Le Crédit Mutuel Arkéa a été victime d’une cyberattaque ayant permis le détournement de fonds pour un montant proche de 100 millions d’euros, selon son président Julien Carmona. Le dirigeant décrit une opération « inédite en termes de sophistication » et de technicité, sans fournir d’élément permettant d’identifier les auteurs ou leur éventuelle motivation.
L’établissement bancaire, basé près de Brest, affirme avoir détecté les premiers indices le 27 octobre. Ils concernaient le système d’information d’un prestataire externe, dont l’environnement avait été compromis. Arkéa indique avoir rapidement interrompu la liaison entre les deux systèmes et effectué les déclarations auprès des autorités compétentes. À ce stade, la banque estime toutefois que cette première coupure n’a pas empêché les attaquants d’utiliser des informations récupérées auparavant chez le prestataire pour atteindre ensuite son propre système.
« On peut parler, en l’état de nos informations, d’un groupe criminel très bien organisé, très bien équipé, très bien outillé. »
— Julien Carmona, président du Crédit Mutuel Arkéa
Des paiements instantanés vers l’extérieur
D’après les explications fournies par Julien Carmona, les auteurs ont créé de faux IBAN — les identifiants internationaux des comptes bancaires — au nom de Fortuneo, une filiale du groupe. Ces coordonnées ont ensuite été utilisées pour faire partir des ordres de paiement depuis le compte propre du Crédit Mutuel Arkéa vers des comptes externes. L’opération s’est appuyée sur les systèmes de paiement instantané, qui permettent d’exécuter rapidement les transferts.
Le président du groupe évoque un « braquage d’un genre nouveau » et estime que l’opération a très probablement été facilitée par des intelligences artificielles avancées. Cette appréciation est présentée comme une hypothèse issue de l’analyse de l’établissement, et non comme une conclusion publique d’une enquête achevée. Arkéa précise par ailleurs ne disposer d’aucune information sur les attaquants et n’avoir reçu aucune revendication.
Une perte importante, mais jugée absorbable par la banque
Le montant évoqué représente environ 1 % des fonds propres du groupe, soit l’équivalent d’un trimestre de résultats, selon le dirigeant. Julien Carmona assure néanmoins que la solidité de l’établissement n’est pas affectée. Cette déclaration ne modifie pas la nature de l’incident : il s’agit d’une attaque frauduleuse ayant abouti à un transfert de fonds, après une compromission initiale chez un fournisseur.
| Élément | Information communiquée |
|---|---|
| Détection des indices | 27 octobre |
| Montant estimé | Environ 100 millions d’euros |
| Point d’entrée décrit | Système compromis d’un prestataire externe |
| Mécanisme de transfert | Paiements instantanés vers l’extérieur |
Une enquête encore en cours
Le groupe criminel supposé n’a pas été nommé et aucune attribution à un État ou à une organisation connue n’est avancée dans les éléments communiqués. Les déclarations du président s’inscrivent dans une enquête portant à la fois sur l’intrusion chez le prestataire et sur la manière dont des informations ont ensuite pu être exploitées pour accéder au système bancaire. L’affaire illustre le risque que représente la compromission d’un fournisseur connecté aux infrastructures d’une entreprise financière, sans permettre à elle seule de conclure à une défaillance particulière de celui-ci.
- Le Crédit Mutuel Arkéa affirme avoir coupé l’accès avec le prestataire compromis dès la découverte de l’intrusion.
- La banque dit avoir alerté les autorités compétentes.
- Aucune revendication ni identité d’attaquant n’a été communiquée.
