Le groupe bancaire brestois indique qu’une attaque a permis de réaliser des opérations frauduleuses, avant la suspension de certaines transactions et la maîtrise de l’incident. Les avoirs des clients ne sont pas touchés, selon la banque ; les estimations extérieures dépassent 133 millions de dollars.
Ce qui s’est passé
Le 4 novembre 2026, le Crédit Mutuel Arkéa a annoncé avoir subi une attaque ayant permis de réaliser des opérations frauduleuses. Dès la détection, le groupe coopératif brestois a prévenu les autorités compétentes et de supervision, puis a suspendu par précaution certaines transactions pour bloquer tout nouveau mouvement frauduleux. Il qualifie l’incident de clos et maîtrisé ; les opérations ont repris progressivement après des vérifications et un renforcement des mesures de sécurité. Selon la banque, les avoirs des clients ne sont pas touchés : seuls certains virements ont été exécutés en différé. Les montants sont encore en cours d’évaluation, mais ne remettent pas en cause, assure-t-elle, la solidité financière du groupe.
La banque n’avance aucun chiffre. D’après Numerama, un enquêteur indépendant spécialiste de la blockchain a signalé le 2 novembre plus de 106 millions de dollars de retraits, puis plus de 133 millions de dollars (environ 118 millions d’euros), avant de désigner Arkéa. Selon The Record, la banque a ensuite reconnu l’ordre de grandeur, sans confirmer le montant exact.
Comment les attaquants sont entrés
The Record, qui cite un second communiqué diffusé mercredi soir, rapporte que les attaquants sont passés par la plateforme d’un prestataire, non nommé, pour accéder directement au groupe. Ils auraient ensuite utilisé le propre compte d’Arkéa pour émettre des virements vers d’autres établissements, d’où les fonds auraient pu être convertis en cryptomonnaies ; une partie a été gelée. La banque écarte, selon ce média, toute erreur humaine et travaille avec la justice et la police.
Que faire maintenant
- Si vous êtes client du groupe (Crédit Mutuel de Bretagne, Crédit Mutuel du Sud-Ouest, Fortuneo…), méfiez-vous des tentatives d’hameçonnage surfant sur l’affaire : ne communiquez jamais identifiant, mot de passe, numéro de carte ou code reçu par SMS, et appelez votre conseiller en cas de doute.
- Recensez les prestataires qui ont un accès à vos systèmes ou plateformes métier : comptes nominatifs, MFA, filtrage IP, droits minimaux et aucun accès permanent.
- Journalisez et surveillez leurs sessions, avec des alertes sur les horaires, volumes ou destinations inhabituels.
- Protégez vos flux de paiement : double validation au-delà d’un seuil, contrôle des nouveaux bénéficiaires et confirmation par un canal distinct.
Notre avis
La plateforme d’un prestataire branchée sur le cœur du système d’information est une porte d’entrée comme une autre, et souvent moins surveillée. Ce qui a limité les dégâts ici, selon la banque, c’est une détection rapide et la capacité à geler les transactions. Toute entreprise devrait savoir quels tiers peuvent agir dans ses systèmes, et pouvoir leur couper l’accès en quelques minutes.
Sources
- Crédit Mutuel Arkéa — Crédit Mutuel Arkéa annonce avoir été victime d’une attaque
- The Record — French bank confirms cyber heist, hackers suspected to have stolen an estimated $133 million
- Numerama — Piratage du Crédit Mutuel Arkéa : ce que l’on sait et qui est réellement concerné
Comment nous choisissons, vérifions et rédigeons nos analyses →
La porte d’entrée était un tiers. Vérifiez ce que vos fournisseurs exposent publiquement — sans intrusion, uniquement des informations publiques :
Vous craignez que vos serveurs soient exposés ? Notre équipe audite, corrige et surveille vos infrastructures Linux et cloud 24h/24, 7j/7.
Parler à un expert Notre offre d’infogérance de serveurs →
