Le Crédit Mutuel Arkéa a subi une cyberattaque d'ampleur portant sur environ 100 millions d'euros. Seuls les comptes propres de la banque ont été visés, via un prestataire externe. Les avoirs des 5,3 millions de clients, y compris chez Fortuneo, restent intacts.
Montage LaBanque.org — Crédit Mutuel Arkéa / PD-textlogo, via Wikimedia Commons
L'alerte est venue de la surveillance publique des registres numériques durant le week-end de la Toussaint. Les 1er et 2 novembre 2026, l'enquêteur spécialisé ZachXBT a repéré des flux suspects totalisant 133 millions de dollars, soit environ 118 millions d'euros. Il a d'abord identifié 106 millions de dollars le 1er novembre, puis 27 millions supplémentaires le lendemain. Le 4 novembre 2026, le Crédit Mutuel Arkéa a confirmé l'attaque et évalué provisoirement le préjudice à environ 100 millions d'euros.
Face aux premières rumeurs visant sa banque en ligne, le groupe mutualiste a publié un démenti formel le 4 novembre à 17 h 30. « Contrairement à ce qui a pu être écrit, aucune "entrée" ne s'est faite par Fortuneo. Les attaquants sont passés par la plateforme d'un de nos prestataires et ont ainsi atteint le Crédit Mutuel Arkéa directement », précise la direction de la communication du groupe.
Ce mode opératoire correspond à une attaque par rebond (Piratage ciblant un fournisseur ou prestataire externe pour s'introduire par ricochet dans le système d'une entreprise partenaire.) : les pirates infiltrent un fournisseur informatique externe pour pénétrer le réseau d'un établissement partenaire. Une fois dans le système, les auteurs ont ciblé les comptes propres (Comptes internes appartenant à la banque pour gérer sa propre trésorerie, totalement séparés des comptes de dépôt des clients.) de trésorerie de la banque, utilisés pour ses flux interbancaires. Ces comptes internes sont juridiquement et techniquement séparés des dépôts de la clientèle.
Depuis ce compte technique, les assaillants ont émis des virements interbancaires vers des comptes tiers durant ce week-end férié. Les sommes ont ensuite rejoint plusieurs plateformes d'échange de cryptomonnaies (Actifs numériques décentralisés utilisant la cryptographie et une blockchain pour sécuriser et valider les transferts sans banque centrale.), parmi lesquelles Kraken, Crypto.com et OKX. Ce circuit hybride associe le virement bancaire classique à la rapidité des règlements sur registre numérique.
Pour brouiller les pistes, les fonds ont été convertis en jetons indexés sur le dollar (stablecoins) puis en Ether. Une part importante a ensuite été échangée contre du Monero (Cryptomonnaie conçue pour masquer l'expéditeur, le destinataire et le montant des transactions, empêchant leur traçage public.), une devise numérique qui masque l'expéditeur, le destinataire et les montants transférés. Cette conversion vise à empêcher le suivi public des transactions.
Sur le plan judiciaire, la section cybercriminalité du parquet de Paris a ouvert une enquête préliminaire le 4 novembre 2026. Les investigations sont confiées à l'Office anticybercriminalité (OFAC), le service de police judiciaire chargé des piratages financiers majeurs. L'enquête porte sur le chef d'« atteinte à un système de traitement automatisé de données en bande organisée ». Des réquisitions d'urgence ont déjà permis à Kraken et à Crypto.com de geler une partie des fonds sur certains comptes récipiendaires.
Aucun compte bancaire de particulier ou de professionnel n'a été débité ni compromis lors de cette attaque. « Cet incident n'entraîne aucune conséquence sur les avoirs des clients », assure le Crédit Mutuel Arkéa dans son communiqué du 4 novembre 2026. L'épargne et les dépôts restent intacts dans les caisses du Crédit Mutuel de Bretagne, du Sud-Ouest comme chez Fortuneo.
Les clients ont seulement subi des perturbations techniques temporaires les 3 et 4 novembre 2026. Par mesure de sécurité préventive, l'établissement a suspendu les virements et restreint l'accès à son application mobile le temps de vérifier ses protocoles. Les opérations de virement ont repris progressivement dans la matinée du 4 novembre.
Aucune démarche n'est donc demandée aux sociétaires et aux clients pour protéger leurs avoirs. La banque appelle en revanche à la vigilance face au risque d'usurpation d'identité par téléphone ou par message. Des escrocs peuvent prétexter cet incident médiatisé pour se faire passer pour un conseiller et demander la validation d'une opération sous couvert de sécurisation.
Pour le groupe bancaire, un détournement brut de 100 millions d'euros représente 22,2 % de son bénéfice net 2025, qui atteignait 450 millions d'euros. Cette ponction pèsera sur les résultats annuels 2026 présentés le 28 février 2027, mais elle représente moins de 1,1 % de ses fonds propres réglementaires consolidés. Fin 2025, l'établissement affichait un ratio CET1 (Indicateur mesurant les fonds propres durs d'une banque rapportés à ses engagements, qui reflète sa solidité financière.) de 17,9 %, un niveau de solvabilité parmi les plus élevés d'Europe. Ce matelas dépasse largement le seuil exigé par la Banque centrale européenne.
Repères
Le nom du prestataire compromis reste confidentiel afin de préserver les investigations. Dès le 5 novembre, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) participe à l'audit des liaisons avec les fournisseurs du groupe. Le coût final pour la banque dépendra des fonds récupérés d'ici la mi-novembre sur les plateformes d'échange et de l'indemnisation par les assurances cyber-risque.
Actualité des banquesLes 77 000 salariés des 39 caisses régionales du Crédit Agricole bénéficient d'une augmentation générale de 2,2 % dès le 1er novembre 2026. Assortie d'un minimum de 900 € bruts par an pour les plus bas revenus, cette mesure devance de deux mois le calendrier habituel.
Actualité des banquesLe Crédit Agricole a signé le 20 octobre 2026 un partenariat industriel avec l'entreprise française Mistral AI. Cet accord prévoit notamment un futur assistant conversationnel pour les clients des Caisses régionales et de LCL. Il s'inscrit dans un programme de 500 millions d'euros sur trois ans.
Actualité des banquesLa fintech Shares a finalisé l’acquisition de Treezor auprès de la banque Société Générale, après le feu vert des autorités financières. L’opération réunit l’infrastructure de paiement de la filiale et les technologies d’épargne de l’acquéreur. Le nouvel ensemble vise la rentabilité et près de 100 millions d’euros de revenus en 2027.