Aucun coffre numérique forcé et aucun client lésé, mais des virements frauduleux émis depuis le propre compte de la banque, puis une course-poursuite sur les blockchains. Une semaine après la cyberattaque qui a frappé le Crédit Mutuel Arkéa, voici ce qui est établi, ce qui reste flou, et ce que cette affaire dit du risque fournisseur dans la finance.

Le 1er novembre, l’argent s’envole

Tout commence par un signal faible venu de la communauté crypto. Le 2 novembre, l’enquêteur on-chain ZachXBT écrit sur Telegram qu’« une entité basée dans l’UE » a perdu la veille plus de 106 millions de dollars, retirés de comptes ouverts sur des plateformes d’échange centralisées sous forme de stablecoins USDC et USDT. Le lendemain, il porte l’estimation à 133 millions de dollars et évoque une « grande institution financière d’Europe occidentale ». Le 4 novembre, vers 4 heures du matin, il donne son nom : Crédit Mutuel Arkéa.

Quelques heures plus tard, la banque brestoise, qui revendique plus de 5,8 millions de sociétaires et clients, confirme avoir été victime d’« une attaque ayant permis la réalisation d’opérations frauduleuses ». Le jour même, plusieurs médias, dont Le Monde et l’AFP, font état de l’ouverture d’une enquête.

Ni crypto volée, ni comptes clients : le compte propre de la banque

Le mode opératoire est l’élément le plus singulier de l’affaire. Dans un communiqué publié le 4 novembre à 17 h 30, le groupe précise que les attaquants ont utilisé « le compte propre de Crédit Mutuel Arkéa » pour réaliser des opérations « vers d’autres acteurs bancaires ». Ces virements leur ont ensuite « potentiellement permis de convertir cet argent en crypto monnaie via des plateformes spécialisées ». Aucun compte client des fédérations ou des filiales n’a été utilisé.

Une source proche du dossier, le résume ainsi : ce n’est pas de la crypto qui a été volée directement à la banque, mais des virements auraient été émis avec des informations de bénéficiaires falsifiées vers des comptes « mules » ouverts sous de fausses identités, notamment chez Kraken, après passage des contrôles KYC. La banque, elle, ne confirme pas ce détail.

Fortuneo mis en cause, puis mis hors de cause

Le 4 novembre en début d’après-midi, Grégory Raymond, cofondateur de The Big Whale, affirme que la fraude a démarré par une attaque contre Fortuneo, la banque en ligne du groupe. La piste fait le tour des rédactions. La banque la dément dans son communiqué : « aucune « entrée » ne s’est faite par Fortuneo ». L’accès s’est fait par « la plateforme d’un de nos prestataires », qui a permis aux attaquants d’atteindre la banque directement. Le groupe parle d’une « attaque sophistiquée venant de l’extérieur », écarte toute erreur humaine et ne nomme pas le prestataire.

C’est le cœur du sujet pour les DSI et les RSSI. Le système d’information de la banque n’a pas été pris d’assaut frontalement : c’est un tiers de confiance, connecté à ses processus, qui a servi de porte d’entrée. Un scénario que les régulateurs européens redoutent depuis des années.

Une traque à travers les blockchains

Côté crypto, les traces sont plus nettes. Selon les données de Bitquery, 108,8 millions de dollars en USDC sont sortis de comptes chez Kraken, Crypto.com et OKX en une vingtaine d’heures, les 1er et 2 novembre, vers une quinzaine de portefeuilles. Onze d’entre eux avaient déjà reçu des fonds de ces plateformes, parfois des mois plus tôt, signe d’une opération préparée de longue date.

Le blanchiment a suivi un schéma classique : 62,98 millions de dollars convertis en 27 553 ETH via UniswapX en environ quatre heures, puis éclatement des fonds entre adresses, passages par des ponts inter-chaînes et des services d’échange instantané, et conversion d’une partie en Monero, une cryptomonnaie quasi intraçable. ZachXBT estime « avec un haut degré de certitude » que le groupe nord-coréen Lazarus n’est pas en cause. L’attribution reste à ce stade inconnue.

Les plateformes ont réagi en ordre dispersé. Kraken a restreint les comptes liés et Crypto.com a bloqué les fonds associés, toutes deux assurant que leur propre sécurité n’a pas été compromise.

Combien ? La banque ne confirme qu’un « ordre de grandeur »

Le montant exact reste inconnu. Les estimations publiées vont de « près de 100 millions d’euros » (AFP) à 133 millions de dollars, soit environ 118 millions d’euros selon Le Télégramme. Interrogée sur ce dernier chiffre, la banque répond : « Nous ne confirmons pas ces informations et pouvons simplement valider l’ordre de grandeur. » Elle ajoute qu’« une partie des fonds concernés a pu être bloquée » et que des actions sont engagées pour récupérer le reste. Sa solidité financière n’est pas menacée, assure-t-elle.

Pour les clients, l’impact se limite selon le groupe à « une exécution différée de certaines opérations de virement », la quasi-totalité des opérations ayant repris dès la matinée suivante. La banque les appelle toutefois à la vigilance face au risque d’hameçonnage, fréquent dans le sillage de ce type d’événement.

Le risque tiers, angle mort de la résilience

L’affaire tombe au moment où le secteur financier européen applique le règlement DORA, en vigueur depuis janvier 2025, qui fait de la gestion des risques liés aux prestataires de services TIC une obligation à part entière : cartographie des fournisseurs, clauses contractuelles, tests de résilience, notification des incidents majeurs. Le groupe indique d’ailleurs avoir informé « les instances compétentes et de supervision » et travailler avec les autorités judiciaires et policières.

Pour les équipes techniques, plusieurs questions concrètes émergent, quel que soit le prestataire en cause. Quels droits un fournisseur détient-il réellement sur les flux de paiement ? Les ordres de virement émis depuis le compte propre de l’établissement sont-ils soumis aux mêmes contrôles que ceux des clients ? Les plafonds, la double validation et la détection d’anomalies couvrent-ils les canaux opérés par des tiers ? Et à quelle vitesse peut-on couper un accès fournisseur compromis ?

La faille n’est plus toujours là où on l’attend

Une semaine après les faits, l’attaque contre le Crédit Mutuel Arkéa garde ses zones d’ombre : le prestataire n’est pas nommé, le montant n’est pas confirmé et les auteurs ne sont pas identifiés. Mais une leçon s’impose déjà. Dans une banque, la frontière du système d’information passe désormais par chaque fournisseur connecté à ses flux. Et lorsque l’argent quitte le circuit bancaire pour les blockchains, quelques heures suffisent pour que la majeure partie devienne difficile à récupérer.