Le Crédit Mutuel Arkéa a précisé le 4 novembre les circonstances de l'attaque ayant permis des opérations frauduleuses. Selon le groupe, les attaquants ont atteint son compte propre via un prestataire, tandis que les avoirs des clients sont préservés.
Le Crédit Mutuel Arkéa a publié, le 4 novembre, des précisions sur l'attaque informatique ayant permis des opérations frauduleuses à son encontre. Le groupe affirme que l'incident est maîtrisé et que la quasi-totalité des opérations a repris dans la matinée après des vérifications et des mesures de sécurité renforcées. Certaines opérations de virement ont été exécutées avec retard.
Le compte propre du groupe utilisé pour les transactions
Dans son communiqué complémentaire, Arkéa indique que les attaquants sont passés par la plateforme d'un prestataire pour atteindre directement le groupe. Les transactions ont été réalisées depuis son compte propre vers d'autres acteurs bancaires. L'argent a ensuite potentiellement pu être converti en cryptomonnaies via des plateformes spécialisées, selon les explications de la banque.
Le groupe précise que le chemin emprunté par les attaquants ne passait pas par les comptes de clients de ses fédérations ou de ses filiales. Il dément également que Fortuneo ait constitué le point d'entrée de l'attaque, une hypothèse qui avait circulé dans les premières informations publiques.
Des virements différés après une suspension préventive
Arkéa assure que l'incident n'entraîne aucune conséquence financière sur les avoirs de ses clients. Le groupe a suspendu temporairement certaines transactions après la détection de l'attaque afin de sécuriser les opérations. Cette interruption préventive explique les retards observés sur certains virements.
Pour les utilisateurs des services bancaires en ligne, la distinction entre la disponibilité d'une opération et la préservation du solde du compte est essentielle. Le groupe décrit ici une exécution différée et affirme protéger les intérêts de ses clients. Ses équipes restent mobilisées pour mesurer les conséquences de l'attaque.
Le préjudice définitif reste en cours d'évaluation
Interrogé sur les 118 millions d'euros évoqués publiquement, Arkéa indique pouvoir valider un ordre de grandeur, sans confirmer ce montant comme une perte définitive. Une partie des fonds a pu être bloquée et d'autres actions sont engagées pour les recouvrer. Le montant effectivement perdu dépendra donc aussi des résultats de ces démarches.
Le groupe indique travailler avec les autorités judiciaires et policières pour déterminer précisément l'origine et le mode opératoire de l'attaque. Il affirme également avoir informé les instances compétentes et les autorités de supervision, conformément aux procédures de gestion de crise.
Source : Crédit Mutuel Arkéa, communiqués du 4 novembre 2026, dont les informations complémentaires sur l'attaque.
