Le groupe Crédit Mutuel Arkéa a confirmé le 4 novembre 2026 avoir subi une cyberattaque portant sur environ 100 millions d'euros. L'intrusion a ciblé les liquidités propres de la banque via un prestataire externe. Les 5,8 millions de clients conservent l'intégralité de leurs avoirs.
Montage LaBanque.org — Crédit Mutuel Arkéa / PD-textlogo, via Wikimedia Commons
L'alerte initiale est venue de l'analyse des chaînes de blocs. Dans la nuit du 3 au 4 novembre 2026, l'enquêteur spécialisé ZachXBT a repéré des transferts anormaux. Ces mouvements portaient sur 133 millions de dollars, soit environ 118 millions d'euros. Crédit Mutuel Arkéa a aussitôt confirmé une attaque extérieure visant environ 100 millions d'euros, dont une partie est déjà gelée.
Les pirates n'ont pas forcé le système informatique central du groupe mutualiste ni exploité une erreur interne. Ils ont compromis la plateforme technique d'un prestataire tiers. La direction dément toute faille issue de sa filiale de banque en ligne (Établissement bancaire dont l'ouverture de compte et les opérations courantes s'effectuent intégralement à distance, sur internet ou application mobile.). Selon son communiqué : « Contrairement à ce qui a pu être écrit, aucune 'entrée' ne s'est faite par Fortuneo. Les attaquants sont passés par la plateforme d’un de nos prestataires et ont ainsi atteint le Crédit Mutuel Arkéa directement. »
Une fois introduits dans ce canal technique, les auteurs de cette fraude bancaire (Opération de paiement ou détournement de fonds réalisé sans autorisation légitime au détriment d'un client ou d'un établissement financier.) ont émis des virements depuis la trésorerie du groupe vers d'autres banques. Ces fonds ont ensuite rejoint des plateformes spécialisées pour être convertis en cryptomonnaies (Actifs numériques échangés de pair à pair sur une chaîne de blocs décentralisée, sans passer par une banque centrale.). Les pirates ont d'abord acquis des stablecoins (Cryptomonnaies dont la valeur est arrimée à une monnaie officielle comme le dollar ou l'euro pour servir de passerelle de conversion.) (USDC et USDT). Ils les ont ensuite échangés contre de l'Ether et du Monero (Cryptoactif conçu pour masquer l'identité de l'émetteur, celle du destinataire et le montant des transactions sur sa chaîne de blocs.) pour brouiller les pistes.
Aucun compte de particulier ou d'entreprise n'a subi de débit frauduleux lors de cet incident. Les opérations ont visé uniquement le compte propre (Compte de trésorerie appartenant à la banque elle-même pour ses opérations de marché, distinct des comptes de dépôt des clients.) de la banque, qui reste juridiquement et techniquement séparé des dépôts. Les 5,8 millions de sociétaires et clients des fédérations de Bretagne, du Sud-Ouest et de Fortuneo conservent l'intégralité de leur épargne.
Les usagers n'ont aucune démarche de remboursement ou d'opposition à effectuer. Par précaution, la banque a appliqué une exécution différée (Suspension préventive et temporaire du traitement de virements bancaires sortants pour effectuer des contrôles de sécurité approfondis.) sur certains virements le temps de vérifier ses canaux de paiement. La quasi-totalité des opérations a repris normalement dès le matin du 4 novembre 2026. « Nous tenons à rassurer l'ensemble de nos clients : cet incident n’entraîne aucune conséquence sur leurs avoirs », indique la direction.
Attention
Le groupe bancaire appelle ses clients à une vigilance accrue face aux tentatives d'hameçonnage (phishing) et aux appels de faux conseillers. Des escrocs peuvent prétexter cette cyberattaque pour réclamer des codes confidentiels ou faire valider de faux virements dits « de mise en sécurité ». Un conseiller ne demande jamais de transférer son argent vers un autre compte pour le protéger.
Bien que le préjudice brut provisoire avoisine 100 millions d'euros, la banque dispose de réserves solides pour absorber cette perte opérationnelle. Au premier semestre 2026, le groupe mutualiste a dégagé un produit net bancaire de 1,338 milliard d'euros. Son bénéfice net semestriel s'est élevé à 230 millions d'euros (+17,1 %), après 450 millions d'euros sur l'année 2025.
Le montant visé représente ainsi moins de trois mois de bénéfices courants pour l'établissement. Au 30 juin 2026, son ratio CET1 (Indicateur réglementaire mesurant les fonds propres les plus solides d'une banque rapportés aux risques qu'elle porte.) atteignait 18,1 %. Ce niveau représente près du double du seuil prudentiel d'environ 9,5 % exigé par la Banque centrale européenne (BCE). « Les montants en jeu ne sont absolument pas de nature à remettre en cause la santé et la solidité financière du Crédit Mutuel Arkéa », assure la direction.
Repères
Le coût net final dépendra des fonds récupérés et des assurances cyber avant son inscription aux comptes annuels le 25 février 2027. Dès la détection de l'attaque, l'établissement a activé sa cellule de crise et saisi la justice. Il a aussi informé la Banque de France et l'Autorité de contrôle prudentiel et de résolution (ACPR). La coopération avec les plateformes d'échange a déjà permis de bloquer une partie des actifs numériques détournés.
L'établissement mutualiste prévoit un bilan technique intermédiaire dès le 5 novembre 2026 sur le gel des fonds et la sécurisation des accès. Un audit complet sera remis d'ici le 15 novembre 2026 à l'ACPR et à la BCE. L'Agence nationale de la sécurité des systèmes d'information (ANSSI) recevra également ces conclusions pour adapter la protection face aux attaques par rebond.
Actualité des banquesLes 77 000 salariés des 39 caisses régionales du Crédit Agricole bénéficient d'une augmentation générale de 2,2 % dès le 1er novembre 2026. Assortie d'un minimum de 900 € bruts par an pour les plus bas revenus, cette mesure devance de deux mois le calendrier habituel.
Actualité des banquesLe Crédit Agricole a signé le 20 octobre 2026 un partenariat industriel avec l'entreprise française Mistral AI. Cet accord prévoit notamment un futur assistant conversationnel pour les clients des Caisses régionales et de LCL. Il s'inscrit dans un programme de 500 millions d'euros sur trois ans.
Actualité des banquesLa fintech Shares a finalisé l’acquisition de Treezor auprès de la banque Société Générale, après le feu vert des autorités financières. L’opération réunit l’infrastructure de paiement de la filiale et les technologies d’épargne de l’acquéreur. Le nouvel ensemble vise la rentabilité et près de 100 millions d’euros de revenus en 2027.