Le 6 novembre, Daniel Baal a déclaré que Crédit Mutuel Arkéa avait déjà récupéré une partie des fonds dérobés lors de sa cyberattaque. Il n'a pas donné le montant repris. L'argent sorti vient du compte de la banque, pas des comptes des clients.
Montage LaBanque.org
Le 6 novembre, sur France 5, Daniel Baal a dit dans C à vous : « Crédit Mutuel Arkea a récupéré aujourd'hui déjà une partie ». Ce n'est pas un communiqué d'Arkéa.
Bon à savoir
Daniel Baal préside la Confédération nationale du Crédit Mutuel et Crédit Mutuel Alliance Fédérale depuis avril 2024. Il préside aussi le CIC. Il ne dirige pas Crédit Mutuel Arkéa. Julien Carmona en est le président depuis juin 2021.
Deux jours plus tôt, la banque employait un autre verbe. Le 4 novembre, elle indiquait : « une partie des fonds concernés a pu être bloquée, et d'autres actions sont en cours afin de les recouvrer ».
Un gel chez un intermédiaire ne dit pas que l'argent est revenu sur un compte d'Arkéa. Aucune source ne sépare la part revenue, la part seulement gelée et la part déjà convertie.
Baal a confirmé l'ordre de grandeur du vol : plus de 100 millions d'euros. Le Télégramme avance plus de 133 millions de dollars, soit 118 millions d'euros, à partir du signalement de l'enquêteur ZachXBT. Arkéa a validé l'ordre de grandeur, pas ce montant exact.
« Les attaquants sont passés par la plateforme d'un de nos prestataires et ont ainsi atteint le Crédit Mutuel Arkéa directement », indique le communiqué du 4 novembre. Ils ont utilisé le compte propre (Compte appartenant à la banque elle-même, distinct des comptes de ses clients.), le compte de la banque, et non les dépôts des clients. Le prestataire n'est pas nommé. La banque écarte une erreur humaine interne. Elle décrit une attaque venue de l'extérieur.
L'argent a ensuite été viré vers d'autres établissements, puis converti en cryptomonnaie (Monnaie numérique qui circule hors des comptes bancaires. Les euros volés ont été convertis dans ces actifs.). Les comptes des fédérations et des filiales n'ont pas servi de porte d'entrée. Fortuneo non plus.
Le signalement public a précédé le communiqué. L'enquêteur ZachXBT a signalé des retraits dès le dimanche 1er novembre. Il a relevé son estimation le 3 novembre. Une partie des retraits serait intervenue après cette alerte. Arkéa a d'abord refusé de confirmer. Le 4 novembre au matin, elle qualifie l'incident de maîtrisé et le déclare circonscrit.
Des reconstitutions d'enquêteurs, pas une décision de justice, décrivent la suite. Des euros auraient été envoyés vers des comptes ouverts avec de fausses identités, sur des plateformes d'échange. Ils auraient été changés en stablecoin (Cryptomonnaie dont le cours est calé sur une monnaie, le plus souvent le dollar.), une cryptomonnaie calée sur une monnaie. Une partie aurait été changée en ether dans la nuit du 1er au 2 novembre.
Selon ces reconstitutions, une partie du butin aurait ensuite été changée en Monero (Cryptomonnaie qui masque l'expéditeur, le destinataire et le montant d'une transaction.). Cette cryptomonnaie masque l'expéditeur, le destinataire et le montant. L'argent encore logé sur une plateforme peut être gelé. Celui déjà converti en Monero devient très difficile à retrouver.
Non. Aucun compte bancaire de particulier n'a été débité, selon la banque et Daniel Baal. Le communiqué du 4 novembre le formule ainsi : « cet incident n'a aucune conséquence financière pour eux. Leurs intérêts sont pleinement protégés. » Certaines transactions ont toutefois été suspendues ce jour-là, par précaution. Des virements étaient impossibles dans les applications.
La garantie des dépôts (Indemnisation des dépôts jusqu'à 100 000 € par client et par banque, uniquement si la banque fait faillite.) ne s'applique pas à ce vol. Le Fonds de garantie des dépôts et de résolution couvre les dépôts jusqu'à 100 000 euros par client et par établissement. Il n'indemnise que si la banque fait faillite. Arkéa n'est pas défaillante.
Les livrets réglementés relèvent d'une garantie de l'État. Elle est plafonnée à 100 000 euros et ne joue qu'en cas de faillite. Elle couvre le Livret A, le livret de développement durable et solidaire et le livret d'épargne populaire.
Si des comptes de particuliers avaient été touchés, la banque « aurait été largement en mesure de couvrir » la somme sortie, précise Baal. Pour de futures attaques, il rassure d'abord par la solidité du groupe, puis par la garantie des dépôts. Ce filet ne rembourse pas l'argent sorti du compte de la banque.
Attention
Après l'attaque, Arkéa a prévenu que des tentatives d'hameçonnage (Message frauduleux qui imite la banque pour obtenir identifiant, mot de passe, numéro de carte ou code SMS.), ces faux messages qui imitent la banque, étaient possibles. Elle demande de ne jamais communiquer un identifiant, un mot de passe, un numéro de carte ou un code reçu par SMS. Cette alerte est présentée comme préventive et ne mentionne pas de fuite de données constatée.
En 2025, le résultat net d'Arkéa a atteint 450 millions d'euros. Il a progressé de 13,8 % par rapport aux 395 millions de 2024. Le groupe comptait alors 5,64 millions de clients.
Plus de 100 millions d'euros, c'est plus de 22 % du résultat net de 2025. Cette somme n'est pas retranchée du résultat déjà publié.
À la fin de 2025, le ratio CET1 (Indicateur de solidité : part des fonds propres les plus solides d'une banque rapportée aux risques qu'elle prend.) s'établissait à 17,9 %. Il rapporte les fonds propres les plus solides de la banque aux risques qu'elle porte. Le groupe le présentait comme l'un des plus élevés en Europe.
« C'est effectivement très préjudiciable pour la banque qui est l'objet d'une telle attaque », dit Baal. Il ajoute que cela « ne met en aucune manière en cause la crédibilité, la force du système ».
« Ce problème doit servir de leçon », a-t-il ajouté sur France 5. « Je suis convaincu que l'ensemble de la place bancaire aujourd'hui regarde ce qui aurait pu éventuellement arriver. »
Le 4 novembre au matin, la banque a déposé plainte. La section cybercriminalité du parquet de Paris a ouvert une enquête. Elle l'a confiée à l'Office anticybercriminalité. La qualification retenue est l'atteinte à un système de traitement automatisé de données en bande organisée.
Actualité des banquesLa Société Générale envisage de fermer ou regrouper 148 sites en France à partir du deuxième trimestre 2027. Ce nouveau plan ramènera le réseau SG de 1 769 à 1 621 points de vente d'ici la fin de l'année 2027, avec le transfert interne de 376 salariés.
Actualité des banquesVictime d'une cyberattaque dans la nuit du 3 au 4 novembre 2026, le Crédit Mutuel Arkéa a subi un détournement estimé jusqu'à 118 millions d'euros. Les pirates ont visé la trésorerie propre de la banque via un prestataire externe. Les comptes des 5,8 millions de clients restent intacts.
Actualité des banquesLe Crédit Mutuel Arkéa a subi une cyberattaque d'ampleur portant sur environ 100 millions d'euros. Seuls les comptes propres de la banque ont été visés, via un prestataire externe. Les avoirs des 5,3 millions de clients, y compris chez Fortuneo, restent intacts.