Crédit Mutuel Arkéa confirme une cyberattaque, sans chiffrer les pertes

Une attaque désormais « maîtrisée »

Le Crédit Mutuel Arkéa a confirmé, mercredi 4 novembre, avoir été la cible d’une cyberattaque. Dans une déclaration transmise à l’AFP et reprise par Le Figaro, le groupe bancaire basé en Bretagne reconnaît une attaque informatique ayant permis « la réalisation d’opérations frauduleuses ».

L’établissement affirme que l’incident est « aujourd’hui maîtrisé ». Il assure également que ses clients ne sont pas financièrement touchés : auprès de France Télévisions, la banque indique que l’attaque « n’a aucune conséquence financière » pour eux et que « leurs intérêts sont pleinement protégés », selon franceinfo.

Par mesure de prudence, certaines transactions ont toutefois été temporairement suspendues, ajoute franceinfo. À ce stade, le groupe ne détaille ni la nature exacte de ces opérations, ni les canaux concernés.

Un montant élevé évoqué, mais non confirmé

Le chiffre du détournement reste le point le plus sensible du dossier. Le Crédit Mutuel Arkéa ne confirme pas le montant de 133 millions de dollars, soit 118 millions d’euros, cité par Le Télégramme et repris par Le Figaro. Ouest-France évoque, de son côté, « plusieurs millions d’euros » disparus.

Franceinfo affirme, en s’appuyant sur une source proche du dossier, que le piratage dépasserait 100 millions d’euros. BFM Crypto rapporte une estimation plus précise attribuée à ZachXBT, un enquêteur spécialisé dans le suivi de fonds sur blockchain : selon lui, l’attaque aurait porté sur plus de 133 millions de dollars.

Ces évaluations restent donc à manier avec prudence. Elles dessinent un incident d’une ampleur importante, mais la seule position officielle de la banque, pour l’instant, se limite à reconnaître des opérations frauduleuses, sans chiffrer leur impact.

Des fonds convertis en cryptomonnaies

La piste des cryptomonnaies revient dans plusieurs récits de l’affaire. Franceinfo indique que l’argent aurait été transformé en cryptomonnaie pour sortir de la banque. Selon BFM Crypto, ZachXBT affirme que les fonds auraient été envoyés vers des plateformes d’échange afin d’être convertis en stablecoins USDC et USDT.

Ces stablecoins sont des cryptomonnaies dont la valeur est adossée à une monnaie classique, comme l’euro ou le dollar. Ils permettent de transférer rapidement des fonds tout en limitant l’exposition aux fortes variations des cryptomonnaies plus spéculatives.

D’après BFM Crypto, ZachXBT estime également que l’attaque aurait duré plusieurs jours. Il avance que plus de 30 millions de dollars auraient pu être blanchis, faute d’une alerte suffisamment rapide pour permettre le gel des fonds. Cette affirmation porte sur la chronologie de la réaction de l’institution financière concernée ; elle n’a pas été confirmée par Arkéa dans les éléments rendus publics.

Une banque régionale sous pression

Le Crédit Mutuel Arkéa est un groupe bancaire coopératif et mutualiste implanté en Bretagne. L’affaire survient alors que la cybersécurité des établissements financiers fait l’objet d’une surveillance soutenue, en particulier lorsque des fonds peuvent être déplacés rapidement par des plateformes numériques et des actifs crypto.

BFM Crypto rappelle qu’Arkéa a déposé en mai un dossier d’agrément européen MiCA auprès de l’Autorité des marchés financiers, afin de pouvoir proposer à ses clients des services liés aux cryptoactifs. Selon le média, ce dossier semble toujours en cours d’examen.

Dans ce contexte, la banque doit à la fois rassurer ses clients, protéger les opérations courantes et coopérer avec les autorités compétentes, alors que le montant exact des sommes détournées demeure inconnu publiquement.

Des vérifications encore attendues

À ce stade, le message adressé aux clients du Crédit Mutuel Arkéa tient en quelques mots : leurs intérêts seraient protégés et l’incident ne leur causerait pas de perte financière. Cette garantie pèse d’autant plus que les montants évoqués publiquement sont élevés et n’ont pas été confirmés par le groupe.

Les vérifications à venir devront préciser l’évaluation du préjudice, la traçabilité des fonds et les conditions dans lesquelles certaines transactions ont été suspendues. Les informations disponibles laissent également en suspens le calendrier exact de l’attaque et les mesures prises pour empêcher la poursuite des transferts.