Le Crédit Mutuel Arkéa a confirmé le 4 novembre 2026 une attaque qui a permis d’émettre des virements frauduleux depuis le compte propre de la banque, en passant par la plateforme d’un prestataire. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité. Les éléments techniques publics sont très limités : nous séparons ce qui est confirmé par la banque, ce qui est rapporté par la presse et ce qui reste inconnu.
Pour une lecture orientée dirigeant, voir notre décryptage « Crédit Mutuel Arkéa : quand la plateforme d’un prestataire sert à faire partir l’argent ».
Contexte
- Victime : Crédit Mutuel Arkéa, groupe bancaire coopératif breton ; attaque confirmée par la banque dans deux communiqués du 4 novembre 2026.
- Révélation : par l’analyse publique de transactions en cryptomonnaies menée par un enquêteur indépendant (ZachXBT), avant la confirmation de la banque.
- Montant : environ 133 millions de dollars (118 millions d’euros) selon cet enquêteur et Le Télégramme ; la banque ne confirme pas mais « valide l’ordre de grandeur » et indique qu’une partie des fonds a pu être bloquée.
- Impact déclaré : pas de perte sur les avoirs des clients ; exécution différée de certains virements ; perturbations des virements instantanés et de Wero le matin du 4 novembre.
- Sources : AFP via Bourse Direct, 4 novembre 2026 ; MoneyVox, 4 novembre 2026, mis à jour après le second communiqué ; ZATAZ, 4 novembre 2026.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Accès initial | Passage par la plateforme d’un prestataire, qui a permis d’atteindre directement la banque (communiqué Arkéa) ; la compromission de la plateforme elle-même n’est pas décrite | T1199 Trusted Relationship |
| Utilisation d’accès légitimes | Émission de virements depuis le compte propre de la banque vers d’autres établissements (communiqué Arkéa) ; le type de compte ou de jeton utilisé n’est pas publié | T1078 Valid Accounts (probable, non confirmé) |
| Contournement des contrôles | Selon des sources de presse non confirmées, les fraudeurs choisissaient le nom du bénéficiaire affiché, cohérent avec le titulaire des comptes de réception | T1036 Masquerading (lecture prudente) |
| Impact | Sortie de fonds de l’ordre de 118 millions d’euros (non confirmé) | T1657 Financial Theft |
| Monétisation | Conversion probable en cryptomonnaies via des plateformes spécialisées (Arkéa) ; selon l’enquêteur, passage par une monnaie stable puis par d’autres actifs, dont une cryptomonnaie axée sur la confidentialité | Hors périmètre ATT&CK (blanchiment) |
Faits techniques connus
- L’attaque n’a pas visé les comptes clients mais un compte de l’établissement, ce qui contourne les dispositifs de protection centrés sur le client (authentification forte du payeur, alertes clients).
- Le point d’entrée est un tiers disposant d’un lien de confiance avec les systèmes de paiement de la banque : un cas typique d’attaque par la chaîne d’approvisionnement, au sens d’un prestataire et non d’un logiciel piégé.
- La banque écarte une origine humaine (type fraude au président ou manipulation d’un employé) : c’est sa déclaration, sans élément technique public.
- La banque a démenti l’hypothèse, publiée dans un premier temps, d’une entrée par sa filiale Fortuneo.
Ce qu’on ne sait pas
- L’identité du prestataire et la nature du service (connectivité de paiement, plateforme de trésorerie, maintenance applicative…).
- Le vecteur de compromission de la plateforme (identifiants volés, faille, accès d’administration à distance).
- La chronologie : date de début, nombre et rythme des virements. Une hypothèse d’opérations étalées sur plusieurs jours circule dans la presse spécialisée, sans confirmation.
- Les contrôles de premier et de second niveau qui auraient dû arrêter des montants de cette taille vers des destinataires nouveaux.
Détection : un signal financier plus visible de l’extérieur que de l’intérieur ?
- Ce qui est déclaré : dès la détection, la banque a suspendu certaines transactions par précaution, puis a repris la quasi-totalité des opérations dans la matinée du 4 novembre après des vérifications et des mesures renforcées. Le moment exact de la détection n’est pas publié.
- Ce qui est rapporté : l’affaire a été rendue publique par l’analyse des chaînes de blocs, et l’enquêteur reproche un délai avant les demandes de gel des fonds ; il estime qu’une partie importante a été blanchie entre-temps. Estimation non confirmée.
- Signaux exploitables, de façon générique : virements de montant inhabituel depuis un compte propre ; nouveaux bénéficiaires dans des établissements jamais utilisés ; fréquence anormale des ordres émis via un canal tiers ; écart entre les ordres reçus du prestataire et les besoins métier attendus ; ordres émis hors des heures habituelles.
Questions d’audit ISO 27001:2022
- A.5.19, A.5.20 et A.5.21 (sécurité dans les relations avec les fournisseurs, dans les accords et dans la chaîne d’approvisionnement TIC) : « Quels prestataires disposent d’un canal capable d’émettre ou de transmettre des ordres de paiement ? Montrez-moi, pour chacun, les exigences contractuelles de sécurité (authentification, journalisation, notification d’incident, droit d’audit). »
- A.5.22 (surveillance, revue et gestion des changements des services fournisseurs) : « Quand avez-vous vérifié pour la dernière fois la sécurité de ces plateformes, et sur quelle preuve : rapport d’audit, certification et son périmètre, test d’intrusion ? »
- A.5.3 (séparation des tâches), A.8.2 (droits d’accès privilégiés) et A.5.15 (contrôle d’accès) : « Un ordre reçu d’une plateforme tierce peut-il être exécuté sans validation interne indépendante ? Quels sont les plafonds par canal, et qui peut les modifier ? »
- A.8.16 (activités de surveillance) : « Quelles règles de détection portent sur les flux sortants des comptes propres (montant, nouveaux bénéficiaires, fréquence, horaires) ? Qui reçoit l’alerte en dehors des heures ouvrées, et quel est le délai de traitement mesuré ? »
- A.5.24 à A.5.26 (gestion des incidents) et A.5.5 (relations avec les autorités) : « Le plan de réponse prévoit-il le cas du virement frauduleux : rappel des fonds, contacts des établissements destinataires et des plateformes de cryptomonnaies, plainte, information du régulateur ? Montrez-moi le dernier exercice et son délai. »
Pistes de sensibilisation
- Pour les équipes finance et trésorerie : « Qui peut faire partir l’argent ? » (15 minutes). Cartographier en séance tous les canaux d’émission de paiements, internes et tiers, puis vérifier pour chacun le plafond, la double validation et la personne alertée. Message : un prestataire de confiance est aussi une porte d’entrée.
- Pour les clients et les salariés : l’après-attaque médiatisée. Les escrocs profitent de l’actualité pour se faire passer pour la banque. S’appuyer sur la fiche de Cybermalveillance.gouv.fr « Que faire en cas de fraude au faux conseiller bancaire ? » : ne jamais transmettre un code reçu par SMS, rappeler soi-même sa banque par le numéro habituel.
À lire aussi : notre décryptage pour les dirigeants et notre bulletin de veille du 5 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.