Arkéa : près de 100 millions d'euros détournés via un prestataire

Une banque française vient de perdre, selon sa propre estimation provisoire, de l'ordre de 100 millions d'euros dans une cyberattaque. Et l'entrée ne s'est pas faite chez elle, mais chez l'un de ses prestataires.

Le 4 novembre 2026, le groupe Crédit Mutuel Arkéa, qui réunit les fédérations du Crédit Mutuel de Bretagne et du Sud-Ouest et des filiales spécialisées, a déclaré dans un communiqué avoir été la cible d'une « cyberattaque », selon l'AFP. Le parquet de Paris a ouvert une enquête le jour même.

Ce que l'on sait

D'après la dépêche AFP reprise par Boursorama et TradingView :

• Montant : « de l'ordre de 100 millions d'euros », selon une estimation provisoire que la banque tente de récupérer. Le Télégramme avance 118 millions d'euros ; la banque ne confirme pas ce chiffre mais en « valide l'ordre de grandeur ». Une partie des fonds a pu être bloquée.
• Mode opératoire, selon la banque : les attaquants ont utilisé le compte propre du groupe pour réaliser des transactions vers d'autres établissements bancaires, puis ont converti ces fonds en cryptomonnaie via des plateformes spécialisées. Ils ne sont pas passés par des comptes clients.
• Point d'entrée : « Les attaquants sont passés par la plateforme d'un de nos prestataires », a indiqué la banque, qui précise qu'aucune entrée ne s'est faite par sa filiale Fortuneo. Le nom du prestataire n'a pas été communiqué.
• Nature de l'attaque : la banque écarte l'erreur humaine et parle d'une « attaque sophistiquée venant de l'extérieur ». Aucune revendication à ce stade.
• Enquête : la section cybercriminalité du parquet de Paris a reçu une plainte du groupe le 4 novembre au matin et a ouvert une enquête pour « atteinte à un système de traitement automatisé de données en bande organisée », confiée à l'Office anticybercriminalité (OFAC).
• Clients : certaines transactions ont été suspendues par précaution, puis la quasi-totalité des opérations a repris. Selon la banque, l'incident n'a aucune conséquence sur les avoirs des clients et seuls certains virements ont été différés. La banque prévient que des tentatives d'hameçonnage sont possibles.

Pourquoi cette attaque concerne toutes les entreprises

Il serait tentant d'y voir un sujet purement bancaire. Ce serait une erreur. Trois enseignements valent pour toute organisation qui fait circuler de l'argent ou des données.

1. Votre prestataire fait partie de votre surface d'attaque. La banque n'a pas été compromise par son propre système d'information, selon ses déclarations, mais par la plateforme d'un tiers qui lui était connecté. C'est le schéma classique de l'attaque par la chaîne d'approvisionnement : le maillon le moins surveillé ouvre la porte au plus précieux.

2. Les flux de trésorerie sont une cible directe. Ici, ni rançon ni vol de données clients annoncés : l'objectif était l'argent de l'entreprise elle-même. Toute plateforme capable d'initier ou de valider des paiements (outil de trésorerie, connecteur bancaire, solution de paiement externalisée) mérite le niveau de protection de vos systèmes les plus critiques.

3. La vitesse décide du montant récupéré. La conversion rapide en cryptomonnaie rend les fonds très difficiles à rapatrier. Le fait qu'une partie ait pu être bloquée montre l'intérêt d'une détection et d'une réaction rapides.

Les questions à poser à vos équipes cette semaine

1. Quels prestataires peuvent initier, modifier ou valider un paiement en votre nom, directement ou via une interface connectée à vos comptes ?
2. Comment leurs accès sont-ils protégés ? Authentification forte, comptes nominatifs, adresses IP restreintes, durée de session limitée.
3. Existe-t-il des plafonds et une double validation sur les virements initiés par une plateforme tierce, y compris pour les flux automatisés ?
4. Une alerte se déclenche-t-elle en cas de virement inhabituel par son montant, son horaire ou son destinataire ?
5. Le contrat prévoit-il la notification d'incident sous un délai court, le droit d'audit et des tests d'intrusion réguliers sur la plateforme du prestataire ?
6. Votre plan de crise intègre-t-il ce scénario, avec les contacts de vos banques pour bloquer des fonds en urgence ?

Côté collaborateurs et clients, l'annonce d'une cyberattaque est souvent suivie de campagnes d'hameçonnage qui reprennent l'actualité. Rappelez à vos équipes qu'aucune banque ne demande ses identifiants par e-mail, SMS ou téléphone.

Notre regard

Dans nos tests d'intrusion, les accès de prestataires reviennent régulièrement parmi les chemins d'attaque les plus courts : comptes partagés, accès distants permanents, interfaces jamais incluses dans le périmètre d'audit. C'est aussi une exigence explicite de NIS2 et, pour le secteur financier, de DORA : la sécurité de la chaîne d'approvisionnement fait partie de votre propre sécurité.

Les éléments disponibles à ce jour proviennent des déclarations de la banque et du parquet, rapportées par la presse. L'enquête dira comment la plateforme du prestataire a été compromise.

Si vous voulez savoir ce qu'un attaquant pourrait faire en passant par vos prestataires, et si vos flux de paiement résisteraient, contactez-nous.