Un virement exécuté en différé : pour un client du Crédit Mutuel Arkéa, c’est à peu près tout ce qu’a produit un détournement de plusieurs dizaines de millions d’euros. Le groupe mutualiste breton a confirmé le 4 novembre 2026 avoir été visé par « une attaque sophistiquée venant de l’extérieur », qui a permis des opérations qu’il qualifie de frauduleuses depuis son propre compte vers d’autres établissements bancaires, avant conversion des fonds en cryptomonnaies.
L’estimation la plus reprise, 133 millions de dollars soit environ 118 millions d’euros, ne vient pas de la banque mais de ZachXBT, enquêteur indépendant spécialisé dans les flux en cryptomonnaies, qui avait signalé publiquement l’opération le 2 novembre avant de nommer l’établissement deux jours plus tard. Arkéa ne confirme pas ce chiffre et en valide seulement « l’ordre de grandeur ». Nous nous en tenons donc à cet ordre de grandeur.
Que s’est-il passé dans la cyberattaque du Crédit Mutuel Arkéa ?
L’entrée s’est faite par « la plateforme d’un de nos prestataires », indique la banque, qui écarte l’hypothèse d’une erreur humaine et toute intrusion par sa filiale en ligne Fortuneo. Les attaquants ont utilisé le compte propre d’Arkéa pour émettre des transactions vers d’autres acteurs bancaires. Le groupe a déposé plainte, le parquet de Paris a ouvert une enquête et l’a confiée à l’Office anticybercriminalité. Une partie des fonds a pu être bloquée, d’autres actions de recouvrement sont en cours. L’incident est présenté comme maîtrisé, avec une reprise progressive de la quasi-totalité des opérations.
Pourquoi vos comptes sont protégés, mais pas votre calendrier
Aucun compte client n’a été débité et la banque ne signale aucun vol de données client : le préjudice porte sur le compte propre du groupe. À l’échelle d’Arkéa, qui a dégagé 230 millions d’euros de résultat net au premier semestre 2026, la somme est absorbable, et la banque juge les montants en cause, « encore en cours d’évaluation », « absolument pas de nature à remettre en cause la santé et la solidité financière du Crédit Mutuel Arkéa ». L’effet concret pour une entreprise cliente est ailleurs : par précaution, des opérations ont été suspendues dès la détection de l’attaque, puis exécutées en différé, la quasi-totalité ne reprenant que dans la matinée du 5 novembre. Une échéance fournisseur, une paie ou un appel de marge s’accommodent mal d’un décalage que personne n’avait annoncé.
Deux réserves s’imposent. La banque communique sur l’absence d’impact pour ses clients, pas sur la part des fonds qu’elle récupérera. Et l’alerte publique est venue d’un tiers : ZachXBT estime qu’à défaut de signalement rapide, plus de 30 millions de dollars ont été blanchis alors qu’ils auraient pu être gelés.
Ce que les dirigeants doivent en retenir
Votre point de faille n’est plus seulement votre poste de travail : c’est la chaîne de paiement de votre banque, dont le maillon exploité ici était lui aussi un prestataire. Gabriel de Brosses, dirigeant du cabinet Tevarua Conseil, cité par Franceinfo, y voit « une attaque à l’ampleur et aux dommages inédits », avant d’ajouter que « normalement, cela n’arrive pas aux banques ».
Le délai d’exécution d’un virement cesse donc d’être un détail technique pour devenir une hypothèse de trésorerie à documenter : un second canal de paiement ailleurs, un coussin de liquidité sur les échéances critiques, une clause qui dit qui porte le retard.
Si vos virements de la semaine prochaine partaient avec 48 heures de retard, lesquels de vos engagements sauteraient en premier ?
