La banque cooperative française Crédit Mutuel Arkéa a déclaré que des attaquants ont accédé à ses systèmes via la plateforme de l'un de ses prestataires de services, rejetant les rapports selon lesquels Fortuneo, la banque en ligne du groupe, était le point d'entrée.

La banque a fourni cette information dans un communiqué en questions-réponses publié à Brest le 4 novembre à 17 h 30, à la suite d'un premier communiqué publié à 13 h 00 le même jour. Ce document répondait aux questions de la presse sur les modalités de l'attaque et les personnes touchées. Le communiqué officiel de la banque est disponible ici.

Crédit Mutuel Arkéa a indiqué que les attaquants ont utilisé l'un des comptes propres de la banque pour envoyer des fonds vers d'autres banques. Ces fonds ont ensuite pu être convertis en cryptomonnaies via des plateformes spécialisées.

Fortuneo n'était pas le point d'entrée

Certains médias avaient affirmé que les attaquants étaient entrés via Fortuneo. Crédit Mutuel Arkéa a rejeté cette version, déclarant : « Contrairement à ce qui a été rapporté, il n'y a eu aucune « entrée » via Fortuneo ».

Selon la banque, les attaquants sont plutôt passés par la plateforme d'un prestataire de services pour atteindre directement Crédit Mutuel Arkéa. Elle n'a pas identifié ce prestataire. La banque a également précisé qu'une erreur humaine interne n'était pas à l'origine de l'incident, le décrivant comme « une attaque sophistiquée venant de l'extérieur » qui a depuis été contenue. Une intrusion passant par la plateforme d'un prestataire, plutôt que par les systèmes clients d'une banque, relève du type d'exposition aux tiers que la réglementation européenne aborde désormais explicitement : le règlement sur la résilience opérationnelle numérique (DORA) de l'UE, en vigueur depuis janvier 2025, impose aux institutions financières de gérer les risques liés aux prestataires de services TIC et de signaler les incidents majeurs aux superviseurs.

Selon Crédit Mutuel Arkéa, les attaquants n'ont pas utilisé les comptes des clients de ses fédérations ou filiales. La banque a affirmé que l'incident n'a pas de conséquences financières pour les clients, bien que certains virements aient été retardés.

Par précaution, le groupe a temporairement suspendu certaines transactions. Presque toutes les opérations ont repris au cours de la matinée, une fois les vérifications effectuées et des mesures de sécurité renforcées mises en place.

Le groupe a indiqué avoir informé les autorités et organes de supervision compétents. Ses équipes travaillent avec les autorités judiciaires et les forces de l'ordre afin de déterminer l'origine de l'attaque et ses modalités.

La banque a également mis en garde ses clients contre le phishing. Elle a souligné que les incidents de ce type sont souvent suivis d'une hausse des tentatives d'hameçonnage visant à voler des données personnelles, et a appelé ses clients à rester vigilants.

La publication suivante a été partagée par Crypto Banter sur X le 4 novembre :

🚨FRENCH BANK ATTACK CONFIRMED: FORTUNEO HIT, $133M+ DRAINED INTO CRYPTO! New reporting confirms that @fortuneo , the online arm of Crédit Mutuel Arkéa, was targeted. Attackers issued transfers and moved the funds into crypto exchange accounts opened with forged identities.… pic.twitter.com/YemTytogpM — Crypto Banter (@crypto_banter) November 4, 2026

La publication est disponible sur X.

ZachXBT suit les fonds à travers les blockchains

ZachXBT, enquêteur on-chain indépendant connu pour retracer publiquement les cryptomonnaies volées à travers les exchanges et les blockchains, a signalé publiquement l'exploitation pour la première fois le 2 novembre. Il a estimé que les pertes dépassaient 133 millions de dollars et a indiqué que ce montant pourrait augmenter. Selon lui, l'attaque s'est déroulée sur plusieurs jours et a pu également inclure des transactions de gré à gré supplémentaires susceptibles de porter le total à la hausse.

Selon ZachXBT, l'attaquant a échangé de l'USDC, un stablecoin adossé au dollar américain, contre de l'ETH et a déplacé les actifs via des exchanges instantanés, notamment WellWallet et Kyrrex. Les fonds ont également été convertis en Monero (XMR) via Wagyu et transférés par bridge à travers plusieurs blockchains. Les exchanges instantanés permettent aux utilisateurs d'échanger rapidement une cryptomonnaie contre une autre, souvent sans les vérifications d'identité complètes exigées par les grandes plateformes. Monero est conçu de telle sorte que les expéditeurs, les destinataires et les montants ne sont pas visibles sur son registre public, ce qui rend le traçage plus difficile que sur des blockchains transparentes comme Bitcoin ou Ethereum.

ZachXBT a déclaré avoir un « haut degré de confiance » dans le fait que le groupe Lazarus, en Corée du Nord, n'était pas à l'origine de l'attaque. Crédit Mutuel Arkéa n'a nommé aucun suspect.

La banque compte 12 073 employés et plus de 5,8 millions de sociétaires et clients. Elle déclare un total de bilan de 211,5 milliards d'euros (238,1 milliards de dollars).

Interrogée sur le vol présumé de 118 millions d'euros (133 millions de dollars), Crédit Mutuel Arkéa a refusé de confirmer ce chiffre, indiquant ne pouvoir valider que l'ordre de grandeur. La banque a précisé qu'une partie des fonds avait été bloquée et que d'autres actions de récupération étaient en cours.

Elle a ajouté qu'il était trop tôt pour communiquer un montant définitif, mais a affirmé que les pertes ne sont « en aucun cas de nature à remettre en cause la solidité et la santé financières » du groupe. L'identité du prestataire de services utilisé pour accéder aux systèmes, le montant final exact des pertes et l'issue du travail de la banque avec les autorités judiciaires et les forces de l'ordre restent tous indéterminés.

Source : CoinCentral