Cyberattaque au Crédit Mutuel Arkéa : ce qui est établi, ce que seule la banque affirme et ce qui reste inconnu

Chronologie

Chronologie

Les protagonistes. Crédit Mutuel Arkéa est un groupe coopératif installé au Relecq-Kerhuon, près de Brest. Il réunit les fédérations du Crédit Mutuel de Bretagne et du Sud-Ouest et une quarantaine de filiales, dont la banque en ligne Fortuneo ; il revendique 5,8 millions de sociétaires et clients et 211,5 milliards d’euros de bilan. Il est distinct de Crédit Mutuel Alliance Fédérale, l’autre grand ensemble du Crédit Mutuel.

ZachXBT est le pseudonyme d’un enquêteur indépendant, présenté comme américain par The Record et franceinfo, qui suit les mouvements de cryptoactifs. Bitquery est une société d’analyse de ces mouvements. Grégory Raymond est un journaliste spécialisé, cofondateur de The Big Whale, un média consacré aux cryptoactifs ; sa version de l’affaire a paru sur le réseau X et est lue ici dans la reproduction du site d’information Actu17. Une bonne part des détails vient de sites spécialisés dans les cryptoactifs : Cryptoast, Journal du Coin, TokenPost, Cointelegraph, Crypto Briefing.

Cinq mots pour suivre. Un cryptoactif est une monnaie numérique qui circule hors du système bancaire ; ses mouvements s’inscrivent sur une blockchain, un registre public. Une plateforme (Kraken, OKX, Crypto.com) est un site où l’on change des euros contre des cryptoactifs. Un portefeuille est une adresse sur ce registre, que son détenteur contrôle hors de toute plateforme : un retrait, c’est l’envoi de cryptoactifs d’une plateforme vers un portefeuille. Un stablecoin est un cryptoactif dont la valeur suit celle d’une monnaie, ici le dollar ; l’USDC, émis par la société américaine Circle, en est un, et son émetteur peut le geler. L’ether est un autre cryptoactif, sans émetteur de ce type, et dont le cours varie.

Contexte et explications

01 Que reconnaissent la banque et la justice ?

La banque reconnaît une attaque qui a fait sortir de l’argent de son propre compte ; la justice enquête ; personne n’est mis en cause.

Arkéa a publié deux textes le 4 novembre, classés dans la rubrique « information permanente » de son espace investisseurs. Le premier, diffusé à 13 heures, annonce une attaque « ayant permis la réalisation d’opérations frauduleuses » et déclare l’incident « clos et aujourd’hui maîtrisé ». Il ajoute que les montants, « encore en cours d’évaluation », ne sont « pas de nature à remettre en cause la solidité et la santé financière du Groupe ». Pour les clients, il affirme que « cet incident n’entraîne aucune conséquence sur leurs avoirs ». Il ne donne ni chiffre, ni filiale, ni méthode. La première version disait « cyberattaque » ; celle que porte le fichier horodaté de 15 h 40 dit partout « attaque », sans explication.

Le second, à 17 h 30, répond à sept questions. Les attaquants « ont utilisé le compte propre de Crédit Mutuel Arkéa pour réaliser des transactions vers d’autres acteurs bancaires, qui leur ont ensuite potentiellement permis de convertir cet argent en crypto monnaie via des plateformes spécialisées ». Ils sont « passés par la plateforme d’un de nos prestataires ». À la question « Une erreur humaine chez Arkéa est-elle la cause de l’attaque ? », la banque répond : « Non. Il s’agit d’une attaque sophistiquée venant de l’extérieur, qui est maintenant circonscrite. » Une partie des fonds « a pu être bloquée ».

Côté justice, la section cybercriminalité du parquet de Paris indique à l’AFP avoir reçu mercredi matin une plainte du groupe et avoir « immédiatement ouvert une enquête ». Elle porte sur une « atteinte à un système de traitement automatisé de données en bande organisée » et est confiée à l’Office anticybercriminalité (OFAC), le service de police spécialisé. Cette qualification est celle d’une enquête à son début. L’attaque n’a pas été revendiquée. Aucun suspect, aucune interpellation et aucune entreprise mise en cause n’ont été annoncés, et le prestataire n’est pas nommé.

02 Combien d’argent ?

Aucun montant n’est arrêté : la banque valide seulement un ordre de grandeur, et le chiffre le plus cité, 118 millions d’euros, compte des retraits de cryptoactifs, ni l’argent sorti de la banque ni la perte finale.

Interrogée sur les 118 millions d’euros, la banque répond : « Nous ne confirmons pas ces informations et pouvons simplement valider l’ordre de grandeur. » Cette phrase écarte de fait les estimations à 600 millions ou un milliard de dollars, attribuées par Cryptoast à une source et à un compte X, sans élément publié.

Trois quantités sont à séparer. Une seule porte un chiffre, et il vient d’un enquêteur privé.

• L’argent sorti de la banque. Arkéa ne le chiffre pas.
• L’argent retiré des plateformes. C’est ce que compte ZachXBT, en bout de chaîne : ce total ne contient pas ce qui a été arrêté avant. Si ces retraits viennent bien d’Arkéa, l’argent sorti vaut donc au moins 118 millions d’euros, plus tout ce qui a été bloqué en route. ZachXBT ajoute que des ventes directes entre deux parties, invisibles sur les registres, pourraient alourdir le total ; il n’en publie pas d’élément.
• La perte finale. C’est l’argent sorti, moins ce qui sera récupéré. Elle peut se situer sous 118 millions comme au-dessus.

Le chiffre de l’AFP ajoute une difficulté. S’il désigne l’argent sorti, 100 millions d’euros, c’est moins que les 118 millions de retraits. Trois explications sont possibles : la formule « de l’ordre de 100 millions » est très approximative ; une partie des retraits ne vient pas d’Arkéa ; ou ces 100 millions mesurent autre chose. La banque précise seulement qu’il est « encore trop tôt pour communiquer un montant définitif ». La prochaine échéance prévue est la publication de ses résultats annuels, habituellement en février.

03 Comment l’argent est-il sorti ?

Selon la banque, des « transactions » sont parties de son propre compte vers d’autres établissements ; des enquêteurs privés retrouvent ensuite des fonds sur des plateformes, puis dispersés.

Le compte d’une banque n’est pas le compte de ses clients

Une banque ne garde pas l’argent de ses clients dans une réserve à leur nom. Un dépôt est une somme qu’elle doit à son client. De son côté, elle détient pour elle-même de la trésorerie sur des comptes, ouverts notamment auprès de la banque centrale ou d’autres banques, pour régler ses échanges. C’est ce que recouvre, en général, un « compte propre » ; Arkéa n’a pas précisé de quel compte il s’agit.

Si l’argent sort de ce compte, aucun solde de client ne baisse. Ce qui baisse, c’est ce que possède la banque. On a lu que les pirates visaient ses « fonds propres » (Le Figaro, franceinfo). Le terme est approximatif : les fonds propres sont une mesure comptable de ce qui appartient à la banque, pas un compte qu’on vide. Ils baisseront du fait de la perte.

Le circuit, étape par étape

Le stablecoin se déplace à toute heure, mais son émetteur peut le geler : d’où la hâte à l’échanger. Le Monero, autre cryptoactif, conçu pour masquer l’expéditeur, le destinataire et le montant, marque le point où la trace se perd presque entièrement.

Les blockchains ne montrent donc qu’à partir de l’étape 5. Elles disent qu’une adresse a envoyé telle somme à telle autre, pas à qui appartenait l’argent avant. Le rattachement à Arkéa repose sur l’affirmation de ZachXBT, qui n’a pas publié ses preuves, et sur la validation d’un ordre de grandeur par la banque. Interrogée précisément sur ce chiffre, elle ne l’a pas écarté, et c’est ce qui rend le rapprochement sérieux. Il reste non démontré mouvement par mouvement.

04 Depuis quand ?

Le premier retrait repéré a lieu un dimanche. Si ces fonds viennent d’Arkéa, l’argent a quitté la banque soit avant le week-end, soit pendant, par virement instantané. Dans les deux cas, ce retrait de 13 h 25 n’est pas le début de l’attaque.

Le premier retrait part le 1er novembre à 13 h 25. C’était un dimanche. Or des euros doivent arriver sur une plateforme avant d’en ressortir en cryptoactifs, et tous les circuits de paiement ne fonctionnent pas le dimanche.

Depuis octobre 2025, le virement instantané n’a plus de plafond commun ; chaque banque fixe le sien.

Il reste donc deux cas :

• L’argent a quitté la banque au plus tard le vendredi 30 octobre, par un circuit ordinaire. L’opération a alors commencé au moins deux jours avant le premier retrait.
• Il est parti pendant le week-end, par virement instantané. Un indice va dans ce sens. Le 4 novembre au matin, les clients de Fortuneo sont prévenus de « perturbations pour réaliser et recevoir des virements instantanés, ainsi qu’émettre et recevoir des paiements Wero », un service de paiement entre particuliers, selon MoneyVox, site consacré à la banque. Il ne prouve rien : d’autres clients ont lu que « l’ensemble des virements » était indisponible.

Attaquer quand les bureaux sont vides n’aurait rien de neuf. L’attaque contre la banque britannique Tesco Bank a commencé à 2 heures un samedi. Celle contre la banque centrale du Bangladesh, un jeudi soir à Dacca, à la veille du week-end local. Rien ne dit que la Toussaint ait été choisie, mais d’autres éléments indiquent une préparation : selon la source de Grégory Raymond, des comptes étaient déjà ouverts sous de fausses identités, et selon Bitquery, onze des quinze portefeuilles avaient déjà reçu des fonds des mêmes plateformes.

05 Par où les attaquants sont-ils entrés ?

Par un prestataire non nommé, selon la banque, qui nie toute erreur humaine chez elle. Elle dément aussi que les attaquants soient entrés par Fortuneo, sans dire si l’argent en est sorti. Rien de public ne permet de le vérifier.

Le prestataire. Arkéa ne dit ni qui il est, ni ce que fait sa plateforme, ni si ses systèmes ont été forcés ou si des identifiants ont été volés. La banque indique travailler avec les autorités pour établir « l’origine de l’attaque et son modus operandi », ce qui peut expliquer ce silence. Il a une conséquence : on ne sait pas si d’autres clients de ce prestataire sont exposés. Aucune alerte publique de l’autorité française de cybersécurité, l’ANSSI, ou de la Fédération bancaire française n’a été trouvée sur ce point.

L’humain. Une source de Grégory Raymond, qu’il présente comme proche des milieux de pirates, propose deux scénarios : une compromission invisible des systèmes de paiement, ou, ce qu’elle préfère, une variante de l’arnaque au président, où l’on usurpe l’identité d’un dirigeant pour obtenir un acte d’un salarié. Elle n’apporte aucun élément propre à l’affaire. La banque répond « Non » à l’erreur humaine « chez Arkéa ».

Les mots « chez Arkéa » laissent une place au doute, sans plus. Une attaque peut être extérieure et sophistiquée, et passer par des identifiants obtenus chez un prestataire : dans le précédent brésilien présenté au chapitre 11, l’entreprise visée a parlé d’un usage frauduleux d’identifiants. Rien n’indique que ce soit le cas ici. Quant à « sophistiquée », c’est l’appréciation de la victime, sans détail technique publié. Elle peut être exacte, mais elle a aussi pour effet de déplacer la question de la défaillance vers l’habileté de l’adversaire.

Fortuneo. Dans la matinée du 4 novembre, Grégory Raymond et Le Figaro écrivent que Fortuneo a été visée. Le premier précise que les fraudeurs « ont pu émettre des virements depuis Fortuneo ». L’après-midi, à la question « Les attaquants sont-ils passés par Fortuneo ? », Arkéa répond : « Non. Contrairement à ce qui a pu être écrit, aucune "entrée" ne s’est faite par Fortuneo. » Elle ajoute que les attaquants n’ont pas utilisé de comptes de clients de ses filiales et que le compte visé est celui « de Crédit Mutuel Arkéa ».

La banque paraît contredire le journaliste, mais il parle de la sortie de l’argent, et elle de l’entrée. Elle ne dit pas quelle entité du groupe tient ce compte, ni par quels outils de paiement les transactions ont été émises. Le message d’alerte reçu par les clients de Fortuneo n’éclaire pas le point : le Crédit Mutuel de Bretagne semble avoir été touché de la même façon, d’après MoneyVox, ce qui correspond plutôt à une suspension à l’échelle du groupe. Ce démenti vient de la partie la mieux informée, qui est aussi partie intéressée ; Grégory Raymond, lui, n’a publié aucun document.

06 À qui la banque devait-elle parler, et quand ?

À ses superviseurs sous 24 heures après la détection, si l’incident est majeur, ce qui est très probable ; au public dès que possible si l’information était privilégiée, sauf différé autorisé. On ne sait pas encore si ces règles ont été respectées.

Qui surveille. Les superviseurs sont les autorités qui contrôlent une banque. La Banque centrale européenne (BCE) notifie à Arkéa ses exigences de capital. L’Autorité de contrôle prudentiel et de résolution (ACPR), adossée à la Banque de France, est l’autorité française des banques. L’Autorité des marchés financiers (AMF) veille à l’information des investisseurs, puisque le groupe émet des obligations, des titres de dette, pouvant être admises sur Euronext Paris, la Bourse. Hors le parquet, aucune de ces autorités ne s’était exprimée sur le fond ; la Banque de France a refusé de commenter auprès de l’AFP.

Devant les superviseurs. DORA, le règlement européen sur la résilience numérique du secteur financier, s’applique depuis janvier 2025. Un état des lieux de l’ACPR en détaille les débuts.

Le classement en incident « majeur » paraît difficile à éviter. Les critères européens visent un incident qui touche des services critiques et qui, soit comporte un accès malveillant aux systèmes qui les soutiennent, soit franchit deux seuils, dont celui de 100 000 euros de coûts et pertes, comptés sans déduire les récupérations. Ces deux conditions semblent réunies, à condition que le compte visé serve à un service critique de la banque. Le délai de 24 heures est donc la vraie mesure, et il court depuis une détection dont la date n’est pas publique.

Dans ce document daté du 9 octobre 2025, avec des chiffres au 23 août 2025, l’ACPR indique que des prestataires ou autres tiers étaient impliqués dans plus de la moitié des incidents notifiés, proportion qu’elle lie à l’« impact important de l’incident Harvest », un cas précis. Elle écrit qu’à cette date, huit mois après l’entrée en vigueur de DORA, les délais de notification étaient « encore rarement respectés ». Ces indications sont générales, antérieures d’un an, et ne disent rien d’Arkéa. Si un manquement devait être recherché, le contrôle reviendrait aux autorités désignées par DORA, dont la BCE pour les banques qu’elle supervise directement.

Devant le public. Une autre règle, moins citée, porte sur le silence lui-même. Le règlement sur les abus de marché impose à un émetteur de titres de rendre publiques « dès que possible » les informations privilégiées qui le concernent, c’est-à-dire celles qui pourraient influencer le prix de ses titres. Il peut différer cette publication, sous sa responsabilité, à trois conditions : un intérêt légitime, l’absence d’induction du public en erreur, la confidentialité. Il prévient l’AMF ensuite. Une banque dispose en outre d’une possibilité propre lorsque la stabilité financière est en jeu.

On ne sait pas si Arkéa a jugé l’information privilégiée avant le 4 novembre, ni si elle a utilisé un différé. La rubrique où elle a publié ses communiqués ne le dit pas. La réponse n’a rien d’évident : la perte représente 1 % des fonds propres, et les titres concernés sont des titres de dette, pas des actions. L’AMF ne s’est pas exprimée. Un silence de quelques jours n’est donc pas en soi une infraction. Il s’apprécie au regard de ce que la banque savait et de la date à laquelle elle l’a su.

07 La banque a-t-elle tardé ?

On ne peut pas le dire sans des dates que personne n’a publiées. On sait seulement qu’aucun acte public de la banque n’a précédé la publication de son nom. L’accusation de dissimulation, elle, dépasse ce que montrent les faits.

Deux récits s’opposent. ZachXBT avance le 3 novembre, comme sa « working theory » (son hypothèse de travail), qu’une grande institution financière d’Europe de l’Ouest, qu’il ne nomme pas encore, a été piratée et que l’affaire est « currently being covered up » (« en train d’être étouffée »). Il affirme en outre que l’absence de déclaration a laissé blanchir plus de 30 millions de dollars. Arkéa répond que ses « dispositifs de sécurité ont permis d’identifier très rapidement les activités suspectes » et que le groupe a informé les autorités de supervision « dès la détection ». Ni l’un ni l’autre ne donne de date.

Sur la dissimulation, le chapitre précédent donne la réponse : se taire devant le public n’est pas se taire devant un superviseur, et un différé peut être licite. Aucune pièce ne montre qu’Arkéa ait caché quoi que ce soit aux autorités, et aucune d’elles n’a constaté de manquement.

L’ordre des événements, lui, dit quelque chose :

• 2 novembre : ZachXBT alerte publiquement, sans nommer la banque.
• 3 novembre : Grégory Raymond dit avoir contacté le groupe, qui n’a « ni confirmé, ni démenti ». Si ce contact a eu lieu, la banque connaissait la question au plus tard ce jour-là.
• 4 novembre, 3 h 24 : ZachXBT publie le nom d’Arkéa.
• 4 novembre, matin : virements indisponibles, plainte, confirmation à la presse. Premier communiqué à 13 heures.

La parole publique de la banque, sa plainte telle que datée par le parquet et l’indisponibilité des virements viennent donc toutes après la publication de son nom. Cela n’établit pas qu’elle a agi parce qu’elle était nommée : la plainte pouvait être prête, et elle dit avoir informé les superviseurs plus tôt.

Reste la détection « très rapide ». Si les retraits viennent d’Arkéa, l’argent est parti au plus tard le dimanche 1er novembre, et la suspension n’est visible que le mercredi 4. Trois cas sont possibles :

Le texte de la banque ne permet pas de choisir. Trois horodatages trancheraient : la première alerte interne, la notification au superviseur et le premier mouvement frauduleux. Ils existent, chez la banque, l’ACPR et les enquêteurs.

Le mot « clos », enfin, résiste mal à sa propre journée. À 13 heures, Arkéa écrit que l’incident est « clos » alors que le montant est inconnu ; à 17 h 30, elle dit que l’attaque est « maintenant circonscrite » et que l’on cherche encore son origine. L’attaque peut être arrêtée. L’affaire ne l’est pas.

08 Qui aurait pu arrêter l’argent ?

Quatre acteurs en avaient le moyen : la banque, les établissements destinataires, les plateformes et l’émetteur du stablecoin. Aucun n’a suffi à temps, aucune autorité n’a désigné de manquement, et le reproche des 30 millions de dollars vise surtout les fonds encore sur les plateformes.

Les plateformes. Kraken a obtenu son agrément au titre de MiCA, le règlement européen sur les cryptoactifs, auprès de la banque centrale d’Irlande. OKX et Crypto.com ont obtenu le leur à Malte. Ces plateformes sont aussi soumises à des obligations de lutte contre le blanchiment, dont l’identification de leurs clients.

Selon une source de Grégory Raymond, des réseaux ont ouvert des comptes « avec des identités falsifiées assez solides pour passer les procédures de vérification ». Si c’est exact, voilà le point faible : le contrôle qui compare le nom du bénéficiaire et l’IBAN, obligatoire depuis octobre 2025, n’arrête pas un virement envoyé au nom exact d’une fausse identité. Tout repose donc sur la vérification faite à l’ouverture du compte. Ce récit n’est confirmé ni par les plateformes ni par une autorité.

Les plateformes n’ont pas répondu sur ce récit, mais sur leurs propres systèmes. Kraken indique avoir restreint des comptes et affirme que ses systèmes n’ont pas été compromis ni aucun compte client repris par des tiers (Cointelegraph, Crypto Briefing). TokenPost lui attribue un début de gel le 2 novembre. Crypto.com dit avoir bloqué des fonds. OKX, d’où part le premier retrait, a seulement indiqué examiner les faits, selon Crypto Briefing. Aucune n’a dit qui avait ouvert ces comptes, ni depuis quand, ni sur quel signal elle a réagi.

Le reproche des 30 millions de dollars. Le 3 novembre, ZachXBT écrit que le silence de l’institution qu’il vise, sans la nommer encore, a laissé filer plus de 30 millions de dollars que la police européenne aurait pu faire geler. Il ne détaille pas son calcul. Pour le juger, il faut voir que l’argent ne se bloque pas de la même façon à chaque étape.

• Encore sur une plateforme, il peut être bloqué par elle. Or ZachXBT ajoute 27 millions de dollars de retraits entre ses deux messages, dont une partie, écrit-il, après sa première alerte.
• Sorti en USDC, seul Circle peut le geler. Selon Bitquery, il n’en restait que 3,7 millions de dollars le 2 novembre à 14 h 47.
• Échangé contre de l’ether, il échappe à Circle. On peut le suivre, pas le geler d’un geste : 78 millions de dollars restaient identifiables ce jour-là.

Le reproche porte donc surtout sur la première ligne, et la décision de bloquer revenait aux plateformes. Une alerte ou une plainte plus précoce d’Arkéa aurait pu les y pousser. C’est plausible, mais nul ne peut dire quelle somme cela aurait sauvée.

09 Qui paie ?

La banque d’abord, sur ses résultats ; la somme est lourde pour une année mais supportable ; ni l’assurance ni un recours contre le prestataire ne sont connus.

La banque. Faute de montant officiel, le calcul prend 118 millions d’euros comme échelle, sans prétendre que ce soit la perte : ni plafond ni plancher. Cela représente la moitié du bénéfice du premier semestre 2026 (230 millions), le quart du bénéfice de 2025 (450 millions) et environ 1 % des fonds propres réglementaires (11,2 milliards). Cette comparaison grossit un peu l’effet : le bénéfice est compté après impôt, alors qu’une perte réduit aussi l’impôt à payer.

Cela retirerait 0,23 point au principal ratio de solidité, le CET1, qui rapporte les fonds propres de meilleure qualité aux risques portés. Il était à 18,1 % fin juin, pour une exigence de 9,21 % en 2026, fixée par la Banque centrale européenne. L’écart entre ces deux chiffres est la marge du groupe, et le montant en consommerait moins de 3 %.

Ces chiffres donnent raison à la banque sur un point : à ces niveaux, le montant ne menace pas sa solidité. Même à 150 millions d’euros, le chiffre du Figaro, le calcul change peu : 1,3 % des fonds propres. Il ne dit rien du coût de la réparation informatique, de l’enquête, d’une éventuelle sanction ni de l’effet sur la réputation.

Les assurances et le prestataire. Les textes d’Arkéa n’en parlent pas. Une banque de cette taille a en général des couvertures pour la fraude et le risque informatique, mais rien de public n’indique leur étendue. Un recours contre le prestataire dépendrait du contrat et de la cause de l’intrusion, tous deux inconnus.

Les sociétaires. Arkéa n’a pas d’actionnaires en Bourse. Ses clients peuvent devenir sociétaires, c’est-à-dire membres de la coopérative, en souscrivant des parts de leur caisse locale, et les bénéfices alimentent pour l’essentiel les réserves du groupe. Une perte réduit donc une épargne collective plutôt qu’un cours de Bourse. Aucune annonce ne porte sur la rémunération des parts sociales. Sur ces ordres de grandeur, le plus probable est un bénéfice moindre, sans conséquence directe visible pour eux.

Les clients. À moyen terme, le coût d’un tel incident peut se retrouver dans les charges d’une banque, comme tout autre coût. Aucun élément ne permet d’annoncer une hausse de tarifs.

10 Que risquent les clients, et que faire ?

Leur solde n’est pas en cause et chacun peut le vérifier ; restent ouvertes les perturbations subies et la question des données ; le danger immédiat est l’escroc qui se fait passer pour un conseiller.

Les avoirs. La banque affirme que l’incident n’entraîne « aucune conséquence sur leurs avoirs », et ce n’est pas seulement une promesse. Un client peut lire son solde, et la presse ne rapporte aucun cas de client débité. Le mécanisme décrit, un compte de la banque et non des comptes de clients, conduit au même résultat. Les comptes publiés rendent très improbable un défaut de la banque. En dernier ressort, la garantie des dépôts couvre 100 000 euros par client et par établissement en cas de faillite, hypothèse dont rien ne rapproche Arkéa. Ce qui dépend de la seule parole de la banque, c’est le récit de ce qui s’est passé, pas l’état des comptes.

Les services. L’application a été inaccessible plusieurs heures le 4 novembre, et le message affiché annonçait « l’indisponibilité de l’ensemble des virements », en début de mois, au moment des loyers (franceinfo, actu.fr). La banque écrit que « la quasi-totalité des opérations a pu reprendre son cours dans la matinée ». Elle ne dit pas ce qui manquait encore. Aucun état public n’existe réseau par réseau. Rien n’a été publié non plus sur les entreprises, leurs paies et leurs virements en masse, ni sur les établissements partenaires pour lesquels le groupe fournit des services bancaires. La banque n’a pas dit si elle indemniserait d’éventuels frais de retard.

Les données. La question lui a été posée. À « est-ce que cela signifie que des données de clients ont été compromises ? », la banque répond qu’il est « fréquent d’observer une recrudescence des tentatives de phishing » après de telles attaques et qu’elle sensibilise ses clients « à titre préventif ». Ce n’est ni un oui ni un non. Si des données personnelles étaient touchées, elle devrait le notifier à la CNIL, l’autorité de protection des données, et prévenir les personnes si le risque est élevé.

Le risque concret : le faux conseiller. L’escroquerie n’a besoin ni de données volées ni d’un lien avec les pirates : l’actualité lui suffit. Le scénario décrit par le comparateur Selectra et par des avocats est connu. Un « service sécurité » appelle, parfois depuis un numéro qui imite celui de l’agence, cite le piratage lu dans la presse et demande de valider une opération « de blocage », de dicter un code ou de déplacer son épargne vers un compte « sécurisé ». Cette validation est, en réalité, un paiement à l’escroc.

Ce que peut faire un client :

• Ne jamais communiquer un identifiant, un mot de passe, un numéro de carte ou un code reçu par SMS, comme le rappelle le communiqué. Une banque ne demande jamais de valider une opération pour en annuler une autre.
• Raccrocher et rappeler soi-même le numéro figurant sur sa carte ou dans l’application, sans suivre un lien reçu.
• Ne pas retirer son argent dans la précipitation ni le déplacer vers un compte présenté comme « sécurisé » : c’est l’objectif de l’escroc.
• Consulter ses relevés. Pour un débit non reconnu, faire opposition sans attendre, le contester par écrit auprès de la banque et déposer plainte.
• Signaler les messages douteux : 33700 pour un SMS, Signal Spam pour un courriel.

Le droit du client. Pour une opération qu’il n’a pas autorisée, l’article L. 133-18 du Code monétaire et financier oblige la banque à rembourser au plus tard à la fin du premier jour ouvrable suivant le signalement, sauf soupçon de fraude du client déclaré à la Banque de France. Cette protection ne vaut pas de la même façon si la victime ordonne elle-même le virement à l’escroc, car l’opération est alors présentée comme autorisée. D’où l’importance de ne rien valider.

11 « Totalement inédit » : est-ce vrai ?

En Europe, non : des banques ont déjà été volées par cyberattaque. En France, aucun cas public comparable n’a été trouvé, ce qui ne prouve pas qu’il n’en existe pas.

Le Figaro ouvre son article de sa propre voix, sans citer personne : « C’est totalement inédit. Pour la première fois en France et sans doute en Europe, une banque traditionnelle a été victime d’une cyberattaque. » Le mot peut viser le vol plutôt que l’attaque, mais la phrase dit autre chose, et sous cette forme elle est fausse. En décembre 2025, une attaque par saturation, revendiquée par un groupe prorusse, a rendu inaccessibles les services en ligne de La Banque Postale. Il s’agissait d’une panne, sans vol.

Pour le vol lui-même, l’Europe a des précédents plus proches :

Le cas brésilien montre que le chemin décrit par Arkéa n’a rien d’invraisemblable. Il ne montre pas, en revanche, que l’argent se rattrape : la justice a ordonné le blocage de 640 millions de réais de biens de personnes visées par l’enquête, qui n’étaient alors pas jugées, mais cet ordre ne dit pas ce qui a été saisi ou rendu. La presse spécialisée ajoute que la récupération a été plus limitée pour les fonds partis vers des plateformes non régulées. Rien n’indique que les mêmes personnes soient en cause en France.

La formule plus étroite de Grégory Raymond sur franceinfo, « une première du genre », tient mieux pour la France : de l’argent appartenant à la banque, en quantité, plutôt que des données, une panne ou des comptes de particuliers. Aucun cas public de cette taille n’a été trouvé ici. Il faut lire cette absence avec prudence : une banque n’annonce pas forcément une fraude qu’elle encaisse sans dommage pour ses clients, et celle-ci n’a été reconnue qu’après sa révélation par un tiers.

12 Qui est derrière ?

Personne n’est identifié, et les pistes publiques ne se valent pas.

La première piste est une déclaration officielle, à vérifier. La deuxième émane d’un enquêteur reconnu, mais seul. Les suivantes ne reposent sur aucun élément publié. L’usage immédiat de l’argent et son blanchiment orientent vers le gain, mais personne n’a revendiqué l’attaque et ce motif n’est pas établi.

Bilan de l’enquête

Une banque française a reconnu qu’on lui avait volé de l’argent par une attaque informatique, pour un montant de l’ordre de la centaine de millions d’euros, et une enquête pénale est ouverte. Sa parole publique a suivi la révélation de son nom, et les dates qui permettraient de juger sa réaction ne sont pas publiques.

Trois éléments feront avancer l’affaire : le montant définitif, l’identité du prestataire, et les horodatages de la détection et de la notification. Le premier devrait finir par être publié ; les deux autres dépendent de l’enquête et des superviseurs.

Panorama médiatique

Panorama médiatique

Corpus : articles et dépêches publiés du 2 au 4 novembre 2026 par l’AFP, franceinfo, Le Figaro, La Croix, TF1 Info, 20 Minutes, HuffPost, CNews, La Dépêche, actu.fr, Actu17, Capital, MoneyVox, Next, Génération-NT, KultureGeek, Presse-citron, Selectra, Social Mag, Zataz, Journal du Coin, Cryptoast, Cointelegraph, CoinDesk, Bitcoin.com, The Record, Brussels Signal. Le Monde, Midi Libre, L’Indépendant et Le JDD : titres et chapôs seulement. Le Télégramme : par ses reprises.

Sources et méthode

Sources et méthode

Démarche. Lecture des communiqués et paroles d’origine, recoupement de la presse générale et spécialisée, calculs à partir des comptes publiés d’Arkéa. Les faits s’arrêtent au 5 novembre, 0 h 12.

Sources principales.

• Crédit Mutuel Arkéa : communiqué de 13 h, page, première version et version horodatée 15 h 40 ; questions-réponses de 17 h 30 ; rubrique information permanente ; résultats du premier semestre 2026 ; exigences prudentielles de 2026 ; communiqué du 29 octobre ; prospectus d’émission 2026.
• Parquet de Paris : dépêche AFP, Boursorama.
• Suivi des fonds : canal Telegram de ZachXBT ; Bitquery cité par Journal du Coin, Cryptoast et Bitcoin.com ; Cointelegraph ; CoinDesk via Yahoo ; Crypto Briefing ; TokenPost.
• Version de Grégory Raymond, publiée sur X : Actu17 ; Cryptoast.
• Presse : Stratégies sur The Big Whale, MoneyVox, Next, The Record, Le Figaro, franceinfo (article, reportage), HuffPost, Capital via Yahoo, actu.fr, Zataz, Brussels Signal.
• Paiements : BCE sur T2 et TIPS ; ACI Worldwide sur les règles de 2025 ; vérification du bénéficiaire.
• Règles : état des lieux DORA de l’ACPR, 9 octobre 2025 ; DORA, articles 19, 28 et 46 ; règlement délégué 2024/1772 ; AMF sur les abus de marché ; lignes directrices ACPR-Tracfin, commentaire d’avocat ; Kraken et OKX, Crypto.com sous MiCA ; Cybermalveillance.gouv.fr.
• Précédents : FCA sur Tesco Bank ; BankInfoSecurity sur Bank of Valletta ; BleepingComputer sur Carbanak, d’après Europol ; NPR et BBC via The Financial Express sur le Bangladesh ; Reuters via Insurance Journal, Poder360 et Decrypt sur C&M Software.

Calculs. Échelle de 118 millions d’euros, sans recouvrement ni effet fiscal : rapportée à 11,2 milliards de fonds propres réglementaires, 51,1 milliards d’actifs pondérés (0,23 point de CET1), 230 millions de bénéfice semestriel, 450 millions de bénéfice 2025. Marge sur le ratio CET1 : 18,1 − 9,21 = 8,89 points, soit environ 4,5 milliards d’euros. 813 millions de réais : conversion approximative à 5,5 réais pour un dollar. Heures de Bitquery converties de l’heure universelle à l’heure de Paris. Ces calculs donnent un ordre de grandeur, pas la perte réelle.

Limites.

• Le rapport de Bitquery n’a pas été lu directement, seulement ses reprises. Le long message de Grégory Raymond est lu dans la reproduction d’Actu17.
• Le règlement des virements ordinaires les seuls jours ouvrés est un fonctionnement général, recoupé par la fermeture de T2 publiée par la BCE ; le schéma de règlement propre à Arkéa n’est pas connu.
• La place exacte des titres d’Arkéa sur les marchés a été lue dans son prospectus, sans vérification ligne par ligne des émissions.
• L’article de Stratégies sur The Big Whale n’a été vu que par son titre et son extrait (refus du site). Non lus directement : Le Télégramme, Les Echos, Le Monde (accès payant, titre seul), The Block, Finextra, Quartz, Security Boulevard, LeBigData, The Malta Independent (refus du site). CoinDesk est lu par sa reprise sur Yahoo. Le communiqué de presse d’Europol sur Carbanak n’a pas pu être récupéré ; il est cité par BleepingComputer.
• Aucune déclaration publique de l’ACPR, de la BCE, de l’AMF, de l’ANSSI, de la CNIL, de Tracfin ou de Circle n’a été trouvée. La Banque de France a refusé de commenter auprès de l’AFP, d’après Brussels Signal et Journal du Coin.
• DORA est lu sur un site de reprise du texte, EUR-Lex n’ayant pas pu être téléchargé. Le règlement délégué 2024/1772 est lu sur le site du régulateur italien des assurances. L’article L. 133-18 est cité de seconde main.
• Des affirmations anonymes sans aucun élément public, sur une complicité interne ou sur des réseaux criminels désignés par leur origine, ne sont pas reprises dans le corps de l’article.