Le Crédit Mutuel Arkéa a été victime d’un piratage portant sur plus de 100 millions d’euros. L’information a été obtenue par franceinfo le 4 novembre 2026, de source proche du dossier, confirmant une information publiée initialement par Le Télégramme. La banque a elle-même reconnu avoir été la cible d’une cyberattaque, dans un communiqué diffusé mercredi soir.
Selon la banque, les assaillants ont utilisé son compte propre pour réaliser des transactions vers d’autres acteurs bancaires, avant de convertir les sommes dérobées en cryptomonnaie via des plateformes spécialisées, notamment en stablecoins (cryptomonnaies adossées au dollar). Les attaquants ne sont pas passés par des comptes de clients des fédérations ou des filiales du groupe.
La banque dément formellement une entrée par Fortuneo, contrairement à ce qui avait pu circuler dans la presse : « Les attaquants sont passés par la plateforme d’un de nos prestataires et ont ainsi atteint le Crédit Mutuel Arkéa directement », précise-t-elle. Elle écarte l’hypothèse d’une erreur humaine interne et parle d’« une attaque sophistiquée venant de l’extérieur ».
C’est l’enquêteur spécialisé en blockchain ZachXBT qui avait révélé l’attaque dans la matinée, plusieurs heures avant le communiqué de la banque, évoquant un piratage portant sur plus de 133 millions de dollars. Selon lui, l’opération s’est déroulée sur plusieurs jours et le préjudice pourrait être encore plus lourd que les montants déjà avancés.
ZachXBT met surtout en cause le manque de réactivité de l’établissement : l’absence de signalement rapide aurait, selon lui, permis aux pirates de blanchir plus de 30 millions de dollars, une somme qui aurait pu être gelée par les autorités européennes.
La banque affirme avoir immédiatement suspendu certaines transactions pour empêcher de nouveaux mouvements frauduleux. Une partie des fonds a pu être bloquée, d’autres actions sont en cours pour les recouvrer. Les comptes des clients n’ont pas été touchés et le groupe n’a fait état d’aucun vol de données. Il appelle néanmoins à la vigilance face à de possibles tentatives d’hameçonnage, une deuxième vague d’arnaques pouvant surgir chez des cybercriminels opportunistes, sans lien avec l’attaque initiale.
Une plainte transmise au parquet de Paris
Le groupe Crédit Mutuel Arkéa a porté plainte, et le parquet de Paris a indiqué avoir immédiatement ouvert une enquête, mercredi soir. Les investigations ont été confiées à l’Office anticybercriminalité. Les faits sont qualifiés d’atteinte à un système de traitement automatisé de données en bande organisée.
Conséquence directe pour les clients : l’application bancaire est restée inaccessible pendant plusieurs heures, le temps que la banque réunisse des conditions de sécurité jugées optimales avant de rétablir l’accès. Le groupe a tenu à rassurer ses clients sur le fait que l’incident n’entraîne aucune conséquence sur leurs avoirs, seulement une exécution différée de certaines opérations de virement.
Interrogée dans la journée, avant son communiqué officiel, la banque avait déjà reconnu des opérations frauduleuses, sans confirmer le montant avancé par ZachXBT, mais en validant son ordre de grandeur. Le Crédit Mutuel Arkéa, qui réunit les fédérations de Bretagne et du Sud-Ouest ainsi que plusieurs filiales spécialisées, avait dégagé un bénéfice net de 230 millions d’euros sur les six premiers mois de l’année.
Ce piratage intervient moins d’une semaine après celui de la plateforme de cryptomonnaies Binance, dont les actifs affectés sont estimés à 6,3 milliards de dollars. Le FBI attribue cette attaque à la Corée du Nord, qui a démenti toute implication.
