Crédit Mutuel Arkéa : près de 100 M€ détournés par virements frauduleux

Le président du Crédit Mutuel Arkéa, Julien Carmona, détaille dans un entretien à l'AFP relayé par Silicon.fr une cyberattaque qu'il qualifie d'« inédite par sa sophistication et sa technicité ». Les attaquants ont compromis un prestataire, puis utilisé de faux IBAN au nom de Fortuneo — filiale du groupe — pour déclencher des virements instantanés depuis les comptes propres de la banque. Le préjudice est chiffré par la presse autour de 100 millions d'euros, sans montant définitif confirmé. Les avoirs des clients ne sont pas touchés, selon la banque.

Déroulé de l'attaque

Le schéma décrit par le président : intrusion via un prestataire, création de faux IBAN Fortuneo, puis virements instantanés émis depuis les fonds propres d'Arkéa vers de vrais comptes ouverts dans d'autres banques européennes, avant conversion sur des plateformes de cryptomonnaies.

Chronologie annoncée :

• 27 octobre : détection de signes d'intrusion chez le prestataire, coupure de la connexion entre les deux systèmes.
• 1er novembre : début des opérations frauduleuses.
• 3 novembre : découverte de l'ampleur des mouvements, coupure des accès externes et de la connexion au système de paiement.
• 4 novembre : communication publique.

Carmona reconnaît que des anomalies sur les cryptoactifs avaient été repérées dès le week-end, sans être reliées à Arkéa sur le moment.

Montant et récupération

Le chiffre varie selon les sources : It-connect évoque un ordre de grandeur de l'ordre de la centaine de millions d'euros, soit environ 1 % des fonds propres du groupe. Une partie des fonds a été récupérée ou gelée ; des discussions se poursuivent, et la banque négocie avec son assureur. Aucun chiffre officiel définitif n'a été publié — à traiter comme une estimation, pas comme un bilan arrêté.

Attribution

Aucune revendication n'a été reçue et l'identité des auteurs reste inconnue. Le président évoque un groupe criminel organisé et bien équipé, et estime que des IA avancées ont probablement aidé l'attaque — sans preuve du rôle exact de ces outils. À considérer comme l'hypothèse du dirigeant, pas comme un fait établi. Il affirme qu'il s'agit de la première fraude de ce type menée à son terme contre une banque française, et sans doute européenne.

Que faire

1. Surveillez les anomalies de virements instantanés en volume et en vélocité, en particulier les ordres émis depuis vos propres comptes techniques.
2. Cloisonnez les connexions prestataires : segmentez les liens vers les plateformes tierces et prévoyez une coupure d'urgence testée (Arkéa a coupé en quelques jours, pas en quelques heures).
3. Contrôlez les flux IBAN rattachés aux filiales : un IBAN au nom d'une marque du groupe ne garantit pas la légitimité de l'opération.
4. Alignez détection crypto et détection fraude : les premiers signaux étaient visibles côté cryptoactifs mais non corrélés à l'incident bancaire.

Contexte

La compromission d'un prestataire comme vecteur d'entrée vers une grande banque confirme un schéma récurrent : la chaîne d'approvisionnement reste le maillon le plus exposé des établissements financiers. L'originalité ici n'est pas l'intrusion, mais la monétisation — détourner directement les fonds propres via le système de virement instantané, plutôt que de voler des données clients. Si le récit du président se confirme, c'est un changement de modèle pour la fraude bancaire en Europe.