La cyberattaque du Crédit Mutuel Arkéa est désormais officielle. Ce mercredi 4 novembre 2026, le groupe bancaire breton a reconnu avoir été victime d’une attaque informatique ayant permis « la réalisation d’opérations frauduleuses ». L’incident est « aujourd’hui maîtrisé », affirme la banque, qui répète le même message à ses clients : ils ne perdront rien.
Le chiffre, lui, donne le vertige. Plus de 133 millions de dollars, soit environ 118 millions d’euros, auraient été détournés puis convertis en cryptomonnaies, selon l’enquêteur indépendant ZachXBT, spécialiste du traçage de fonds sur les blockchains. Le Figaro avance même un montant supérieur, au moins 150 millions d’euros. La banque, elle, ne confirme aucun montant. C’est la première fois qu’une banque traditionnelle française se fait pirater à cette échelle.
Ce que ça change pour vous : votre argent est-il en danger ?
Non, si l’on en croit la banque. Le Crédit Mutuel Arkéa affirme que « cet incident n’a aucune conséquence financière » pour ses clients et que « leurs intérêts sont pleinement protégés ». Les fonds détournés ne viendraient pas des comptes des particuliers mais des fonds propres de Fortuneo, sa banque en ligne, selon Le Figaro. Autrement dit : ce n’est pas votre épargne qui a été vidée, c’est la banque elle-même qui a été délestée.
Concrètement, certains clients ont quand même senti l’incident passer. Ce mercredi matin, l’application du groupe fonctionnait mal pour une partie des utilisateurs, et la banque a suspendu temporairement certaines transactions dès la détection de l’attaque, par mesure de précaution. Elle promet une reprise rapide, une fois les dernières vérifications de sécurité terminées. Si un virement tarde aujourd’hui, c’est probablement cette mise en sécurité qui l’explique, pas une perte.
Reste un réflexe à garder en tête : aucun conseiller ne vous appellera pour vous demander un virement « de sécurisation » ou un code. Les pirates adorent les lendemains d’attaque, quand les clients inquiets décrochent leur téléphone plus vite. En cas de doute, raccrochez et passez par l’application officielle ou le numéro imprimé sur votre carte.
Les clients inquiets doivent passer par l’application officielle ou le numéro imprimé sur leur carte, jamais par un appel entrant.
La chronologie : trois jours de silence, puis l’aveu
Dimanche 1er et lundi 2 novembre, les premiers mouvements suspects apparaissent sur les blockchains. D’après la société d’analyse Bitquery, environ 108,8 millions de dollars en stablecoin USDC quittent des comptes ouverts sur trois plateformes d’échange, Kraken, Crypto.com et OKX, en une vingtaine d’heures, pour atterrir dans une quinzaine de portefeuilles.
Lundi 2 novembre, ZachXBT sonne l’alerte : une entité européenne non identifiée vient de perdre plus de 106 millions de dollars en retraits suspects. Mardi 3 novembre, il revoit son estimation à la hausse, au-delà de 133 millions de dollars, et accuse la victime de tarder à alerter les autorités, ce qui aurait permis de blanchir plus de 30 millions de dollars. Mercredi 4 novembre au matin, il nomme enfin l’établissement : le Crédit Mutuel Arkéa. Quelques heures plus tard, la banque confirme.
Une banque française piratée, 133 millions de dollars envolés en cryptomonnaies, et des clients rassurés par communiqué : l’affaire Arkéa est la première du genre pour une banque traditionnelle en France.
Comment les pirates ont-ils fait ?
La méthode reconstituée par les journalistes spécialisés ressemble à un tour de passe-passe administratif. Les fraudeurs auraient réussi à émettre des virements depuis Fortuneo en choisissant eux-mêmes le nom du bénéficiaire. L’argent partait ensuite vers des comptes ouverts sur des plateformes d’échange de cryptomonnaies sous de fausses identités, suffisamment crédibles pour passer les contrôles d’identité des plateformes.
Les sommes étaient libellées au nom exact des titulaires de ces comptes, ce qui permettait de contourner les vérifications de concordance entre l’émetteur et le destinataire. Une fois arrivés sur les plateformes, les fonds étaient convertis en stablecoins, puis en ether, puis en Monero, une cryptomonnaie qui rend les transactions intraçables.
Deux hypothèses circulent sur le point d’entrée : un piratage des systèmes de paiement de Fortuneo, ou une manipulation humaine, sur le modèle de l’arnaque au président. La banque n’a détaillé ni la méthode ni le point d’entrée. ZachXBT, lui, écarte la piste du groupe Lazarus, lié à la Corée du Nord, souvent cité dans les grands piratages de cryptomonnaies.
Fortuneo, la porte d’entrée du groupe
C’est la banque en ligne du groupe qui aurait servi de porte d’entrée. Fortuneo compte plus d’un million de clients et fait partie d’un groupe qui rassemble aussi le Crédit Mutuel de Bretagne et le Crédit Mutuel du Sud-Ouest, avec son siège au Relecq-Kerhuon, près de Brest. L’attaque vise Arkéa, pas l’ensemble des banques qui portent le nom Crédit Mutuel.
Le groupe indique avoir informé les autorités compétentes et les organismes de supervision dès la découverte de l’incident. Selon Le Télégramme, la Banque de France a été avisée. Interrogée par l’AFP, elle n’a pas souhaité commenter.
Le groupe Arkéa a son siège au Relecq-Kerhuon, près de Brest, en Bretagne.
Arkéa cyberattaque : les questions que tout le monde se pose
Mon argent chez Arkéa ou Fortuneo est-il en sécurité ? La banque l’affirme : l’incident n’a aucune conséquence financière pour les clients. Les fonds visés seraient ceux de la banque, pas les comptes des particuliers.
Les virements sont-ils bloqués ? Certaines transactions ont été suspendues temporairement par précaution. La banque annonce une reprise rapide, après les dernières vérifications de sécurité.
Pourquoi la banque a-t-elle mis plusieurs jours à parler ? Les premiers retraits suspects datent du 1er novembre, la confirmation publique du 4 novembre. La banque dit avoir mobilisé ses équipes dès la détection et informé les autorités.
Le montant de 133 millions est-il confirmé ? Non. C’est l’estimation de l’enquêteur ZachXBT, relayée par plusieurs médias. La banque ne confirme aucun montant, et Le Figaro évoque même au moins 150 millions d’euros.
Dois-je changer de banque ? Rien, à ce stade, ne l’impose. Surveillez vos relevés et activez les alertes de mouvements sur votre application.