre sa cible finale plutôt que de s'attaquer directement à ses défenses, est un classique des attaques de la chaîne d'approvisionnement logicielle. Il s'était déjà illustré cette semaine avec le vol de 2,7 millions de dollars sur Polymarket via un script tiers détourné.

Des médias français avaient évoqué Fortuneo, la filiale de banque en ligne de Crédit Mutuel Arkéa, comme point d'entrée de l'attaque. Le groupe a démenti cette version auprès de la presse. Faute de confirmation officielle sur l'identité du prestataire concerné, ForenShield ne reprend pas cette hypothèse comme un fait établi.

Combien d'argent a été dérobé ?

Le chiffre de 133 millions de dollars n'émane pas de la banque elle-même mais d'une estimation indépendante.

Selon ZachXBT, l'attaque s'est déroulée sur plusieurs jours : les fonds auraient d'abord transité vers d'autres comptes bancaires avant d'être convertis en cryptomonnaie via des plateformes d'échange spécialisées. Une partie des actifs aurait depuis été gelée, et la banque indique travailler à récupérer le reste. Il s'agit là d'une reconstitution d'enquêteur indépendant, à distinguer d'un fait confirmé par l'entreprise ou par une autorité.

Quelles obligations réglementaires pour une banque française ?

Depuis janvier 2025, les établissements financiers européens relèvent du règlement DORA (Digital Operational Resilience Act), qui impose la notification des incidents informatiques majeurs à leur superviseur, l'Autorité de contrôle prudentiel et de résolution (ACPR) en France, dans des délais contraints. Rien, dans les informations disponibles à ce stade, ne permet de dire si cette notification a eu lieu ni dans quel délai : Crédit Mutuel Arkéa indique seulement avoir activé ses procédures de crise dès la détection et collaborer avec la justice.

Que faire si vous êtes client de Crédit Mutuel Arkéa ou de Fortuneo ?

À retenir : la banque affirme que les comptes clients n'ont pas été accédés. Les mesures ci-dessous restent utiles par prudence, comme après toute cyberattaque médiatisée visant votre établissement.

• Vérifiez l'historique récent de vos opérations et signalez sans délai toute transaction que vous ne reconnaissez pas, par le canal officiel de la banque.
• Restez vigilant face aux tentatives de phishing qui exploitent souvent ce type d'actualité pour se faire passer pour votre conseiller ou le service fraude.
• Ne communiquez jamais un code reçu par SMS ou par l'application à une personne qui vous contacte, même si elle dit appeler de la banque.
• Activez, si ce n'est pas déjà le cas, l'authentification forte proposée par votre banque pour les opérations sensibles.

L'avis de ForenShield

Face à un incident décrit comme passant par un prestataire, la priorité absolue pour toute organisation du secteur financier est de revoir en urgence les accès accordés à ses fournisseurs critiques, en particulier ceux qui disposent, directement ou indirectement, d'un chemin vers les systèmes d'initiation de virements. Un prestataire compromis n'a pas besoin de connaître vos mots de passe : il lui suffit parfois d'un accès légitime mais trop large à une interface de gestion pour que l'attaquant en hérite.

Côté détection, les journaux à surveiller en priorité sont ceux des changements de bénéficiaires de virement, des connexions à des comptes à privilèges depuis des adresses ou des horaires inhabituels, et des accès API ou VPN attribués à des tiers. Une activité de transfert groupée et rapide, suivie d'une conversion immédiate en cryptomonnaie, est un schéma récurrent dans ce type de fraude et doit déclencher une alerte avant, et non après, l'exécution des opérations.

Le piège classique, dans ce genre de dossier, consiste à clore l'incident dès que l'accès initial est coupé sans vérifier si l'attaquant a laissé une persistance chez le prestataire lui-même, ou chez d'autres clients de ce même prestataire. Après confinement, il convient de faire valider par un tiers indépendant la liste complète des comptes et habilitations ayant pu être exposés, et de ne communiquer un montant de perte qu'une fois la reconstitution comptable achevée, pour éviter de devoir le corriger publiquement par la suite.

Points clés

• Crédit Mutuel Arkéa confirme une cyberattaque « sophistiquée », passée selon elle par la plateforme d'un prestataire, et affirme que les comptes et avoirs de ses clients n'ont pas été touchés.
• Le chercheur ZachXBT évalue la perte à plus de 133 millions de dollars en cryptomonnaie ; la banque juge l'ordre de grandeur plausible sans confirmer le chiffre ni le montant définitif.
• Des médias français avaient évoqué Fortuneo comme point d'entrée, une version démentie par le groupe : l'identité exacte du prestataire concerné n'est pas confirmée publiquement.
• La banque dit avoir activé ses procédures de crise, écarte tout risque pour sa solvabilité et indique travailler avec la justice et la police.
• L'épisode illustre, après Polymarket et Binance, une série d'attaques récentes visant la chaîne de fournisseurs plutôt que la cible finale directement.

Sources

• The Record : French bank confirms cyber heist, hackers suspected to have stolen an estimated $133 million
• ZachXBT, publication Telegram du 2 novembre 2026