Cyberattaque chez Crédit Mutuel Arkéa : le groupe écarte la piste Fortuneo

Le 4 novembre 2026 à 13 h, heure de Paris, Crédit Mutuel Arkéa a annoncé, dans un communiqué daté de Brest, avoir été victime d'une attaque ayant permis des opérations frauduleuses. Un second communiqué, publié le même jour à 17 h 30, heure de Paris, apporte des précisions : selon le groupe, les attaquants ne sont pas entrés par sa filiale Fortuneo, aucun compte de client n'aurait servi et les avoirs des clients ne sont pas affectés. Le parquet de Paris a ouvert une enquête, selon France 24 et Cryptoast.

Une intrusion passée par un prestataire, selon Arkéa

Dans son communiqué de 17 h 30, Crédit Mutuel Arkéa répond « Non » à la question d'une entrée par Fortuneo. D'après le groupe, les attaquants seraient passés par la plateforme d'un de ses prestataires, dont le nom n'a pas été communiqué, pour atteindre directement le groupe. Ils ont ensuite utilisé le compte propre d'Arkéa pour effectuer des virements vers d'autres établissements bancaires, ce qui leur a « potentiellement » permis de convertir les fonds en cryptomonnaies, selon le même texte.

La piste Fortuneo était venue de la presse. Selon Journal du Coin et Cryptoast, le journaliste Grégory Raymond avait décrit sur X des virements partis de Fortuneo vers des comptes crypto ouverts sous de fausses identités. Le groupe a démenti cette version dans son second communiqué.

Arkéa écarte par ailleurs l'hypothèse d'une erreur humaine en interne et évoque une « attaque sophistiquée venant de l'extérieur ». Le groupe indique travailler avec les autorités judiciaires et policières pour établir la manière dont l'attaque a été menée. Le mode opératoire exact n'a pas été publié.

Selon le premier communiqué, le groupe a informé dès la détection les « instances compétentes et de supervision » et suspendu certaines transactions par précaution, sans nommer d'autorité. Toujours selon la banque, l'incident est « clos et aujourd'hui maîtrisé », et la quasi-totalité des opérations a repris dans la matinée du 4 novembre, après des vérifications et un renforcement des mesures de sécurité.

La chronologie de la détection reste incertaine. La banque parle d'une identification « très rapide », alors que les premières transactions repérées sur les blockchains remonteraient au 1er novembre selon Cryptoast, et que l'enquêteur ZachXBT aurait signalé les retraits le 2 novembre selon The Next Web.

Un montant que la banque ne confirme pas

L'enquêteur on-chain ZachXBT a relié à l'affaire plus de 133 millions de dollars de retraits suspects, soit environ 118 millions d'euros, rapportent Cryptoast et The Next Web. Le Télégramme a repris ce chiffre, d'après BigGo Finance et Cointribune. Dans son communiqué de 17 h 30, Arkéa ne le confirme pas et dit seulement « valider l'ordre de grandeur ».

Selon l'AFP et BFMTV, la banque estime provisoirement son préjudice à environ 100 millions d'euros, un chiffre qui ne figure pas dans les deux communiqués du groupe. Le montant d'un milliard de dollars, qui a circulé sur les réseaux sociaux, ne repose que sur un message isolé publié sur X et n'a pas été confirmé.

Le groupe indique qu'une partie des fonds a été bloquée et que d'autres démarches de recouvrement sont en cours, sans donner de montant définitif. Selon la banque, les sommes en jeu ne menacent pas sa solidité financière. Arkéa se présente comme l'ensemble formé par les fédérations du Crédit Mutuel de Bretagne et du Sud-Ouest et une quarantaine de filiales, dont Fortuneo, avec 12 073 salariés, plus de 5,8 millions de sociétaires et clients et un total de bilan de 211,5 milliards d'euros.

Des fonds suivis jusqu'aux plateformes crypto

Le parcours d'une partie des fonds a été reconstitué sur les blockchains. La société d'analyse Bitquery a retracé 108,8 millions de dollars de retraits en USDC depuis des plateformes d'échange, Kraken en tête, selon Journal du Coin et BigGo Finance. Une partie des fonds a ensuite été convertie en ether, puis en Monero, d'après Journal du Coin et Cryptoast. Les deux médias rapportent également que Crypto.com dit avoir bloqué des fonds liés à l'incident qui transitaient par ses services.

L'enquête du parquet de Paris a été ouverte après une plainte du groupe bancaire, selon Gameblog et jeanmarcmorandini.com. L'auteur de l'attaque n'a pas été identifié publiquement, et aucune attribution officielle n'a été communiquée.

Ce que cela change pour les traders

Pour les clients de Fortuneo, qu'ils y détiennent un compte bancaire, un compte-titres ou un PEA, la version du groupe se veut rassurante : selon Arkéa, l'attaque n'est pas passée par la filiale, aucun compte de client n'a été utilisé, et la seule conséquence annoncée est l'exécution différée de certains virements. Les communiqués ne précisent toutefois pas si les ordres de bourse ou les mouvements sur le compte-titres et le PEA ont été concernés par les suspensions de transactions ; ils ne mentionnent que des virements différés.

Les traders qui alimentent un compte chez un courtier ou sur une plateforme crypto depuis un compte du groupe auraient intérêt à vérifier dans leur historique que les virements émis ou attendus dans les jours entourant le 4 novembre 2026 ont bien été exécutés. Un virement retardé pourrait, par exemple, décaler un dépôt de marge prévu ou un retrait attendu.

Le risque le plus concret à court terme tiendrait à l'hameçonnage. La banque prévient elle-même que des tentatives sont possibles et rappelle qu'il ne faut jamais communiquer son identifiant, son mot de passe, son numéro de carte ou un code reçu par SMS, et qu'il convient de contacter directement son conseiller en cas de doute. Elle présente cet avertissement comme préventif, sans indiquer que des données de clients aient été compromises. Des fraudeurs pourraient néanmoins s'appuyer sur l'actualité de l'attaque pour se faire passer pour des conseillers ; un rappel par un canal déjà connu, plutôt que par un numéro ou un lien reçu, limiterait ce risque. Les protections habituelles, comme la double authentification sur le compte et l'application ou un mot de passe propre à chaque service, conservent tout leur intérêt.

En cas d'opération non autorisée, le signalement immédiat à la banque et le dépôt de plainte resteraient les démarches de base. Une éventuelle notification à la CNIL ou une communication de l'ACPR permettrait par ailleurs de mesurer si des données de clients sont en jeu, le groupe n'ayant pas nommé les autorités qu'il a informées.