Le Crédit Mutuel Arkéa a annoncé avoir été la cible d'une cyberattaque, dans un communiqué publié mercredi soir. D'après BFMTV, la banque évalue ses pertes à plus de 100 millions d'euros.

Un compte bancaire propre détourné vers des plateformes crypto

Selon le communiqué, les assaillants « ont utilisé le compte propre de Crédit Mutuel Arkéa pour réaliser des transactions vers d'autres acteurs bancaires ». Selon le communiqué, l'argent a ensuite été converti en cryptomonnaie via des plateformes spécialisées. La banque insiste sur un point : les attaquants ne sont « pas passés par des comptes de clients de ses fédérations ni de ses filiales ».

Contrairement à certaines informations parues dans la presse, Arkéa dément toute intrusion par sa filiale Fortuneo. « Aucune 'entrée' ne s'est faite par Fortuneo. Les attaquants sont passés par la plateforme d'un de nos prestataires et ont ainsi atteint le Crédit Mutuel Arkéa directement », précise la banque. Elle écarte également l'hypothèse d'une erreur humaine en interne : il s'agirait d'« une attaque sophistiquée venant de l'extérieur ».

Un piratage révélé dans la matinée par un enquêteur blockchain

L'affaire a émergé dans la matinée de mercredi, bien avant le communiqué officiel du soir. ZachXBT, enquêteur spécialisé dans la blockchain, affirmait alors que le Crédit Mutuel Arkéa avait été victime d'un piratage portant sur plus de 133 millions de dollars, soit environ 115 millions d'euros.

Selon ses investigations, les pirates auraient transféré les fonds dérobés vers des plateformes d'échange pour les convertir notamment en stablecoins, ces cryptomonnaies adossées au dollar. L'attaque se serait étalée sur plusieurs jours, et le préjudice pourrait être encore plus lourd, d'après lui.

ZachXBT a aussi mis en cause la lenteur de la banque. Il estime que l'absence de signalement rapide a permis aux pirates de blanchir plus de 30 millions de dollars qui auraient pu, selon lui, être gelés par les autorités européennes.

Interrogée dans la journée, la banque avait reconnu des « opérations frauduleuses » sans confirmer le montant avancé par l'enquêteur, tout en validant l'ordre de grandeur. Elle assurait avoir immédiatement suspendu certaines transactions pour empêcher de nouveaux mouvements.

Une partie des fonds détournés a pu être bloquée, et d'autres démarches sont en cours pour les récupérer, selon le communiqué.

Les comptes des clients n'ont pas été touchés, et aucun vol de données clients n'a été signalé. « Par mesure de précaution », certaines transactions ont été suspendues temporairement, et l'application de la banque est restée inaccessible pendant plusieurs heures. Arkéa dit avoir attendu « des conditions de sécurité optimales » avant de rétablir l'accès.

L'incident « n'entraîne aucune conséquence sur leurs avoirs et a seulement entraîné une exécution différée de certaines opérations de virement », précise la banque, qui affirme vouloir « rassurer l'ensemble de ses clients » : leurs intérêts seraient pleinement protégés.

L'attaque n'a pour l'instant pas été revendiquée. Impossible donc de dire s'il s'agit d'un simple vol ou d'une opération menée par des activistes.

Le groupe a déposé plainte auprès du parquet de Paris, qui a immédiatement ouvert une enquête. Les investigations ont été confiées à l'Office anticybercriminalité, pour une qualification d'atteinte à un système de traitement automatisé de données en bande organisée. Les équipes de sécurité de la banque disent travailler avec les autorités judiciaires et policières pour déterminer l'origine exacte de l'attaque et son mode opératoire.

Le Crédit Mutuel Arkéa réunit plusieurs filiales spécialisées ainsi que les fédérations de Bretagne et du Sud-Ouest du Crédit Mutuel. Il appartient à la Confédération nationale du Crédit Mutuel, tout en conservant une large indépendance vis-à-vis de cet organe central. La banque avait dégagé un bénéfice net de 230 millions d'euros sur les six premiers mois de l'année.

Le groupe appelle ses clients à la vigilance, des tentatives d'hameçonnage (phishing) étant possibles. Ces épisodes servent souvent de terreau à une seconde vague d'arnaques, menée par des cybercriminels opportunistes qui profitent de l'inquiétude ambiante, sans lien direct avec l'attaque initiale.

Cette cyberattaque survient moins d'une semaine après le piratage de Binance, la première plateforme d'échange de cryptomonnaies, dont les actifs affectés sont estimés à 6,3 milliards de dollars. Selon le FBI, l'attaque contre Binance viendrait de la Corée du Nord, qui a démenti toute implication.