Cyberattaque au Crédit Mutuel Arkéa et Fortuneo : opérations frauduleuses confirmées, 118 millions non confirmés

Le communiqué du 4 novembre 2026, que la banque situe à 13 h, est court. Le Crédit Mutuel Arkéa annonce avoir été « victime d'une attaque ayant permis la réalisation d'opérations frauduleuses ». L'incident est présenté comme clos et maîtrisé. Les opérations reprenaient progressivement dans la matinée, après des vérifications et des mesures de sécurité renforcées. La banque écrit que cela « n'entraîne aucune conséquence » sur les avoirs des clients de ses fédérations et de ses filiales. Le seul effet décrit pour eux est « une exécution différée de certaines opérations de virement ».

Une page de précisions, publiée ensuite le même jour, répond aux questions. C'est elle qui dit d'où l'argent est parti, ce que Fortuneo n'a pas été, et ce que le chiffre de 118 millions d'euros n'est pas.

Ce que la banque confirme

Les attaquants « ont utilisé le compte propre de Crédit Mutuel Arkéa pour réaliser des transactions vers d'autres acteurs bancaires ». Un compte propre, dans cette phrase, est un compte de la banque elle-même, celui avec lequel le groupe fait ses propres opérations. Ce n'est pas le compte courant d'un particulier, ni le livret d'un sociétaire.

La banque écrit que ces autres acteurs bancaires leur ont « ensuite potentiellement permis de convertir cet argent en crypto monnaie via des plateformes spécialisées ». Une cryptomonnaie est un avoir numérique, échangé sur des plateformes spécialisées, dont le cours n'est pas celui d'un compte en euros. Le mot « potentiellement » est dans le texte. La banque ne nomme aucune plateforme. Elle ne publie pas la liste des virements.

Elle ajoute : « Ils ne sont donc pas passés par des comptes de clients de ses fédérations ni de ses filiales. » L'incident, écrit-elle, « n'entraîne aucune conséquence financière » pour les clients. Dès l'identification de l'attaque, les équipes ont activé les dispositifs de sécurité « pour contenir l'incident et empêcher tout nouveau mouvement frauduleux ».

La page écarte aussi une erreur humaine interne. « Il s'agit d'une attaque sophistiquée venant de l'extérieur, qui est maintenant circonscrite. » Les dispositifs de sécurité auraient identifié « très rapidement » les activités suspectes. Les équipes « travaillent avec les autorités compétentes, judiciaires et policières, pour déterminer précisément l'origine de l'attaque et son modus operandi ». Le modus operandi, c'est la façon dont l'attaque a été menée. Cette façon n'est pas décrite au-delà du compte propre et du prestataire.

Dès la détection, le groupe s'est rapproché « des instances compétentes et de supervision ». Il ne les nomme pas dans ces deux textes. Par précaution, certaines transactions ont été suspendues « afin de sécuriser les opérations et de prévenir tout mouvement frauduleux ». La page de précisions dit que la quasi-totalité des opérations a repris son cours dans la matinée, après des vérifications.

Le lien que la banque confirme est donc celui-ci : une attaque a permis des opérations frauduleuses, et ces opérations sont parties de son propre compte. Le montant exact, le nom du prestataire et le détail du parcours de l'argent ne sont pas dans ces pages.

Fortuneo n'a pas servi de porte d'entrée

La question 2 de la page de précisions est directe : « Les attaquants sont-ils passés par Fortuneo, comme on a pu le lire dans la presse ? » La réponse est non. « Contrairement à ce qui a pu être écrit, aucune "entrée" ne s'est faite par Fortuneo. Les attaquants sont passés par la plateforme d'un de nos prestataires et ont ainsi atteint le Crédit Mutuel Arkéa directement. »

Fortuneo est la banque en ligne du groupe. La banque la cite parce que des articles l'avaient placée au début de l'attaque. Un prestataire, ici, est une entreprise extérieure qui fournit un service ou un outil à la banque. Son nom n'est pas donné. La faille utilisée sur sa plateforme n'est pas décrite.

01net, le 5 novembre à 9 h 44, et BFM Business, le 5 novembre à 6 h 25, reprennent ce démenti. Le titre de plusieurs articles continue pourtant d'associer Fortuneo à l'attaque, parce que la marque est celle que beaucoup de clients connaissent. Le texte de la banque sépare les deux choses : Fortuneo fait partie du groupe, et Fortuneo n'est pas la porte décrite.

01net ajoute un point qui n'est pas dans les deux pages de la banque : l'application mobile serait restée inaccessible une bonne partie de la journée du 4 novembre. Ce que la banque écrit, elle, c'est la suspension temporaire de certaines transactions, puis la reprise.

118 millions d'euros : un ordre de grandeur, pas un montant

Le compte French Breaches a relayé l'affaire. Le chiffre qui circule est de 118 millions d'euros, soit 133 millions de dollars. La banque le reprend elle-même, dans la question 6, pour y répondre : « Nous ne confirmons pas ces informations et pouvons simplement valider l'ordre de grandeur. »

Un ordre de grandeur, ici, veut dire que la banque reconnaît que la somme se situe dans cette zone, sans valider le nombre exact. La suite de la réponse le dit : les équipes évaluent encore les conséquences, « une partie des fonds concernés a pu être bloquée », et d'autres actions visent à les récupérer. « Il est donc encore trop tôt pour communiquer un montant définitif. » La banque ajoute que les montants en jeu « ne sont absolument pas de nature à remettre en cause la santé et la solidité financière » du groupe. Le communiqué de 13 h disait déjà que les montants, « encore en cours d'évaluation », ne remettent pas en cause cette solidité.

Ouest-France, le 4 novembre à 21 h 31, et BFM Business attribuent les 133 millions de dollars et les 118 millions d'euros au Télégramme. Le Monde Informatique, le 4 novembre, fait de même, et rattache l'estimation à ZachXBT, un enquêteur indépendant qui suit des mouvements de cryptomonnaies. Selon ces deux articles, ZachXBT a d'abord signalé des mouvements au-dessus de 106 millions de dollars, puis révisé son estimation au-dessus de 133 millions. L'AFP, dans la dépêche reprise par Ouest-France, par BFM et par TradingView, parle d'un « préjudice estimé à près de 100 millions d'euros ». Les titres vont souvent plus loin que la phrase de la banque. BFM titre « Plus de 100 millions d'euros dérobés ». Le communiqué, lui, ne publie pas de chiffre définitif.

Pour l'échelle, le dernier exercice complet publié par le groupe donne un repère, qui n'est pas le montant de l'attaque. Le 19 février 2026, le Crédit Mutuel Arkéa annonce un résultat net part du groupe de 450 millions d'euros pour 2025, et un ratio CET1 de 17,9 %, « parmi les niveaux les plus élevés en Europe ». Le CET1 est la part des fonds propres les plus solides de la banque, rapportée aux risques qu'elle porte. C'est un indicateur suivi par les superviseurs. Ces deux chiffres décrivent l'année 2025. Ils ne disent pas combien il reste à récupérer cette semaine.

Qui est le Crédit Mutuel Arkéa

Le nom « Crédit Mutuel » ne désigne pas une seule banque. BFM Business écrit que le Crédit Mutuel Arkéa réunit des filiales spécialisées et les fédérations de Bretagne et du Sud-Ouest, qu'il fait partie de la Confédération nationale du Crédit Mutuel, et qu'il garde « une grande indépendance » vis-à-vis de l'organe central d'un ensemble qui compte 19 fédérations. Le Monde Informatique demande de ne pas confondre ce périmètre avec le Crédit Mutuel Alliance Fédérale, qu'il présente comme un ensemble distinct.

Le siège du groupe est près de Brest, dans le Finistère. Ouest-France situe le siège social du Crédit Mutuel de Bretagne au Relecq-Kerhuon. Fin 2025, le communiqué de résultats compte 5,64 millions de clients, dont une progression de 237 000 clients pour la banque en ligne sur l'année, et de 28 000 pour les réseaux de caisses locales du Crédit Mutuel de Bretagne et du Crédit Mutuel du Sud-Ouest. La page du Crédit Mutuel de Bretagne présente cette fédération comme la banque de plus d'un Breton sur deux, avec 1,8 million de sociétaires et de clients et 212 caisses locales. Cette page ne date pas ces chiffres.

Un relevé qui porte seulement les mots « Crédit Mutuel » ne suffit donc pas à dire que ce communiqué concerne ce compte. Les enseignes citées par les textes lus sont le Crédit Mutuel de Bretagne, le Crédit Mutuel du Sud-Ouest, Fortuneo, et le groupe Crédit Mutuel Arkéa. Un compte ouvert dans une autre fédération du Crédit Mutuel n'est pas celui dont parlent ces deux communiqués.

L'enquête, et ce qui n'est pas établi

Le 4 novembre au soir, le parquet de Paris, sollicité par l'AFP, indique qu'une enquête est ouverte. La section cybercriminalité a été « destinataire » mercredi matin « d'une plainte » du groupe et « a immédiatement ouvert une enquête ». Les faits visés sont une « atteinte à un système de traitement automatisé de données en bande organisée ». Cette formule est une qualification pénale : elle vise l'intrusion dans un système informatique, commise dans le cadre d'un groupe organisé. Ce n'est pas un jugement. Les investigations sont confiées à l'Office anticybercriminalité, abrégé OFAC. Cet office est un service français de police judiciaire. Le même sigle désigne aussi, dans d'autres articles, un bureau américain des sanctions. Ce n'est pas ce bureau-là.

BFM écrit que l'attaque n'a pas été revendiquée à ce stade. On ne peut donc pas dire, à partir des textes lus, s'il s'agit seulement d'un vol ou d'une action menée pour un autre motif. Le nom du prestataire, la faille utilisée et le montant définitif restent non publiés par la banque.

Le parcours détaillé de l'argent vers des cryptomonnaies est, lui, un récit de presse. 01net l'attribue à des enquêteurs et à des médias spécialisés : des virements auraient atterri sur des comptes ouverts avec de fausses identités, les euros auraient été échangés contre des stablecoins (des cryptomonnaies dont le cours est calé sur une monnaie, souvent le dollar), puis une partie des fonds aurait été convertie en une monnaie beaucoup plus difficile à suivre, le Monero. 01net écrit aussi que certaines plateformes, dont Crypto.com selon des informations attribuées à CoinDesk, ont pu bloquer des fonds, et que la banque affirme qu'une partie a pu l'être. La phrase de la banque s'arrête à cette possibilité. Elle ne confirme pas les noms de plateformes, ni les montants intermédiaires, ni la conversion finale.

Ce que ça change pour un client

Pour un client du réseau ou de Fortuneo, la banque répète : « Aucun » impact sur les avoirs. Le changement concret qu'elle décrit est un virement parti ou arrivé plus tard que prévu, le temps de la suspension. Si l'argent attendu apparaît ensuite sur le compte, cela correspond à ce que le communiqué explique. Si une ligne de débit n'a pas été faite par le titulaire du compte, cela ne correspond pas à ce que la banque décrit, et le geste n'est plus d'attendre.

L'autre changement, celui que la banque met en avant pour les particuliers, est l'hameçonnage. L'hameçonnage, souvent appelé phishing, est un message, un SMS ou un appel qui imite la banque pour obtenir un secret, ou pour faire valider une opération. Le communiqué prévient : « Suite à cette attaque, des tentatives d'hameçonnage (phishing) sont possibles. » Il demande de ne jamais communiquer ses informations personnelles et bancaires : identifiant, mot de passe, numéro de carte bancaire, code de validation reçu par SMS. En cas de doute, « contactez directement votre conseiller bancaire pour confirmer le message que vous avez reçu ».

La question 7 précise le sens de cet avertissement. Il ne signifie pas que des données de clients ont été copiées. « Dans le contexte d'attaques de cette nature, il est fréquent d'observer une recrudescence des tentatives de phishing. » L'appel à la vigilance est présenté comme préventif. BFM le formule ainsi : ce genre d'événement peut susciter une deuxième vague d'arnaques, menée par des personnes qui profitent de l'inquiétude, sans lien nécessaire avec les auteurs de l'attaque. Un appel qui cite le nom de la banque et « la cyberattaque » n'est donc pas, à lui seul, un appel de la banque.

Les deux textes ne demandent pas aux clients de changer de carte, ni de mot de passe, ni de compte. Ils ne publient pas de liste de personnes concernées. Ils ne décrivent pas un fichier de clients emporté.

Que faire

Le bon réflexe commence par le canal, pas par le message reçu. L'application ou le site se rouvrent depuis l'icône déjà installée, ou en tapant l'adresse connue. Un lien reçu par SMS ou par courriel, même s'il cite Arkéa, Fortuneo ou « le service fraude », n'est pas ce canal. Le numéro à composer est celui déjà inscrit sur la carte, dans le contrat ou dans l'application. Ce n'est pas le numéro affiché par l'appel, ni celui écrit dans le SMS.

Sur le compte, deux situations se distinguent. Un virement qui tarde, puis qui passe, est l'effet que la banque a décrit pour le 4 novembre. Une opération que le titulaire ne reconnaît pas est une autre situation : elle se signale à la banque par le canal habituel, sans rappeler le numéro du message.

Aucune opération ne se valide parce qu'un interlocuteur le demande au téléphone, « pour annuler », « pour sécuriser » ou « pour bloquer la cyberattaque ». Le code reçu par SMS, la notification dans l'application et le mot de passe servent à autoriser un paiement. Les donner, ou appuyer sur valider pendant l'appel, peut transformer l'opération en ordre donné par le client. Service-Public, le 2 novembre 2026, le rappelle à propos d'un arrêt de la Cour de justice de l'Union européenne du 15 octobre 2026. Pour une opération non autorisée, c'est-à-dire une opération à laquelle le client n'a pas consenti, la banque doit rembourser immédiatement, au plus tard à la fin du jour ouvrable suivant. Une négligence grave du client ne suffit pas, selon cet arrêt tel que Service-Public le présente, à retarder ce remboursement. La banque ne peut refuser que si elle soupçonne sérieusement une fraude du client, et si elle le signale par écrit à l'autorité nationale. Ensuite seulement, elle peut aller devant un juge pour tenter de prouver la négligence. Le même article écrit que cet arrêt ne tranche pas les virements que la victime a elle-même ordonnés, sous la pression d'un faux conseiller. Ces fraudes, dites « autorisées », restent hors de son champ. C'est la raison pratique de ne pas valider à distance.

Si le débit inconnu est un paiement par carte, Service-Public décrit trois gestes, sur une page vérifiée le 13 février 2026. D'abord l'opposition, c'est-à-dire le blocage de la carte, auprès de la banque ou du serveur interbancaire, le 0 892 705 705, ouvert 7 jours sur 7 et 24 heures sur 24. Ce numéro est un numéro violet, ou majoré : l'appel coûte le prix d'un appel vers un fixe, plus un service payant. Un numéro d'enregistrement est remis. Il date la demande. L'opposition peut être payante, selon la banque et les assurances du contrat. Ensuite, il est conseillé de déclarer la fraude. Pour un achat en ligne fait sans le titulaire, alors que la carte est toujours en sa possession, le signalement en ligne s'appelle Perceval. Il se fait sur service-public.fr, avec FranceConnect, le numéro d'opposition, le numéro de carte et les relevés. La demande est traitée par la gendarmerie. Le récépissé se transmet à la banque. Enfin, le remboursement se demande à la banque : les sommes débitées, et les agios, c'est-à-dire les frais d'incident. Le remboursement doit intervenir immédiatement, au plus tard à la fin du premier jour ouvrable suivant la réception de la contestation. Une opposition tardive peut conduire au refus. Un paiement frauduleux ne peut pas être remboursé s'il date de plus de 13 mois. Hors de l'Espace économique européen, ce délai est de 70 jours. En cas de refus, le recours décrit est le médiateur bancaire, puis la justice.

Si l'opération inconnue est un virement, la page Service-Public sur le virement, vérifiée le 1er septembre 2026, fixe le délai de signalement. Il est de 13 mois après le débit lorsque la banque du bénéficiaire est dans l'Union européenne ou l'Espace économique européen. Il est de 70 jours en dehors, et le contrat peut l'allonger sans dépasser 120 jours. Ces délais ne jouent pas si la banque n'a pas mis le relevé à disposition. La contestation se fait par courrier. Si elle n'aboutit pas, le médiateur bancaire, puis le juge civil, dans les 5 ans à compter de l'opération.

17Cyber est le guichet en ligne de la police nationale, de la gendarmerie nationale et de Cybermalveillance.gouv.fr. La page de la police nationale, publiée le 18 décembre 2024, le décrit comme gratuit, disponible 24 heures sur 24. Un questionnaire aide à nommer le problème et donne des conseils. Pour des opérations anormales sur un compte, l'exemple publié est celui-ci : faire opposition, demander le remboursement à la banque, signaler la fraude sur Perceval, déposer plainte, et vérifier que les autres comptes en ligne n'ont pas été atteints. La page d'accueil de 17Cyber précise qu'une urgence en cours se signale au 17 ou au 112, ou par SMS au 114 en cas de difficulté à parler ou à entendre. 17Cyber guide. Il ne remplace pas l'appel à la banque par le numéro déjà connu.

À retenir, le 5 novembre : la banque confirme des opérations frauduleuses parties de son compte propre, après le passage par un prestataire qu'elle ne nomme pas. Elle dément une entrée par Fortuneo. Elle ne confirme pas 118 millions d'euros, et elle en valide l'ordre de grandeur. Elle écrit que les avoirs des clients ne sont pas touchés, et que certains virements ont été exécutés plus tard. Le geste utile, pour un client, est de regarder son compte depuis l'application habituelle, et de ne rien valider à la demande d'un appel ou d'un SMS.