Le Crédit Mutuel Arkéa a confirmé le 4 novembre 2026 une cyberattaque qui a permis des virements frauduleux depuis son propre compte. Les attaquants ne sont pas entrés par la banque elle-même, mais par la plateforme d’un de ses prestataires. Une leçon qui vaut pour toute entreprise qui confie des paiements à un outil extérieur.
Ce qui s’est passé
Le 4 novembre, un enquêteur spécialisé dans les cryptomonnaies signale qu’une banque française a vu partir plus de 100 millions de dollars, rapidement convertis en monnaies numériques. Le jour même, le Crédit Mutuel Arkéa confirme avoir subi une cyberattaque ayant permis des « opérations frauduleuses » (AFP via Bourse Direct, 4 novembre 2026).
Le montant cité par la presse est d’environ 133 millions de dollars, soit 118 millions d’euros. La banque ne le confirme pas, mais dit qu’il donne le bon ordre de grandeur et qu’une partie des fonds a pu être bloquée. Elle assure que l’attaque ne remet pas en cause sa solidité financière et que les avoirs des clients ne sont pas touchés. Le matin du 4 novembre, certains virements, dont les virements instantanés, et les paiements Wero ont toutefois été retardés (MoneyVox, 4 novembre 2026).
Comment l’attaque a fonctionné
Dans un second communiqué, Arkéa donne trois éléments. D’abord, l’entrée : les attaquants sont passés par la plateforme d’un de ses prestataires, ce qui leur a permis d’atteindre directement la banque. Ensuite, l’action : ils ont utilisé le compte propre de la banque, celui de l’établissement et non celui d’un client, pour envoyer des virements vers d’autres banques. Enfin, la sortie : l’argent a ensuite pu être converti en cryptomonnaies sur des plateformes spécialisées.
La banque parle d’une attaque « sophistiquée » venue de l’extérieur et écarte une erreur ou une manipulation d’un employé. Elle dément aussi une première hypothèse, publiée par un journaliste, selon laquelle l’attaque serait passée par sa filiale Fortuneo.
En clair : personne n’a eu besoin de pirater des comptes de clients. Il a suffi de prendre la main sur un outil de confiance qui pouvait, lui, faire partir des virements.
Ce qu’on ne sait pas encore
Le nom du prestataire et le service qu’il rendait ne sont pas publics, pas plus que la façon dont sa plateforme a été compromise. On ne sait pas non plus depuis quand l’attaque durait, combien de virements sont partis ni pourquoi les contrôles ne les ont pas arrêtés plus tôt. L’enquêteur qui a révélé l’affaire estime qu’une partie importante de l’argent a été blanchie avant les premiers blocages : c’est son analyse, pas un bilan officiel.
Ce que ça change pour une PME
- Faites la liste de tout ce qui peut faire partir l’argent. Logiciel de trésorerie, plateforme de paie, portail de paiement des fournisseurs, expert-comptable avec mandat : chacun est une porte d’entrée possible vers vos comptes.
- Mettez des plafonds et une double validation. Au-delà d’un montant, ou vers un bénéficiaire nouveau, un virement doit être validé par une deuxième personne, dans l’outil de la banque et pas seulement dans l’outil du prestataire.
- Demandez à être alerté. La plupart des banques proposent des alertes sur les virements sortants et les nouveaux bénéficiaires : activez-les, et sachez qui les reçoit le soir et le week-end.
- Préparez le coup de fil qui compte. En cas de virement frauduleux, les premières heures décident de la récupération des fonds : ayez le numéro direct de votre banque et la marche à suivre sous la main. Et méfiez-vous des faux conseillers qui profitent de l’actualité : la fiche de Cybermalveillance.gouv.fr « Que faire en cas de fraude au faux conseiller bancaire ? » rappelle les bons gestes.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Savons-nous précisément quels prestataires et quels outils peuvent déclencher un paiement depuis nos comptes, et notre contrat avec eux prévoit-il qu’ils nous préviennent en cas d’incident ?
- Un virement important peut-il partir sans qu’une deuxième personne de chez nous l’ait validé ?
- Qui est prévenu, et en combien de temps, quand un virement inhabituel quitte nos comptes, y compris la nuit ?
- Avons-nous déjà répété ce que nous ferions dans l’heure qui suit la découverte d’un virement frauduleux ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossier : Fournisseurs et sous-traitants
Cet article prolonge notre bulletin de veille du 5 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.