Cyberattaque du Crédit Mutuel Arkéa : ce que l'on sait, et que faire

Article rédigé le 6 novembre 2026 au soir, à partir des déclarations de la banque et des dépêches de l’AFP. L’enquête est en cours : certains points ci-dessous changeront. Les sources sont en fin d’article.

Ce qui est confirmé

• L’annonce : le mercredi 4 novembre 2026 au soir, le Crédit Mutuel Arkéa (siège près de Brest, fédérations de Bretagne et du Sud-Ouest) a annoncé avoir été victime d’une cyberattaque ayant permis des opérations frauduleuses. Le parquet de Paris avait reçu sa plainte le matin même.
• Le montant : la banque parle d’une estimation provisoire « de l’ordre de 100 millions d’euros ». Le vendredi 6 novembre, Daniel Baal, président de la Confédération nationale du Crédit Mutuel, a confirmé sur France 5 un ordre de grandeur de plus de 100 millions d’euros, et indiqué que la banque en avait « déjà » récupéré « une partie », sans chiffre.
• Le chemin d’entrée, selon la banque : « Les attaquants sont passés par la plateforme d’un de nos prestataires. » Le prestataire n’est pas nommé.
• Le mécanisme, selon la banque : les attaquants ont utilisé un compte propre à la banque pour faire des virements vers d’autres établissements, puis ont converti l’argent en cryptomonnaies sur des plateformes spécialisées.
• Les clients, selon la banque : les comptes des clients de ses fédérations et filiales n’ont pas été utilisés, les avoirs ne sont pas touchés, et aucun vol de données clients n’est signalé. Daniel Baal l’a répété : « aucun compte de particulier n’a été touché ». Conséquence visible : des retards d’exécution de certains virements, et une suspension temporaire des opérations, reprises pour la plupart le lendemain matin.
• Fortuneo (filiale en ligne) : la banque affirme qu’« aucune entrée ne s’est faite par Fortuneo », contrairement à ce qu’avaient écrit certains médias.
• L’enquête : ouverte par la section cybercriminalité du parquet de Paris pour « atteinte à un système de traitement automatisé de données en bande organisée », confiée à l’Office anticybercriminalité (OFAC). La banque dit avoir informé les autorités compétentes et de supervision.

Ce que la presse rapporte, sans confirmation

• 118 millions d’euros (133 millions de dollars), chiffre publié par Le Télégramme. La banque ne le confirme pas, mais en valide « l’ordre de grandeur ».
• Selon des experts interrogés par l’AFP, l’opération aurait pu durer plusieurs heures, voire plusieurs jours. C’est une hypothèse, pas un fait établi.

Ce qu’on ne sait pas

• Qui : aucune revendication à ce stade. Daniel Baal n’a pas pu dire si l’attaque venait de France ou de l’étranger.
• Quel prestataire, quel type de service il fournissait, et s’il travaille pour d’autres banques. C’est la question la plus importante pour le reste du secteur : si la même porte existe ailleurs, le risque n’est pas propre à Arkéa.
• Comment le compte de la banque a pu émettre ces virements : identifiants volés, faille dans la plateforme, abus d’un accès légitime. Rien n’a été publié.
• Combien a été récupéré.

Toute affirmation plus précise que vous lirez dans les jours qui viennent (nom d’un groupe, d’un pays, d’un prestataire) mérite d’être vérifiée à la source avant d’être reprise.

Pourquoi les clients doivent quand même être vigilants

Il n’y a pas, à ce jour, de fuite de données clients annoncée. Le risque est ailleurs : une actualité bancaire très médiatisée est une aubaine pour les escrocs. Ils n’ont besoin d’aucune donnée volée pour envoyer en masse un SMS « Suite à la cyberattaque, votre compte est suspendu, confirmez votre identité » ou pour appeler en se présentant comme le service fraude. La banque elle-même a appelé ses clients à la vigilance face à l’hameçonnage.

Que faire ? (clients du Crédit Mutuel de Bretagne, du Sud-Ouest, de Fortuneo ou d’une autre banque)

1. Ne cliquez sur aucun lien reçu par SMS ou e-mail qui parle de la cyberattaque, d’un compte bloqué ou d’une « mise à jour de sécurité ». Ouvrez l’application de la banque ou tapez son adresse vous-même.
2. Raccrochez si on vous appelle au nom de la banque, du « service fraude » ou de la police pour « sécuriser » vos fonds. Une banque ne vous demande jamais un code reçu par SMS, de valider une opération dans l’application pendant l’appel, ni de faire un virement vers un « compte sécurisé ». Rappelez vous-même le numéro de votre conseiller ou celui inscrit au dos de votre carte.
3. Vérifiez vos opérations dans l’application pendant les prochaines semaines, et activez les notifications de paiement si ce n’est pas fait.
4. Gardez la double authentification de la banque (validation dans l’application) et ne la contournez jamais à la demande d’un tiers.
5. Changer de mot de passe n’est pas indispensable à ce stade, puisqu’aucun vol d’identifiants clients n’est signalé. Si votre mot de passe bancaire sert aussi ailleurs, en revanche, changez-le, pour cette raison-là : un mot de passe ne doit servir qu’à un seul site.
6. Signalez les SMS frauduleux au 33700, les sites et e-mails d’hameçonnage sur cybermalveillance.gouv.fr ; en cas de débit frauduleux de carte, faites opposition, puis signalez-le sur Perceval (service-public.fr).

Que faire ? (entreprises, et pas seulement les banques)

L’attaque est passée par un prestataire et s’est traduite par des virements depuis un compte légitime. Ces deux points concernent toute structure qui paie des fournisseurs.

1. Recensez vos prestataires qui ont un accès à vos systèmes de paiement, à votre banque en ligne, à votre logiciel de comptabilité ou à votre messagerie, et ce que chacun peut faire. Un accès « au cas où » est un accès de trop.
2. Exigez l’authentification forte sur ces accès, et des comptes nominatifs, jamais partagés.
3. Séparez la saisie et la validation des virements, avec un plafond au-delà duquel une deuxième personne valide. Pour un nouveau bénéficiaire ou un changement de RIB, rappelez sur un numéro déjà connu, pas sur celui du message.
4. Surveillez les opérations inhabituelles : nouveaux bénéficiaires, montants ronds, virements hors horaires, vers l’étranger ou vers des plateformes de cryptomonnaies. Demandez à votre banque quelles alertes elle propose.
5. Préparez la réaction : qui appeler à la banque pour bloquer un virement, en combien de temps, et qui porte plainte. La récupération des fonds est une course contre la montre, surtout quand ils passent en cryptomonnaies.
6. Prévenez vos équipes : les fausses alertes « suite à la cyberattaque » vont aussi viser les services comptables.

Pour les réglages de base des comptes et de la messagerie (authentification forte, comptes administrateurs, transferts automatiques), voir Sécuriser Microsoft 365 et Google Workspace : réglages de base. Pour vérifier un e-mail suspect, l’analyseur d’en-têtes montre d’où il vient réellement.

À retenir

• Ce qui est connu : environ 100 millions d’euros détournés depuis un compte de la banque, via un prestataire, une partie récupérée, une enquête ouverte.
• Ce qui ne l’est pas : l’auteur, le prestataire, la méthode exacte.
• Pour les clients, le risque immédiat n’est pas la fuite de données, c’est l’hameçonnage opportuniste. Ne rien valider à la demande d’un appelant.

Sources

• AFP via Boursorama, 4 novembre 2026 : Crédit Mutuel Arkéa victime d’une cyberattaque, enquête ouverte
• AFP via Boursorama, 5 novembre 2026 : les questions en suspens après la cyberattaque
• Sud Radio (AFP), 6 novembre 2026 : Arkéa a récupéré une partie des fonds
• Cybermalveillance.gouv.fr : assistance et signalement