La première banque française à subir une cyberattaque réussie
Julien Carmona, patron de Crédit Mutuel Arkéa, a lui-même qualifié l'événement de « douteux honneur » : son groupe est la première banque française victime d'une cyberattaque réussie. Plus de 133 millions d'euros ont été détournés en quelques heures début novembre, par un groupe criminel décrit comme très organisé et très probablement assisté par l'intelligence artificielle.
L'attaque s'est déroulée en trois temps. Le 27 octobre, la banque repère une intrusion chez un prestataire externe et coupe immédiatement son accès. Malgré cette réaction rapide, le mal est déjà en marche. Le 1er novembre, de faux IBAN au nom de Fortuneo, la filiale en ligne du groupe, servent à déclencher des virements instantanés depuis le compte propre du groupe. Le 3 novembre, l'ampleur réelle de la fraude apparaît : tous les accès externes sont coupés en urgence.
Une perte de 100 millions d'euros, soit 1% des fonds propres
La perte nette avoisine 100 millions d'euros, ce qui représente environ 1% des fonds propres de Crédit Mutuel Arkéa. Un niveau qui n'engage pas la solvabilité de l'établissement, mais qui constitue un signal d'alarme sérieux pour l'ensemble du secteur bancaire français.
La banque précise qu'une partie des fonds a été gelée et qu'elle espère en récupérer davantage. Le recours aux virements instantanés, par nature irrévocables une fois exécutés, complique considérablement toute procédure de recouvrement. C'est précisément ce mécanisme que les attaquants ont exploité : la rapidité du virement instantané laisse peu de fenêtre d'intervention aux équipes de sécurité.
Pourquoi c'est important pour vos actifs
L'attaque contre Crédit Mutuel Arkéa illustre un risque systémique croissant pour les établissements financiers français : la combinaison d'une compromission de prestataire, de l'usurpation d'identifiants bancaires et de l'automatisation permise par l'IA permet désormais de vider des comptes à une vitesse que les dispositifs de contrôle traditionnels ne peuvent pas absorber. Pour les clients de Fortuneo et du groupe Arkéa, la question de la robustesse des procédures de vérification des IBAN et des plafonds de virements instantanés devient centrale. Pour le régulateur, cet épisode renforce la pression sur les banques françaises à durcir les exigences de sécurité imposées à leurs prestataires tiers, un angle que l'ACPR et l'AMF suivent de près dans le cadre des obligations DORA, entrées en vigueur en janvier 2025.
