Le groupe bancaire français Crédit Mutuel Arkéa a révélé de nouveaux détails sur une cyberattaque impliquant un montant estimé à environ 133 millions de dollars, indiquant que les attaquants ont accédé à ses systèmes via un prestataire de services tiers et auraient pu transférer une partie des fonds en crypto-monnaies.

Dans une mise à jour publiée le 4 novembre, la banque a expliqué que les attaquants avaient exploité la plateforme d'un prestataire de services externe pour accéder à ses systèmes. Une fois à l'intérieur, ils ont utilisé un compte appartenant à la banque pour transférer des fonds vers d'autres institutions financières. Les intrusions passant par des prestataires externes constituent un schéma de risque reconnu pour les banques, qui dépendent d'une gamme de plateformes et de fournisseurs extérieurs pour leurs opérations essentielles — une dépendance qui peut étendre l'exposition d'une institution au-delà de sa propre infrastructure.

L'incident a attiré l'attention sur le rôle potentiel des plateformes de crypto-monnaies dans le mouvement de l'argent volé. Selon les informations rapportées par Wu Blockchain, les fonds transférés auraient ensuite pu être convertis en crypto-monnaies via des plateformes spécialisées. Les détails disponibles ne permettent toutefois pas d'établir combien d'argent, le cas échéant, a finalement été converti en actifs numériques. Cette question ouverte est importante, car les fonds transitant par de telles plateformes peuvent être plus difficiles à retracer et à récupérer — c'est pourquoi les observateurs suivent fréquemment si l'argent volé atteint des services d'actifs numériques dans ce type d'incident.

La banque ne confirme pas le montant exact

Les rapports ont chiffré le montant impliqué à 118 millions d'euros, l'équivalent d'environ 133 millions de dollars. Crédit Mutuel Arkéa a déclaré ne pas pouvoir confirmer le chiffre exact, mais a reconnu que le montant rapporté était du bon ordre de grandeur.

Cette distinction est significative, car la banque n'a pas confirmé de manière indépendante l'impact financier précis de l'attaque. Son communiqué indique plutôt que l'estimation de marché largement rapportée est globalement cohérente avec l'ampleur de l'incident.

La banque a également indiqué qu'une partie des fonds concernés avait été bloquée et que les efforts de récupération de l'argent se poursuivaient. Son communiqué n'a pas précisé combien avait été gelé ni combien pourrait finalement être récupéré — des chiffres qui seront essentiels pour évaluer le coût final de l'incident lorsque la banque fournira de nouvelles informations.

Fortuneo et les actifs des clients non affectés

Crédit Mutuel Arkéa a rejeté les rapports suggérant que les attaquants étaient entrés dans ses systèmes via Fortuneo, sa filiale de banque en ligne. La banque a souligné que les actifs des clients n'avaient pas été affectés par l'incident et que l'attaque externe avait été contenue. Cette clarification ramène la question du point d'entrée au prestataire tiers mentionné dans le propre compte de la banque, maintenant l'attention sur le canal externe par lequel la violation s'est produite plutôt que sur les plateformes orientées clients de la banque.

Alors que les efforts de récupération se poursuivent, la communication de la banque distingue l'ampleur financière rapportée de l'incident du statut confirmé des fonds des clients et du confinement de la violation. Les principaux points restant à clarifier sont le chiffre de perte confirmé, les montants gelés et récupérés, et la question de savoir si une partie des fonds a réellement été convertie en crypto-monnaies.

L'information a été rapportée par Wu Blockchain, qui a cité la communication du 4 novembre de la banque. Crédit Mutuel Arkéa a reconnu l'ampleur approximative de la perte rapportée de 118 millions d'euros tout en refusant de confirmer un montant exact.