Le Crédit Mutuel Arkéa a reconnu mercredi 4 novembre avoir été victime d’une cyberattaque qui a fait sortir de l’ordre de 100 millions d’euros de ses propres comptes. Les pirates ne sont pas entrés par la banque elle-même, mais par la plateforme d’un de ses prestataires. Pour les directions financières, l’affaire pose une question très concrète : qui, parmi nos fournisseurs, a la main sur nos flux de paiement ?
- La banque évoque une attaque « de l’ordre de 100 millions d’euros », selon une estimation provisoire.
- Les attaquants sont passés par la plateforme d’un prestataire, dont le nom n’a pas été rendu public.
- Les fonds ont été virés vers d’autres banques puis convertis en cryptomonnaies.
- Le parquet de Paris a ouvert une enquête, confiée à l’Office anticybercriminalité.
Plan de l'article
Que s’est-il passé chez Arkéa ? #
Dans un communiqué relayé par BFM, le groupe bancaire breton indique avoir été la cible d’une cyberattaque d’un montant de l’ordre de 100 millions d’euros, selon une estimation provisoire. La presse régionale a avancé le chiffre de 133 millions de dollars, soit environ 118 millions d’euros. Arkéa ne l’a pas confirmé, mais en a validé l’ordre de grandeur.
À lire Dépôts à terme des entreprises : la rémunération des placements longs grimpe à 3,45 %
Le mode opératoire est inhabituel. Selon la banque, les pirates « ont utilisé le compte propre de Crédit Mutuel Arkéa pour réaliser des transactions vers d’autres acteurs bancaires ». L’argent a ensuite été converti en cryptomonnaies via des plateformes spécialisées. Ce sont donc les fonds de la banque, et non ceux des clients, qui ont été visés.
Arkéa écarte une erreur humaine en interne et parle d’une « attaque sophistiquée venant de l’extérieur ». Elle précise qu’aucune entrée ne s’est faite par sa banque en ligne Fortuneo : les attaquants sont passés par la plateforme d’un prestataire.
Le prestataire, maillon faible de la chaîne de paiement #
C’est le point qui doit retenir l’attention des dirigeants. Les attaquants ont visé un fournisseur, dont l’identité n’a pas été révélée, plutôt que les systèmes de la banque. Comme le résume 01net, ni la faille exploitée ni le nom du prestataire ne sont connus à ce stade.
Une banque dispose pourtant d’équipes de sécurité et de contrôles bien plus étoffés que la plupart des PME. Si un prestataire a pu servir de porte d’entrée chez elle, la question se pose avec encore plus d’acuité dans une entreprise qui confie sa paie, sa facturation ou son logiciel de trésorerie à des outils externes.
Pourquoi les virements n’ont-ils pas été bloqués plus tôt ? #
C’est l’une des zones d’ombre de l’enquête. D’après 01net, des enquêteurs indépendants, dont le spécialiste ZachXBT, estiment que le vol s’est étalé sur plusieurs jours. Celui-ci aurait donné l’alerte dès le week-end, avant l’annonce officielle de la banque.
Une fois les euros sortis, la course contre la montre s’est jouée sur les plateformes crypto. Selon le cabinet Bitquery cité par 01net, plus de 108 millions de dollars en USDC, un stablecoin adossé au dollar, ont été retirés des plateformes. Une partie a ensuite été convertie en Monero, une cryptomonnaie très difficile à tracer. Arkéa indique qu’« une partie des fonds concernés a pu être bloquée » et que d’autres actions sont en cours pour les recouvrer.
Quelles conséquences pour les clients et pour la banque ? #
Le groupe assure que l’incident n’a aucune conséquence sur les avoirs de ses clients, mais qu’il a entraîné une exécution différée de certains virements. Par précaution, certaines transactions ont été suspendues mercredi, avant une reprise de la quasi-totalité des opérations dans la matinée.
Arkéa affirme aussi que les montants en jeu ne sont pas de nature à remettre en cause sa solidité financière. Pour mesurer l’enjeu, BFM rappelle que le groupe a dégagé un bénéfice net de 230 millions d’euros au premier semestre. La banque a informé les autorités de supervision, et la section cybercriminalité du parquet de Paris enquête pour « atteinte à un système de traitement automatisé de données en bande organisée ».
Ce qu’une direction financière peut vérifier dès maintenant #
L’affaire n’appelle pas de panique, mais un inventaire. Premier chantier : la liste des prestataires qui disposent d’un accès, même indirect, aux comptes bancaires ou aux outils de paiement. Logiciel de trésorerie, plateforme de paie, solution d’affacturage, expert-comptable : chacun est un point d’entrée possible.
Deuxième chantier : les règles de validation. La double signature sur les virements importants, la vérification par téléphone de tout changement de coordonnées bancaires d’un fournisseur, et des plafonds par utilisateur limitent les dégâts si un accès est compromis.
Troisième chantier : la détection. Le cas Arkéa montre que des mouvements anormaux peuvent durer plusieurs jours avant d’être stoppés. Un rapprochement bancaire quotidien et des alertes sur les virements inhabituels permettent de réagir plus vite.
Enfin, la banque a mis en garde contre une deuxième vague : des tentatives d’hameçonnage surfant sur l’inquiétude des clients sont possibles. Un courriel ou un appel invoquant la cyberattaque pour faire valider une opération doit être traité avec la plus grande prudence.
À lire Accès au crédit des PME au troisième trimestre : la trésorerie plus difficile à obtenir
Questions fréquentes #
Combien d’argent a été dérobé au Crédit Mutuel Arkéa ?
La banque évoque un montant de l’ordre de 100 millions d’euros selon une estimation provisoire. Le chiffre de 118 millions d’euros circule dans la presse, sans confirmation officielle.
Les comptes des clients sont-ils touchés ?
Non, selon la banque. Les pirates ont utilisé le compte propre du groupe, et l’incident n’a entraîné qu’un retard sur certains virements.
Qui enquête sur la cyberattaque ?
La section cybercriminalité du parquet de Paris, qui a confié les investigations à l’Office anticybercriminalité (OFAC).
