Cyberattaque contre Crédit Mutuel Arkéa : environ 100 millions d’euros détournés, les dépôts des clients épargnés

Le groupe bancaire Crédit Mutuel Arkéa a annoncé le 4 novembre 2026 avoir été victime d’une cyberattaque qui a permis de détourner des fonds pour un montant provisoire d’environ 100 millions d’euros. L’attaque a transité par la plateforme d’un prestataire externe, et la banque affirme que les comptes de dépôt de ses clients n’ont pas été touchés. Le parquet de Paris a ouvert une enquête, confiée à l’Office anti-cybercriminalité.

L’annonce a fait l’effet d’un choc dans le secteur bancaire français. Crédit Mutuel Arkéa n’est pas une petite banque régionale. Le groupe, basé en Bretagne, compte environ 5,8 millions de clients et il est la maison mère de la banque en ligne Fortuneo. Pour un établissement de cette taille, c’est un événement rare, qui relance le débat sur la sécurité des chaînes de sous-traitance dans la finance.

Ce que l’on sait de l’attaque

Crédit Mutuel Arkéa a rendu l’incident public le 4 novembre 2026, dans un premier communiqué diffusé en début d’après-midi, suivi d’une seconde communication en fin de journée. Selon la banque, des attaquants ont réussi à pénétrer dans ses systèmes en passant par une plateforme exploitée par un prestataire externe. Le nom de ce prestataire et la méthode exacte utilisée pour entrer n’ont pas été rendus publics.

Une fois à l’intérieur, les attaquants ont déclenché des virements frauduleux depuis les propres comptes de la banque vers des comptes ouverts auprès d’autres établissements financiers. Les comptes de dépôt des clients, eux, n’ont pas été utilisés comme source des virements, selon la banque. C’est une distinction essentielle, car elle signifie que les épargnants ne voient pas leur argent disparaître, même si la banque elle-même subit une perte. La banque a indiqué que l’attaque avait été contenue et que ses systèmes fonctionnaient normalement.

Combien d’argent a été détourné

Le montant exact reste incertain, et c’est un point sur lequel les sources divergent. L’agence de presse AFP a rapporté un montant provisoire d’environ 100 millions d’euros, en citant des informations communiquées par la banque. Une partie des fonds aurait été gelée, ce qui pourrait limiter la perte finale, mais le montant définitif reste en cours d’évaluation.

Crédit Mutuel Arkéa n’a pas confirmé le chiffre de 118 millions d’euros comme montant définitif. Il faut donc rester prudent, car les montants suivis sur les blockchains par des chercheurs indépendants ne correspondent pas toujours au montant final perdu. Des fonds peuvent être gelés en cours de route ou récupérés. Ce qui est établi, en revanche, c’est l’ordre de grandeur. Il s’agit d’une attaque qui se chiffre en dizaines de millions d’euros, ce qui en fait l’une des plus importantes visant une banque française ces dernières années. Pour situer l’ampleur, le groupe avait publié un bénéfice net de 230 millions d’euros au premier semestre 2026.

Ce que la banque dit à ses clients

Le message de Crédit Mutuel Arkéa à ses clients est clair sur un point. Les dépôts des clients n’ont subi aucun impact financier, selon la banque. L’attaque a visé les comptes propres de l’établissement, pas les comptes des particuliers et des entreprises clientes. Les opérations courantes, les virements, les paiements par carte et l’accès aux applications ne sont pas interrompus.

La banque a aussi indiqué qu’elle avait pris les mesures nécessaires pour contenir l’incident. Dans ce type de situation, cela signifie en général isoler les systèmes compromis, couper les accès suspects, renforcer la surveillance et travailler avec les autorités pour tenter de bloquer ou de récupérer les fonds détournés.

Les clients n’ont pas de démarche particulière à effectuer pour l’instant, selon les informations communiquées. Il reste toutefois prudent de surveiller ses relevés et de signaler rapidement toute opération inhabituelle à sa banque, comme après n’importe quel incident de sécurité.

Une enquête confiée à l’OFAC

Le parquet de Paris a ouvert une enquête après la plainte déposée par la banque. L’enquête a été confiée à l’Office anti-cybercriminalité, l’OFAC, le service spécialisé dans la lutte contre la cybercriminalité en France. Les faits visés concernent une atteinte à un système de traitement automatisé de données commise en bande organisée.

L’enquête devra répondre à plusieurs questions. Qui sont les attaquants, et agissent-ils pour leur propre compte ou pour un groupe organisé. Comment ont-ils obtenu un accès à la plateforme du prestataire. Et surtout, où est passé l’argent, et quelle part peut encore être récupérée ou gelée. Ce type d’enquête prend souvent des mois, car les fonds détournés transitent fréquemment par plusieurs comptes et plusieurs pays, et une partie peut être convertie en cryptomonnaies pour brouiller les pistes.

Ce que cette attaque révèle sur la sécurité bancaire

L’affaire Arkéa illustre un point que les experts en cybersécurité répètent depuis des années. La sécurité d’une banque ne dépend plus seulement de ses propres systèmes. Elle dépend aussi de celle de ses prestataires, de ses sous-traitants et de toutes les entreprises qui ont un accès, même indirect, à ses infrastructures.

Les grandes banques investissent des sommes considérables dans leur propre sécurité. Elles disposent d’équipes dédiées, de centres de surveillance ouverts jour et nuit et de procédures strictes. Mais lorsqu’un maillon de la chaîne est plus faible, les attaquants le repèrent et l’exploitent. C’est ce qui semble s’être produit ici, avec une plateforme externe servant de porte d’entrée.

Pour le secteur bancaire, la leçon est double. D’abord, les contrôles sur les prestataires doivent être aussi rigoureux que ceux appliqués en interne. Ensuite, les systèmes de détection doivent repérer rapidement les virements anormaux, même lorsqu’ils proviennent d’un accès apparemment légitime.

Frequently Asked Questions

Les clients de Crédit Mutuel Arkéa et de Fortuneo ont-ils perdu de l’argent ?

Non, selon la banque. Les virements frauduleux ont été effectués depuis les propres comptes de Crédit Mutuel Arkéa, et non depuis les comptes de dépôt des clients. La banque affirme que les dépôts des clients n’ont subi aucun impact financier et que les services fonctionnent normalement.

Comment les attaquants sont-ils entrés dans les systèmes de la banque ?

Selon Crédit Mutuel Arkéa, l’intrusion est passée par une plateforme exploitée par un prestataire externe. La banque a démenti que l’attaque soit passée par Fortuneo. Le nom du prestataire et la méthode exacte d’intrusion n’ont pas été rendus publics.

Quel est le montant détourné dans cette cyberattaque ?

Le montant provisoire rapporté par l’AFP est d’environ 100 millions d’euros. Le chercheur ZachXBT affirme avoir retracé plus de 133 millions de dollars, soit environ 118 millions d’euros, mais la banque n’a pas confirmé ce chiffre. Une partie des fonds aurait été gelée, et le montant final de la perte reste en cours d’évaluation.