Cyberattaque contre Crédit Mutuel Arkéa : un prestataire mis en cause, une enquête ouverte

Crédit Mutuel Arkéa a annoncé mercredi 4 novembre 2026 avoir subi une cyberattaque ayant permis des opérations frauduleuses. Les précisions diffusées dans la soirée corrigent les premières informations : selon la banque, les attaquants ont atteint directement le groupe par la plateforme d’un prestataire, sans passer par Fortuneo. L’établissement affirme que les avoirs des clients ne sont pas touchés, mais reconnaît des perturbations dans l’exécution des virements. [S1] [S2] [S10]

Un compte de la banque visé, pas ceux des clients

Dans sa mise à jour de 20 heures, Next rapporte le démenti explicite d’Arkéa concernant Fortuneo, initialement présentée comme le point d’entrée. Les attaquants auraient utilisé un compte propre du Crédit Mutuel Arkéa pour transférer de l’argent vers d’autres établissements bancaires. Selon la banque, aucun compte client de ses fédérations ou de ses filiales n’a servi à ces opérations. Cette distinction situe la fraude au niveau de l’établissement, et non des comptes individuels. [S1]

Le parcours ultérieur des fonds reste moins précisément documenté. Franceinfo et 20 Minutes rapportent une conversion en cryptomonnaies sur des plateformes spécialisées. La formulation reproduite par Next est plus prudente : les transactions auraient « potentiellement permis » cette conversion. Ces récits convergent sur le transfert initial vers d’autres acteurs bancaires, sans fournir une reconstitution technique complète des mouvements. [S1] [S2] [S10]

Un ordre de grandeur, pas encore une perte définitive

Le chiffre de 118 millions d’euros, attribué au Télégramme, n’est pas confirmé précisément par Arkéa. La banque en valide toutefois l’ordre de grandeur, selon Next. Franceinfo évoque plus de 100 millions d’euros, d’après une source proche du dossier, tandis que les premières déclarations rapportées par TF1 et Le Parisien mentionnaient plusieurs dizaines de millions. L’information a donc évolué au fil de la journée ; ces évaluations ne constituent pas un bilan comptable définitif. [S1] [S4] [S9] [S10]

Une partie des fonds a pu être bloquée et des démarches de recouvrement se poursuivent, indique l’établissement. Il faut donc distinguer les sommes détournées, celles immobilisées et la perte qui restera finalement à sa charge. Un gel ne signifie pas, à lui seul, une récupération définitive. Arkéa assure que les montants concernés ne remettent pas en cause sa solidité financière ; cette appréciation demeure celle de la banque. [S6] [S9] [S10]

Des avoirs préservés, mais des services perturbés

L’absence de perte annoncée pour les clients ne signifie pas une absence d’effet concret. Franceinfo rapporte que l’application bancaire a été inaccessible pendant plusieurs heures. À la mi-journée, une équipe de TF1 a constaté le rejet d’un virement vers un compte Fortuneo. Ces observations documentent une restriction temporaire de l’accès aux services, sans démontrer que Fortuneo était la porte d’entrée de l’attaque. [S3] [S10]

La suspension de certaines transactions a été décidée par la banque pour prévenir de nouveaux mouvements frauduleux. Une reprise progressive a ensuite été annoncée après des vérifications et un renforcement de la sécurité. La dépêche AFP/AWP publiée par Zonebourse indique que la quasi-totalité des opérations avait repris dans la matinée : cela ne signifie pas que chaque client pouvait déjà effectuer chaque opération, comme l’illustre le test de TF1. [S3] [S6] [S11]

Pour les clients, protéger l’argent et pouvoir l’utiliser au moment voulu restent deux enjeux distincts. La justification sécuritaire de la suspension est explicite, mais les informations disponibles ne détaillent ni son périmètre complet ni les solutions de remplacement ou un dispositif spécifique de compensation. Elles ne permettent donc de conclure ni à une restriction excessive ni à des conséquences pratiques négligeables. [S3] [S6] [S9]

L’enquête doit préciser les responsabilités

Le parquet de Paris a ouvert une enquête après une plainte du groupe. Les investigations, confiées à l’Office anticybercriminalité, portent sur une atteinte à un système de traitement automatisé de données en bande organisée. La banque décrit une attaque extérieure sophistiquée et écarte une erreur humaine. Ces déclarations ne remplacent toutefois pas les conclusions de l’enquête : le rôle exact du prestataire, la faille exploitée et les responsabilités restent à établir. [S1] [S10] [S11]

Arkéa avertit également du risque d’hameçonnage. Elle recommande de ne transmettre ni identifiants, ni mots de passe, ni coordonnées de carte, ni codes reçus par SMS, et de contacter directement son conseiller en cas de message suspect. Cette vigilance peut protéger contre des escroqueries opportunistes ; elle ne fait pas des clients les responsables de l’intrusion. Aucun vol de données clients n’est annoncé dans les informations rapportées par 20 Minutes, sans que cette absence d’annonce permette de garantir qu’aucune donnée n’a été exposée. [S2] [S6]