Crédit Mutuel Arkéa a confirmé mercredi 4 novembre avoir été victime d’une attaque informatique ayant permis des opérations frauduleuses. Le groupe affirme que l’incident est désormais maîtrisé et qu’il n’aura pas de conséquence financière pour ses clients. Certaines transactions ont toutefois été suspendues temporairement, par précaution.
Une estimation fondée sur le traçage des transactions
L’affaire a d’abord été signalée par ZachXBT, un enquêteur spécialisé dans l’analyse des transactions sur les blockchains. Le 2 novembre, il faisait état de retraits suspects dépassant 106 millions de dollars. Le lendemain, il a ajouté 27 millions de dollars à son estimation, après avoir repéré d’autres mouvements. Il attribue ces opérations à Arkéa, mais le montant qu’il avance correspond à ses propres observations et n’a pas été confirmé par la banque.
Cette distinction est essentielle : le groupe bancaire reconnaît des transactions frauduleuses, mais n’a pas publié de bilan chiffré détaillé. Le montant de plus de 100 millions d’euros rapporté dans les informations sur l’affaire ne doit donc pas être présenté comme une somme officiellement établie par Arkéa. L’origine précise des opérations, leur déroulement et la part des fonds éventuellement récupérée restent également inconnus.
Des opérations suspendues par précaution
Selon les éléments communiqués par le groupe, les équipes ont pris des mesures pour sécuriser les opérations et empêcher de nouveaux mouvements frauduleux. Certaines transactions ont été interrompues temporairement, le temps d’effectuer des vérifications. Arkéa indique que l’incident est sous contrôle et que les opérations concernées doivent reprendre après ces contrôles.
L’établissement n’a pas détaillé publiquement la méthode utilisée par les auteurs de la fraude. À ce stade, aucune information vérifiée ne permet non plus d’affirmer que des données personnelles de clients ont été dérobées. La banque assure que les intérêts financiers de sa clientèle sont protégés, sans toutefois rendre public un rapport technique sur l’attaque.
Les clients appelés à rester vigilants
Arkéa rassemble notamment les fédérations du Crédit Mutuel de Bretagne et du Crédit Mutuel du Sud-Ouest ainsi que plusieurs filiales. Le groupe comptait 5,64 millions de clients à la fin de 2025, selon ses résultats publiés pour l’exercice.
Même lorsque la banque annonce l’absence de pertes pour ses clients, une actualité de ce type peut servir de prétexte à des tentatives d’escroquerie. Un fraudeur peut se faire passer pour un conseiller et demander un code, une validation dans l’application ou un virement vers un prétendu compte sécurisé. Les consignes de Cybermalveillance.gouv.fr sur les faux conseillers bancaires rappellent de ne pas communiquer ses codes et de contacter sa banque par un canal habituel.
En cas d’opération inconnue sur un compte, il convient de joindre rapidement son établissement. L’Autorité de contrôle prudentiel et de résolution, adossée à la Banque de France, recommande de faire opposition si nécessaire, de signaler les faits et de contester les paiements concernés auprès de sa banque.
À ce stade, l’enjeu est donc double : comprendre comment les opérations frauduleuses ont été rendues possibles et vérifier leur coût réel. Le groupe assure que ses clients ne supporteront pas de conséquence financière ; le montant final et les circonstances de l’attaque restent à préciser.
