Crédit Mutuel Arkéa : plus de 118 millions d’euros auraient été détournés dans une cyberattaque d’ampleur historique

Crédit Mutuel Arkéa a confirmé ce mercredi 4 novembre avoir subi une cyberattaque ayant permis des opérations frauduleuses. Selon les informations publiées par Le Télégramme et reprises notamment par l'AFP, quelque 133 millions de dollars, soit environ 118 millions d'euros, auraient été détournés. Ce montant n'a pas été confirmé par la banque. L'affaire soulève des questions importantes sur la sécurisation des transferts, la détection des anomalies et la manière d'évaluer les risques de bout en bout.

Elle m'évoque aussi un retour d'expérience personnel remontant aux années 2000, lorsque nous avions signalé au Crédit Mutuel de Bretagne des vulnérabilités touchant la banque à distance, notamment autour de Virtualis. Il ne s'agit pas d'établir un lien avec l'attaque actuelle, dont les causes techniques ne sont pas publiques, mais de rappeler une distinction fondamentale : une fonctionnalité présentée comme sécurisée ne rend pas nécessairement tout le parcours qui y mène sécurisé.

Ce que la banque a confirmé

Dans une communication relayée par l'AFP le 4 novembre 2026, Crédit Mutuel Arkéa indique avoir été victime d'une attaque informatique ayant permis « la réalisation d'opérations frauduleuses ». Le groupe déclare que l'incident est désormais « maîtrisé » et assure qu'il n'a « aucune conséquence financière » pour ses clients.

Arkéa explique avoir temporairement suspendu certaines transactions par précaution, afin de sécuriser les opérations et d'éviter de nouveaux mouvements frauduleux. La banque n'a pas détaillé publiquement le mode opératoire des auteurs de l'attaque.

Ces éléments sont distincts des chiffres avancés dans les médias : l'existence d'opérations frauduleuses est reconnue, mais le montant exact du préjudice demeure à établir.

Sources : AFP, 4 novembre 2026 ; MoneyVox / AFP.

D'où vient l'estimation de 118 millions d'euros ?

L'affaire a notamment été portée à la connaissance du public par ZachXBT, enquêteur indépendant spécialisé dans le traçage des transactions sur les blockchains. Des mouvements de fonds représentant plus de 133 millions de dollars ont été évoqués dans ses investigations et dans les articles qui les ont relayées.

Selon les éléments rapportés par Le Télégramme et par le journaliste spécialisé Grégory Raymond, des fonds auraient été transférés vers des comptes sur différentes plateformes d'échange de cryptomonnaies, puis convertis et déplacés. Une partie de l'enquête journalistique désigne Fortuneo, filiale du groupe Arkéa, comme le périmètre concerné. Ces précisions restent à distinguer des informations officiellement confirmées par le groupe.

Plusieurs questions restent donc ouvertes : par quel mécanisme les ordres ont-ils été initiés ou validés ? Quels contrôles ont été sollicités ou contournés ? Quel est le montant effectivement perdu, et quelle part pourra être récupérée ?

Sources : RTL, 4 novembre 2026 ; L'Agefi, 4 novembre 2026.

Une fraude d'ampleur exceptionnelle, dont le périmètre reste à préciser

Une somme de cet ordre placerait l'affaire parmi les détournements bancaires informatiques les plus marquants. Il faut néanmoins éviter de la qualifier à ce stade de « plus grand détournement bancaire de l'histoire » : les comparaisons dépendent du type de fraude, des montants tentés ou effectivement perdus et des fonds éventuellement récupérés.

L'important est ailleurs : lorsqu'un établissement financier est visé par des opérations frauduleuses d'une telle ampleur présumée, il devient essentiel de comprendre non seulement comment une intrusion ou une manipulation a été possible, mais aussi comment les défenses successives ont réagi.

Virtualis : un retour d'expérience sur la sécurité bancaire dans les années 2000

Cette actualité me rappelle des échanges que nous avions eus avec le Crédit Mutuel de Bretagne il y a plus de vingt ans.

À cette époque, Virtualis permettait de créer des numéros de carte bancaire virtuels destinés aux paiements sur Internet. Son intérêt était réel : éviter de communiquer directement les coordonnées de sa carte physique à un site marchand.

Nous avions toutefois identifié et signalé un scénario de risque lié à l'accès au service : un keylogger, c'est-à-dire un logiciel capable d'enregistrer les frappes au clavier, pouvait permettre de récupérer les informations utilisées pour accéder à la banque à distance et de créer une carte Virtualis.

La réponse qui m'avait alors été opposée, telle que je m'en souviens, était : « C'est Virtualis donc c'est sécurisé. »

C'était précisément le point que nous cherchions à mettre en évidence. Le numéro de carte généré peut être éphémère ou limité, mais sa création dépend elle-même de la sécurité de l'accès au compte, de l'authentification et des contrôles entourant l'opération. La protection d'un numéro de carte ne compense pas automatiquement la compromission de l'accès au service qui permet de le générer.

D'après notre expérience de l'époque, certaines faiblesses signalées ont perduré pendant plusieurs années. Ce passage constitue un témoignage personnel, et non une conclusion d'audit indépendant publiée aujourd'hui. Je ne dispose d'aucun élément démontrant que ces anciennes vulnérabilités existent encore ni qu'elles aient un quelconque rapport avec la cyberattaque de novembre 2026.

Le fonctionnement historique de Virtualis peut notamment être replacé dans le contexte du rapport public de 2005 consacré aux paiements sur Internet.

La sécurité d'une fonction n'est pas celle de toute la chaîne

Ce retour d'expérience illustre un problème classique en sécurité informatique : chaque maillon peut paraître robuste pris isolément, sans que le système complet résiste à un scénario d'attaque réaliste.

Une carte bancaire virtuelle peut limiter l'exposition des coordonnées d'une carte physique. Mais si un attaquant obtient le contrôle de la session ou des moyens d'authentification d'un utilisateur, il faut encore d'autres mécanismes pour détecter une opération anormale et en limiter les conséquences.

De la même façon, les contrôles de sécurité d'une banque ne s'arrêtent pas à la connexion initiale : l'ajout de bénéficiaires, la validation des virements, la détection de volumes inhabituels et l'analyse de comportements atypiques constituent autant de niveaux de défense.

Un signalement technique mérite une réponse technique, fondée sur l'analyse du scénario d'attaque, plutôt que sur la seule réputation de sécurité d'un produit.

Quelles questions l'enquête Arkéa devra-t-elle éclaircir ?

Plusieurs questions techniques et organisationnelles se posent, sans préjuger des responsabilités ni du résultat des investigations :

• Quels accès, identités ou processus ont été compromis ou abusés ?
• Comment les opérations ont-elles été autorisées ?
• Quels systèmes de contrôle des transactions ont été déclenchés, et à quel moment ?
• Combien de temps s'est écoulé entre les premiers mouvements suspects, leur détection et leur interruption ?
• Quel préjudice financier définitif sera établi, après d'éventuels blocages et recouvrements ?

Le groupe indique avoir maîtrisé l'incident et pris des mesures conservatoires. Cela ne permet pas encore de reconstituer le déroulement technique de l'attaque.

Conclusion : « c'est sécurisé » n'est pas une démonstration

Les pratiques bancaires, les dispositifs d'authentification et les obligations de sécurité ont profondément évolué depuis les années 2000. Il serait infondé de déduire de notre expérience passée que les vulnérabilités observées à l'époque subsistent aujourd'hui.

En revanche, la leçon demeure : la sécurité s'évalue à l'échelle d'un parcours complet et des scénarios d'abus concrets, pas seulement à travers les propriétés annoncées d'une fonctionnalité.

La cyberattaque reconnue par Crédit Mutuel Arkéa mérite une analyse factuelle et transparente, dès que les résultats de l'enquête pourront être communiqués. Et notre ancienne expérience avec Virtualis rappelle pourquoi il est important de prendre au sérieux les alertes techniques, même lorsqu'elles remettent en question un service présenté comme sûr.