Comment des pirates ont-ils pu détourner des fonds d’une banque sans passer par les comptes de ses clients ? La cyberattaque contre Crédit Mutuel Arkéa soulève cette question, alors que l’établissement évoque une intrusion extérieure passant par la plateforme d’un prestataire et des transactions effectuées depuis son compte propre.
Le préjudice pourrait dépasser 100 millions d’euros, mais son montant exact, le cheminement complet des fonds et les failles exploitées restent à éclaircir. Au-delà du vol, l’affaire interroge la sécurité informatique des fournisseurs, la capacité à interrompre des opérations suspectes et la transparence nécessaire auprès des clients.
Ce qu’il faut retenir
- La banque indique que les opérations frauduleuses ont utilisé son compte propre, et non les comptes de ses clients.
- Le montant de 118 millions d’euros a circulé dans les médias ; Arkéa en valide l’ordre de grandeur sans confirmer ce chiffre précis.
- Le passage par un prestataire et une éventuelle conversion en cryptomonnaies constituent deux pistes majeures de l’enquête.
- Une attaque financière ne prouve pas, à elle seule, l’existence d’une fuite de données personnelles.
Comment la cyberattaque contre Crédit Mutuel Arkéa s’est-elle déroulée ?
Selon les éléments communiqués par Crédit Mutuel Arkéa, les attaquants sont passés par la plateforme d’un prestataire avant d’utiliser un compte appartenant à la banque pour effectuer des transactions vers d’autres établissements. La banque décrit une attaque extérieure sophistiquée et affirme qu’aucune erreur humaine interne n’est à l’origine des faits.
Cette présentation laisse une distinction essentielle : le point de passage identifié n’explique pas encore toute la chaîne de compromission. La nature de l’accès obtenu, les contrôles franchis et les raisons pour lesquelles les mouvements n’ont pas été arrêtés plus tôt restent des questions pour l’enquête.
Pour comprendre les premières informations publiées par l’établissement, un point sur la situation chez Crédit Mutuel Arkéa permet de replacer ses déclarations dans le contexte de la gestion de crise.
Combien d’argent a été dérobé et peut-il être retrouvé ?
Certains médias ont évoqué 118 millions d’euros. Interrogée sur ce montant, la banque n’a pas confirmé la somme exacte, mais en a reconnu l’ordre de grandeur. Il faut donc distinguer l’estimation initiale du bilan définitif, qui dépend notamment des fonds éventuellement bloqués ou récupérés.
La conversion en cryptomonnaies constitue une possibilité décrite par la banque, pas une reconstitution intégrale des flux. Un éclairage sur la piste des cryptomonnaies présente les éléments associés à cette hypothèse.
Les opérations inscrites sur une blockchain, registre numérique partagé, peuvent laisser des traces consultables. Mais identifier la personne qui contrôle une adresse et récupérer les actifs sont deux démarches différentes : les transferts entre plateformes, juridictions ou outils de brouillage peuvent compliquer l’intervention.
Interrogé par l’AFP, Antoine Hautin, du cabinet de cybersécurité Almond, souligne l’importance de la rapidité dans la recherche des fonds. Une trace exploitable ne garantit toutefois ni le gel des avoirs ni leur restitution.
Les clients d’Arkéa sont-ils concernés par une fuite de données ?
La banque affirme que les transactions frauduleuses ne sont pas passées par les comptes des clients de ses fédérations ou de ses filiales. Cette précision porte sur l’origine des fonds : elle ne suffit pas, à elle seule, à établir si des informations personnelles ont été consultées ou copiées.
Les éléments communiqués ne permettent pas de conclure à une fuite de données. Pour apprécier la protection des données, il faut notamment connaître les systèmes consultés, les droits obtenus par les attaquants et les résultats des vérifications réalisées sur les accès.
En France, une violation de données personnelles présentant un risque pour les personnes doit en principe être notifiée à la Commission nationale de l’informatique et des libertés dans les 72 heures après que le responsable en a pris connaissance. Si le risque est élevé, les personnes concernées doivent aussi être informées, sauf exceptions prévues par le règlement européen.
Que révèle le recours à un prestataire sur la sécurité informatique des banques ?
Un fournisseur peut disposer d’accès utiles à plusieurs établissements, sans que cela signifie que tous sont exposés à la même attaque. La question décisive est de savoir si la faiblesse exploitée concerne un accès propre à Arkéa, un composant partagé ou une combinaison des deux.
Dans un scénario hypothétique, un prestataire autorisé à transmettre des instructions de paiement pourrait devenir un point d’entrée si ses accès sont compromis. Même dans ce cas, des limites de montant, une validation indépendante ou une alerte sur des opérations inhabituelles peuvent constituer des barrières supplémentaires : leur présence et leur fonctionnement dans cette affaire restent à établir.
Le règlement européen DORA, applicable depuis janvier 2025, encadre la résilience numérique des entités financières, notamment la gestion des risques liés aux prestataires informatiques. Il ne supprime pas toute possibilité d’intrusion : son intérêt se mesure aussi à la capacité de détecter l’incident, de limiter ses effets et de rétablir les services.
| Question de sécurité | Élément à éclaircir | Utilité pour les banques |
|---|---|---|
| Accès du prestataire | Identifiants, droits et systèmes compromis | Déterminer si d’autres clients du fournisseur sont exposés |
| Contrôle des paiements | Alertes déclenchées et validations appliquées | Repérer les barrières qui n’ont pas interrompu les flux |
| Traçage des fonds | Banques et plateformes traversées | Faciliter les demandes de gel et de récupération |
| Données personnelles | Informations éventuellement consultées ou copiées | Définir les notifications et mesures de protection nécessaires |
Quelles réponses de cybersécurité et de transparence sont attendues ?
La durée de l’opération compte autant que son montant. Si les mouvements se sont étalés sur plusieurs heures ou plusieurs jours, comme l’a envisagé Antoine Hautin auprès de l’AFP, l’analyse des journaux d’activité peut aider à comprendre quand les premières alertes auraient pu être détectées. Cette durée reste à préciser.
Les établissements peuvent partager des indicateurs techniques et tester leurs procédures avec leurs fournisseurs, sans attendre qu’un incident identique se reproduise. L’avocat Guillaume Seligmann, du cabinet Bersay, défend auprès de l’AFP une réponse coordonnée du secteur ; son efficacité dépendra notamment de la qualité des informations échangées et des actions prises ensuite.
Au point de conversion entre monnaie traditionnelle et cryptoactifs, un délai supplémentaire pour les transactions suspectes est une piste évoquée par l’avocat Mathieu Françon. Mais un délai généralisé ralentirait aussi les opérations légitimes et ne remplacerait pas les contrôles d’identité, le signalement des soupçons et la coopération entre acteurs.
Pour les clients, une communication utile distingue les faits établis des vérifications en cours : services affectés, éventuelles données concernées, démarches à effectuer et canaux officiels à consulter. C’est aussi un moyen de limiter les tentatives d’hameçonnage qui peuvent exploiter une crise, par exemple un faux message demandant de confirmer des identifiants bancaires.
Cet article est fourni à titre informatif et ne constitue pas un conseil en investissement. Investir dans les cryptoactifs comporte un risque de perte totale du capital.
