Victime d'une cyberattaque dans la nuit du 3 au 4 novembre 2026, le Crédit Mutuel Arkéa a subi un détournement estimé jusqu'à 118 millions d'euros. Les pirates ont visé la trésorerie propre de la banque via un prestataire externe. Les comptes des 5,8 millions de clients restent intacts.
Montage LaBanque.org — Crédit Mutuel Arkéa / PD-textlogo, via Wikimedia Commons
Confirmée le 4 novembre 2026 par la direction du groupe mutualiste breton, l'attaque informatique n'a causé aucune perte financière pour les particuliers et les entreprises clientes. Les 5,8 millions de sociétaires et clients du Crédit Mutuel de Bretagne, du Crédit Mutuel du Sud-Ouest et de Fortuneo conservent l'intégralité de leurs avoirs. Les pirates ont exclusivement puisé dans le compte propre (Compte de trésorerie appartenant directement à la banque pour ses opérations internes, distinct des dépôts de ses clients.) de trésorerie de l'établissement.
Du côté des opérations courantes, la gêne a duré quelques heures. Certains virements ont été différés le 4 novembre au matin pour bloquer les flux suspects et relever les seuils d'alerte. Le traitement normal des transactions a repris dès la fin de matinée.
L'intrusion ne provient ni d'une erreur humaine interne ni d'une faille de la filiale en ligne Fortuneo. « Les attaquants sont passés par la plateforme d'un de nos prestataires et ont ainsi atteint le Crédit Mutuel Arkéa directement », précise la direction du groupe dans un communiqué publié le 4 novembre. Cette attaque par rebond sur la chaîne de sous-traitance logicielle a ouvert un accès au système central.
Une fois infiltrés, les cybercriminels ont ordonné des transferts depuis la trésorerie interne de la banque vers d'autres établissements financiers. D'après les premières estimations de l'enquêteur spécialisé ZachXBT, le montant brut détourné atteint 133 millions de dollars, soit environ 118 millions d'euros. Le groupe bancaire valide l'ordre de grandeur d'une centaine de millions d'euros, sans arrêter de bilan définitif.
Pour brouiller les pistes, les sommes ont rapidement été converties en cryptomonnaies (Actifs numériques échangés de pair à pair sur une blockchain, sans passer par une banque centrale.), notamment en stablecoins (Jetons de cryptomonnaie dont la valeur est indexée sur une devise traditionnelle comme le dollar.), puis dispersées entre de multiples portefeuilles numériques. La traçabilité publique de la blockchain a toutefois permis de repérer ces mouvements en temps réel. Alertées, plusieurs plateformes d'échange dont Kraken et Crypto.com ont gelé une partie des fonds suspects dès le 4 novembre.
L'ampleur du détournement interroge néanmoins les spécialistes de la sécurité bancaire. « C'est une attaque à l'ampleur et aux dommages inédits. Normalement, cela n'arrive pas aux banques », observe Gabriel de Brosses, président du cabinet Tevarua Conseil, cité par Franceinfo. Selon cet expert, les dispositifs de contrôle interne auraient dû bloquer de tels mouvements inhabituels.
Si l'incident technique n'entame pas l'épargne déposée, il expose les usagers à une vague d'escroqueries opportunistes par hameçonnage (Technique d'escroquerie par message ou appel usurpant l'identité d'un organisme pour soutirer des codes ou données bancaires.). Des fraudeurs profitent déjà de la médiatisation de l'attaque pour envoyer des messages alarmistes ou appeler les clients en usurpant l'identité de la banque.
Cette technique de fraude bancaire (Opération illicite visant à détourner des fonds ou des moyens de paiement au détriment d'une banque ou de ses clients.) au faux conseiller vise à convaincre le titulaire d'un compte bancaire (Compte ouvert auprès d'un établissement de crédit permettant d'enregistrer des dépôts, des retraits et d'effectuer des opérations de paiement.) que son argent est menacé. L'escroc prétexte une mise en sécurité d'urgence pour obtenir des codes secrets ou faire valider un virement frauduleux. Le Crédit Mutuel Arkéa rappelle qu'aucun salarié ne demande jamais un mot de passe, un numéro de carte ou un code reçu par SMS.
Attention
Sur le plan pénal, le Crédit Mutuel Arkéa a déposé plainte dès le 4 novembre au matin. La section cybercriminalité du parquet de Paris a ouvert une enquête préliminaire pour atteinte à un système de traitement automatisé de données en bande organisée. Les investigations ont été confiées à l'Office anticybercriminalité (OFAC) afin d'identifier les auteurs et le prestataire compromis.
Côté finances, ce vol record pour une banque française ne menace ni l'équilibre de l'établissement ni la garantie des dépôts. La perte brute estimée à 118 millions d'euros représente environ la moitié du bénéfice net dégagé au premier semestre 2026 (230 millions d'euros).
Repères
« Les montants en jeu ne sont absolument pas de nature à remettre en cause la santé et la solidité financière du Crédit Mutuel Arkéa », assure la direction. Le bilan comptable définitif ne sera arrêté qu'à la clôture de l'exercice 2026, après déduction des fonds récupérés et prise en charge par les assurances.
Actualité des banquesLe Crédit Mutuel Arkéa a subi une cyberattaque d'ampleur portant sur environ 100 millions d'euros. Seuls les comptes propres de la banque ont été visés, via un prestataire externe. Les avoirs des 5,3 millions de clients, y compris chez Fortuneo, restent intacts.
Actualité des banquesLe groupe Crédit Mutuel Arkéa a confirmé le 4 novembre 2026 avoir subi une cyberattaque portant sur environ 100 millions d'euros. L'intrusion a ciblé les liquidités propres de la banque via un prestataire externe. Les 5,8 millions de clients conservent l'intégralité de leurs avoirs.
Actualité des banquesLes 77 000 salariés des 39 caisses régionales du Crédit Agricole bénéficient d'une augmentation générale de 2,2 % dès le 1er novembre 2026. Assortie d'un minimum de 900 € bruts par an pour les plus bas revenus, cette mesure devance de deux mois le calendrier habituel.