Le casse numérique de l'année
Crédit Mutuel Arkéa a été frappé par une cyberattaque d’une ampleur inédite, avec des pertes estimées à plus de 100 millions d’euros selon les premières évaluations. L’incident, révélé au grand public ce mercredi, a forcé la banque à suspendre temporairement certaines opérations, le temps de reprendre le contrôle de ses systèmes et d’évaluer l’étendue du préjudice. Dès la détection de l’attaque, une plainte a été déposée auprès du parquet de Paris et l’enquête confiée à l’Office anticybercriminalité (OFAC).
Les pirates se sont introduits via la plateforme d’un prestataire externe, évitant ainsi toute compromission directe des filiales ou des comptes clients individuels, dont ceux de Fortuneo. La banque insiste sur ce point : aucune épargne client n’a été touchée, seuls certains virements ont subi des retards.
Le 10 juin, ZachXBT a publié quatre adresses Ethereum liées à l’attaque, dont l’une a reçu plus de 40 millions de dollars en quelques heures.
Ce qu'on sait des montants volés
Si Crédit Mutuel Arkéa n’a pas confirmé publiquement le montant exact du préjudice, plusieurs signaux convergent autour d’une fourchette très élevée. ZachXBT, enquêteur blockchain suivi dans la communauté crypto, a identifié plus de 133 millions de dollars de retraits suspects sur plusieurs jours, un chiffre que la banque ne conteste pas formellement et qualifie d’"ampleur approximative". D’après bfmtv.com, l’estimation provisoire tourne autour de 100 millions d’euros, soit un niveau rarement atteint pour une institution bancaire française.
La rapidité avec laquelle les fonds ont été déplacés vers des plateformes crypto laisse penser à une opération planifiée et coordonnée.
Voir Aussi
Comment les fonds ont fuité
L’attaque s’est jouée en deux temps : les hackers ont d’abord exploité la faille du prestataire externe pour accéder au compte propre de Crédit Mutuel Arkéa. Une fois à l’intérieur, ils ont initié des transferts massifs vers d’autres institutions financières. Ces mouvements suspects ont ensuite permis une conversion rapide en crypto-monnaies via des plateformes comme Kraken, Crypto.com et OKX. Bitquery a pu tracer ces flux inhabituels sur la blockchain Ethereum grâce à quatre adresses identifiées par ZachXBT.
Face à cette fuite massive, certaines plateformes ont pu geler une partie des fonds détournés dès que l’alerte a été donnée. Des démarches sont en cours pour tenter de récupérer ces sommes et limiter la casse pour la banque.
Les clients épargnés, la banque secouée
Malgré le choc causé par le montant du vol – plus de 133 millions de dollars selon les analyses blockchain –, Crédit Mutuel Arkéa assure que les avoirs des clients n’ont pas été impactés. Seuls certains virements ont subi un retard dans leur exécution durant la période critique. L’incident est désormais "clos et sous contrôle", selon la communication officielle du groupe.
La banque appelle toutefois ses clients à rester vigilants face aux risques accrus de phishing qui pourraient survenir dans le sillage de cette attaque très médiatisée.
En mai dernier déjà, Arkéa avait déposé une demande de licence MiCA afin d’offrir prochainement des services liés aux crypto-actifs. Cet épisode tombe donc à un moment charnière pour ses ambitions numériques.
Des transferts gelés en urgence
Dans un article publié par cointelegraph.com, il est précisé que certains fonds détournés ont pu être gelés rapidement grâce à la coopération entre Arkéa et les plateformes crypto ciblées par les hackers. Les efforts se concentrent désormais sur la récupération maximale des sommes bloquées avant qu’elles ne disparaissent définitivement dans les méandres anonymes du Web3.
Ce qui compte
- •Crédit Mutuel Arkéa a subi une cyberattaque estimée à environ 100 millions d'euros (133 millions de dollars selon ZachXBT).
- •L’attaque, détectée début juin 2024, est passée par la plateforme d’un prestataire externe, sans impact sur les comptes clients.
- •Une enquête a été ouverte par l’Office anticybercriminalité (OFAC) et une partie des fonds détournés a pu être gelée.
Ce qui reste à observer
L’enquête ouverte par le parquet de Paris et confiée à l’Office anticybercriminalité (OFAC) depuis mercredi devra déterminer le montant exact du préjudice, alors que Crédit Mutuel Arkéa n’a pour l’instant confirmé qu’un ordre de grandeur autour de 133 millions de dollars, sans préciser la part effectivement récupérée ou gelée à ce stade.