Le mercredi 4 novembre 2026 à 14:00
Le Crédit Mutuel Arkéa a annoncé ce mercredi 4 novembre avoir été victime d'une attaque informatique ayant permis "la réalisation d'opérations frauduleuses". Le groupe bancaire, dont le siège est au Relecq-Kerhuon (Finistère), n'a pas confirmé le montant dérobé. Selon Le Télégramme, plus de 133 millions de dollars (environ 118 millions d'euros) ont été détournés. D'après le journaliste spécialisé Grégory Raymond, c'est la banque en ligne du groupe, Fortuneo, qui a été visée.
Dans un communiqué, Arkéa a assuré que "cet incident est aujourd'hui maîtrisé" et qu'il n'a "aucune conséquence financière" pour ses clients. "Dès la détection de cette attaque, nos équipes se sont immédiatement mobilisées et ont pris, par mesure de précaution, la décision de suspendre temporairement certaines transactions afin de sécuriser les opérations et de prévenir tout nouveau mouvement frauduleux", a précisé la banque. Ce mercredi, une partie des virements restait impossible dans ses applications. Selon Le Télégramme, la Banque de France a été informée de la situation. D'après Le Figaro, les pirates auraient ciblé les fonds propres de Fortuneo, et non l'argent déposé par les clients.
L'affaire a été révélée par ZachXBT, un enquêteur américain qui travaille sous pseudonyme. Il est reconnu pour sa capacité à remonter la trace des fonds sur les blockchains. Lundi, il a indiqué sur la messagerie Telegram qu'une "entité de l'Union européenne" aurait perdu 106 millions de dollars. Le lendemain, il a relevé son estimation à plus de 133 millions après avoir repéré de nouveaux retraits. Il a fini par donner le nom de la banque française dans la nuit de mardi à mercredi.
Des virements «sous le nom de leur choix»
Le mode opératoire commence à se dessiner. Selon Grégory Raymond, qui a détaillé l'affaire sur X, les fraudeurs ont pu émettre des virements depuis Fortuneo en inscrivant eux-mêmes le nom du bénéficiaire. Les fonds ont été envoyés vers des comptes ouverts sous de fausses identités sur des plateformes d'échange de cryptomonnaies, notamment Kraken. Ces plateformes n'auraient donc pas été piratées : ce sont les fraudeurs qui ont créé les comptes, puis les ont alimentés avec les virements frauduleux. Kraken a d'ailleurs assuré que ses systèmes de sécurité n'avaient pas été compromis. Une fois sur place, l'argent a été converti en cryptomonnaies puis dispersé. Les premiers retraits depuis ces plateformes ont eu lieu le 1er novembre, et les opérations se seraient poursuivies pendant plusieurs jours.
Exclusif
Fraude chez Crédit Mutuel Arkéa (@cmarkea) : comment un réseau a vidé les comptes de sa banque en ligne @Fortuneo
En croisant le témoignage de nouvelles sources avec ce que montrent les analyses onchain, on peut désormais reconstituer, étape après étape, le chemin qu’a suivi l’argent.
Les montants initialement évoqués (l'équivalent de 133 millions de dollars) pourraient être beaucoup plus importants.
----
Étape 1 : la sortie des fonds de la banque
Selon mes informations, c'est plus exactement @Fortuneo (la banque en ligne du groupe) qui a été victime de l'attaque.
J'avais contacté hier le groupe Crédit Mutuel Arkea, et celui-ci n'avait ni confirmé, ni démenti.
Selon les premières constatations auprès de mes sources, les fraudeurs ont pu émettre des virements depuis Fortuneo en fixant eux-mêmes le nom du bénéficiaire.
Cela reviendrait en pratique à pouvoir envoyer des fonds à n’importe quel titulaire de compte dans le monde, sous le nom de leur choix.
Reste à savoir comment ils ont réussi à faire ça.
Une source, intégrée au milieu des hackers et qui suit de près cette affaire, avance deux hypothèses auprès de moi :
- La première serait une compromission des systèmes de paiement de la banque, restée invisible pendant plusieurs jours, un scénario qu’elle n’hésite pas à qualifier d’"apocalyptique" pour la cybersécurité bancaire.
- Mais elle penche plutôt pour une faille humaine en interne.
"Je pense que c’est un humain plutôt que de la cybersécurité", m’a-t-elle expliqué, en évoquant une variante de l’arnaque au président (consistant à usurper l’identité d’un dirigeant pour obtenir quelque chose d’un collaborateur) montée par un réseau francophone.
----
Étape 2 : des comptes crypto ouverts avec de fausses identités
Pendant ce temps, des réseaux spécialisés ont ouvert des comptes sur des plateformes d’échange de cryptos (d'abord @Krakenfx) avec des identités falsifiées assez solides pour passer les procédures de vérification KYC.
"Des structures parfaitement rodées", selon une source.
Chaque virement depuis Fortuneo était ensuite envoyé au nom exact du titulaire du compte crypto ciblé.
De quoi franchir sans encombre les contrôles de concordance entre l’émetteur du virement et le propriétaire du compte.
Ce n’est pas un détail : on ne parlerait donc pas de comptes de la banque piratés sur ces plateformes, mais de comptes créés par les fraudeurs eux-mêmes puis alimentés par des virements frauduleux de Fortuneo.
Ce qui colle avec la position de Kraken, la plateforme ayant assuré que ses systèmes de sécurité n’avaient pas été compromis et qu’aucun compte client n’avait été pris en main par des tiers.
----
Étape 3 : conversion en stablecoins et retraits
Une fois arrivé sur les plateformes, l’argent fiat était converti en stablecoins puis retiré vers des portefeuilles externes, le premier retrait partant de @OKX le 1er novembre à 12h25 UTC et le suivant de Kraken, 44 minutes plus tard.
Le cabinet d’analyse @Bitquery_io a tracé des retraits depuis des comptes chez Kraken, @Cryptocom et OKX
Ça a duré plusieurs jours.
L'enquêteur onchain @ZachXBT avançait d’abord un montant de plus de 106 millions de dollars, avant de relever son estimation au-delà de 133 millions en découvrant 27 millions de retraits supplémentaires, dont une partie effectuée après sa première alerte publique.
D’après ma source, Kraken aurait commencé à geler les fonds dans la nuit de lundi à mardi. Résultat, le réseau se serait rabattu sur d’autres plateformes.
----
Étape 4 : le blanchiment onchain
La suite est allée très vite.
Dans la nuit du 1er au 2 novembre, 63 millions de dollars de stablecoins ont été échangés contre 27 553 ETH via UniswapX.
Les fonds ont ensuite été éparpillés.
Selon ZachXBT, l’auteur les a fait passer par des services d’échange instantané, en a converti une partie en Monero et s’est servi de passerelles entre plusieurs blockchains (il cite WellWallet et Kyrrex parmi les services ayant reçu des transferts, et Wagyu comme voie de conversion vers le Monero).
Or le Monero a justement été conçu pour rendre invisibles l’expéditeur et le destinataire d’une transaction, montant compris.
Autant dire que toute récupération devient extrêmement difficile désormais.
----
Des montants peut-être bien supérieurs
Ces 133 millions ne couvrent que ce qui se voit sur blockchain.
Une source me parle de sommes nettement plus élevées, sorties par des réseaux de décaissement qui ne passent pas par la blockchain (pas de la crypto).
ZachXBT laisse toutefois entendre, lui aussi, que des pertes supplémentaires ont pu transiter par des transactions de gré à gré (OTC), non incluses dans ses estimations.
----
Qui est derrière le réseau ?
ZachXBT a écarté la piste du groupe Lazarus et, plus largement, celle de la Corée du Nord, pourtant la première à laquelle on pense dès que des sommes pareilles s’évaporent onchain.
Le profil est ici différent.
Selon une source, il faudrait plutôt regarder du côté des réseaux franco-israéliens installés en Israël.
Ce sont eux qui ont industrialisé l’arnaque au président au cours des années 2010, au point d’en faire une spécialité bien identifiée des enquêteurs français, et leur savoir-faire colle assez bien avec ce qu’on observe à chaque étape du circuit.
L’usurpation d’identité, d’abord. Puis cette capacité à faire passer des ordres de virement pour parfaitement légitimes, qui est au cœur de leur méthode depuis le début.
Ce qui rejoint la variante de l’arnaque au président évoquée plus haut. Et les structures rodées capables d’ouvrir des comptes sous fausse identité chez Kraken ou ailleurs.
----
Ce qui reste inexpliqué
Comment les attaquants ont-ils eu accès aux fonds ?
Quel est le montant total du préjudice ?
Les fonds appartenaient-ils à la banque (trésorerie, liquidités) ou aux clients ?
Pourquoi les seuils d'alerte de la banque n'ont pas été activés pendant ces 2 à 3 jours ?
L'incident est-il encore en cours ?
On l'ignore pour le moment, et le groupe Crédit Mutuel Arkéa n’a pas encore communiqué (je rajouterai leur déclaration ci-dessous lorsqu'elle arrivera).
Selon mes sources, l’opération avait été repérée depuis plusieurs jours dans les réseaux de blanchiment internationaux alors qu’au sein même du groupe bancaire, elle semblait passer complètement inaperçue pour la plupart des gens que j'ai pu contacter.
La question centrale reste entière : comment des virements de cette ampleur ont-ils pu sortir pendant plusieurs jours sans déclencher d’alerte ?
Cette affaire semble d'ores et déjà tristement historique pour l'industrie bancaire.
— Grégory Raymond (@gregory_raymond) November 4, 2026
La piste d'une arnaque au président
Reste à comprendre comment les fraudeurs ont pu prendre la main sur ces virements. Une source citée par Grégory Raymond privilégie une faille humaine au sein de l'entreprise. "Je pense que c'est un humain plutôt que de la cybersécurité", a-t-elle confié au journaliste. Elle évoque une variante de l'arnaque au président, une escroquerie où les auteurs se font passer pour un dirigeant afin d'obtenir des fonds ou des informations d'un salarié. Selon une autre source du journaliste, il faudrait regarder du côté des réseaux franco-israéliens qui ont industrialisé ce type d'escroquerie dans les années 2010. ZachXBT a de son côté écarté la piste du groupe Lazarus, des pirates informatiques liés à la Corée du Nord.
Le préjudice pourrait être encore plus lourd. Selon Grégory Raymond, les 133 millions de dollars ne correspondent qu'aux mouvements visibles sur la blockchain. D'autres sommes auraient pu sortir par des circuits qui ne passent pas par les cryptomonnaies. Une question reste sans réponse : comment des virements d'une telle ampleur ont-ils pu être effectués pendant plusieurs jours sans déclencher d'alerte ?
Le groupe, qui réunit les fédérations Crédit Mutuel de Bretagne et Crédit Mutuel du Sud-Ouest, a les moyens d'absorber ces pertes. Selon Le Figaro, ses fonds propres s'élèvent à 10 milliards d'euros.