Ce mercredi 4 novembre, le Crédit Mutuel Arkéa a reconnu avoir été victime d’une cyberattaque d’envergure. L’offensive s’est terminée par « la réalisation d’opérations frauduleuses » qui ont fait disparaitre plus de 100 millions d’euros. Le groupe, qui compte 5,6 millions de clients en France, assure que l’incident est désormais « circonscrit ».
Selon les informations qui circulent, les pirates ont détourné 133 millions de dollars, soit environ 118 millions d’euros. Arkéa ne confirme pas ce chiffre, mais reconnaît qu’il s’agit bien du bon ordre de grandeur. La banque précise que l’attaque « n’a aucune conséquence financière » pour ses clients. Mercredi, certaines transactions ont toutefois été suspendues, « pour sécuriser les opérations et prévenir tout transfert frauduleux supplémentaire ». L’application mobile est aussi restée inaccessible une bonne partie de la journée.
A lire aussi : Des frigos à plus de 100°C – après les supermarchés, des pirates s’attaquent aux congélateurs du don du sang
Un prestataire compromis
Quelques heures après l’annonce du piratage, Arkéa a communiqué quelques détails sur les circonstances de l’attaque. Interrogée par l’AFP, la banque bretonne révèle que les attaquants « sont passés par la plateforme d’un de nos prestataires ». Les hackers ont préféré prendre d’assaut les systèmes informatiques d’un prestataire, dont l’identité est restée inconnue, plutôt que de viser directement ceux de la banque. On peut supposer qu’une faille ou une faiblesse de sécurité a été décelée par les pirates.
Ils ont ensuite « utilisé le compte propre de Crédit Mutuel Arkéa » pour émettre des virements vers d’autres banques. Comme prévu, ce n’est pas l’argent des clients qui était visé, mais celui de la banque elle-même. Arkéa assure que les pirates n’ont utilisé aucun compte de ses fédérations ou de ses filiales. Contrairement à ce qu’affirmaient plusieurs sources dans le sillage de l’attaque, « aucune entrée ne s’est faite par Fortuneo », la banque en ligne du groupe, précise Arkèa. La banque écarte la piste d’une erreur humaine en interne, qui aurait ouvert la porte aux truands. Elle pointe du doigt « une attaque sophistiquée venant de l’extérieur ».
Des euros transformés en cryptos, puis en Monero
Une fois sorti de la banque, l’argent a été converti en cryptomonnaies. Selon le journaliste crypto Grégory Raymond, qui cite plusieurs sources, les virements ont atterri sur des comptes ouverts avec de fausses identités sur des plateformes d’échange crypto, comme Kraken, OKX ou Crypto.com. Derrière ces comptes fictifs, on trouve « des structures parfaitement rodées », selon l’une de ses sources. Les euros ont été promptement échangés contre des stablecoins, des cryptomonnaies dont la valeur est adossée à celle d’une monnaie fiduciaire, en général le dollar.
Ce qui s’est passé dans le groupe Crédit Mutuel Arkéa (@cmarkea) va créer un précédent
Au moins 120 M€ dérobés dans le système central, un blanchiment facilité par les cryptos, un réseau de pirates ultra expérimenté, etc.
Voici comment s’est déroulée l’opération : https://t.co/NuKh0YvYrk
— Grégory Raymond (@gregory_raymond) November 5, 2026
D’après le cabinet d’analyse Bitquery, plus de 108 millions de dollars en USDC ont ensuite été retirés des plateformes, essentiellement depuis Kraken. Dans la nuit du 1ᵉʳ au 2 novembre, une partie de ce butin a été convertie en ether, la crypto de la blockchain Ethereum.
Enfin, les pirates ont converti les fonds volés en Monero, une cryptomonnaie réputée impossible à tracer. Selon l’enquêteur ZachXBT, qui a découvert la cyberattaque avant tout le monde, les pirates ont fait transiter une partie des fonds par des services d’échange instantané, avant de les convertir en Monero. Une fois l’argent converti, il est très difficile d’en suivre la trace sur les réseaux, même pour des sociétés d’analyse de la blockchain. L’expéditeur, le destinataire et le montant des transactions sont en effet invisibles sur le réseau Monero. « Autant dire que toute récupération devient extrêmement difficile désormais », résume Grégory Raymond sur X.
Certaines plateformes d’échange de cryptomonnaies ont néanmoins pu agir avant qu’il ne soit trop tard. Arkéa affirme qu’« une partie des fonds concernés a pu être bloquée », et que d’autres démarches sont en cours pour récupérer le reste. Selon les informations obtenues par CoinDesk, Crypto.com a bloqué des fonds liés à l’affaire.
L’enquêteur ZachXBT écarte la piste de truands nord-coréens, pourtant spécialisés dans les casses de haut vol impliquant des cryptomonnaies. Les pirates nord-coréens sont d’ailleurs accusés d’avoir dérobé plus de 6 milliards de dollars à Binance la semaine dernière.
Le parquet de Paris ouvre une enquête
La justice s’est rapidement saisie de l’affaire. Après une plainte d’Arkéa, la section cybercriminalité du parquet de Paris « a immédiatement ouvert une enquête » pour « atteinte à un système de traitement automatisé de données en bande organisée », rapporte l’AFP. Les investigations ont été confiées à l’Office anti-cybercriminalité (OFAC). La banque a aussi informé la Banque de France de l’incident.
L’enquête en cours devra mettre en lumière plusieurs zones d’ombre. Arkéa n’a toujours pas révélé le nom du prestataire compromis, ni la faille exploitée par les pirates, ni le montant exact du préjudice. Les enquêteurs devront surtout tenter de comprendre comment des virements massifs ont pu échapper aux systèmes d’alerte de la banque, et ce, pendant plusieurs jours. Les investigations indépendantes, dont celles menées par ZachXBT, montrent en effet que le vol s’est étalé sur une poignée de jours. L’enquêteur a d’ailleurs tiré la sonnette d’alarme dés le week-end, trois jours avant l’annonce d’une attaque.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
Source : AFP (via La DH)
