Ce n'est pas un hameçonnage de masse ni une fuite de données : c'est un vol, au sens le plus classique du terme, commis contre la banque elle-même. Selon plusieurs médias spécialisés, des pirates ont réussi à faire sortir jusqu'à 133 millions de dollars (environ 118 millions d'euros) du Crédit Mutuel Arkéa, un groupe coopératif français basé à Brest. Les clients, assure l'établissement, n'ont rien perdu.
Ce qui s'est passé, jour par jour
L'affaire n'a pas commencé par un communiqué de la banque, mais par une alerte venue de la chaîne de blocs. Selon TechRadar, l'enquêteur en cryptomonnaies ZachXBT a signalé le 2 novembre qu'une entité de l'Union européenne aurait perdu plus de 106 millions de dollars la veille, retirés de plusieurs comptes de plateformes d'échange centralisées sous forme de stablecoins USDC et USDT. Le lendemain, il ajoutait 27 millions de dollars, pour un total supérieur à 133 millions.
La banque n'a confirmé l'attaque que le 4 novembre. Selon Help Net Security, elle a alors indiqué avoir été visée par une attaque ayant permis des transactions frauduleuses, avoir informé les autorités et suspendu temporairement certaines opérations pour empêcher d'autres virements. Le site spécialisé 2-Spyware ajoute que l'application mobile affichait une erreur à la connexion depuis le matin du 4 novembre, ce qui explique le volet « systèmes mis hors service » du titre.
Sur le montant, la prudence s'impose. Interrogée sur les 118 millions d'euros, la banque a répondu, d'après BleepingComputer, qu'elle ne confirmait pas ce chiffre et pouvait « simplement valider l'ordre de grandeur ». Le Télégramme avance de son côté environ 100 millions d'euros, et l'AFP, reprise par Boursorama, parle d'une estimation provisoire de cet ordre.
Une attaque par la bande : le sous-traitant
C'est le point technique le plus instructif. Selon la FAQ de la banque, rapportée par TechRadar, les attaquants sont passés par la plateforme d'un prestataire de services et ont ainsi atteint directement le Crédit Mutuel Arkéa. L'établissement n'a pas nommé ce prestataire.
Une fois à l'intérieur, les pirates n'ont pas touché aux comptes des clients. D'après Presse-Citron, ils ont utilisé le compte propre de la banque pour effectuer des virements vers d'autres établissements, ce qui leur a potentiellement permis de convertir l'argent en cryptomonnaie. Le Figaro, cité par le même média, précise que les fonds propres de la banque, et non les dépôts, étaient visés.
La banque écarte deux hypothèses. Elle exclut l'erreur humaine et décrit, selon Presse-Citron, une attaque sophistiquée venue de l'extérieur. Elle rejette aussi la piste de Fortuneo, sa filiale en ligne, que le journaliste Grégory Raymond avait d'abord évoquée. Selon Help Net Security, celui-ci affirmait que les fraudeurs avaient pu lancer des virements en choisissant eux-mêmes le nom du bénéficiaire. Cette version n'est pas établie : les deux récits divergent et l'enquête devra trancher.
Le blanchiment : de l'euro à la cryptomonnaie en quelques heures
La seconde moitié de l'opération est celle où la blockchain devient un outil pour les deux camps. Selon Help Net Security, l'argent a été retiré en stablecoins, échangé contre de l'ether, passé par des plateformes d'échange instantané, puis en partie converti en Monero, une cryptomonnaie conçue pour brouiller les traces. The Block ajoute que les fonds ont aussi été transférés d'une chaîne à l'autre.
Pour que les virements en euros atterrissent sur des plateformes d'échange, il fallait des comptes ouverts à l'avance. Selon Help Net Security, la source de Grégory Raymond évoque des réseaux utilisant de fausses identités, avec des virements envoyés au nom exact du titulaire du compte pour passer les contrôles de concordance. Une source anonyme citée par Presse-Citron résume la mécanique : ce n'est pas de la cryptomonnaie qui a été volée, mais de la monnaie traditionnelle, ensuite changée pour faciliter le blanchiment.
Cette préparation suggère une opération organisée. ZachXBT, rapporte Help Net Security, se dit convaincu qu'il ne s'agit pas du groupe nord-coréen Lazarus, au vu de plusieurs indicateurs de blanchiment. Le président de la Confédération nationale du Crédit Mutuel, Daniel Baal, a déclaré sur France 5 qu'il ne pouvait dire si l'attaque était française ou étrangère, selon l'AFP.
Un délai qui a coûté cher
L'enquêteur reproche à la banque son silence initial. Selon Help Net Security, il estime qu'une absence de divulgation en bonne et due forme a permis de blanchir plus de 30 millions de dollars qui auraient pu être gelés par les forces de l'ordre européennes. Il soupçonnait aussi, dit-il, que l'attaque s'était étalée sur plusieurs jours et que le montant réel pouvait être plus élevé si l'on comptait les transactions de gré à gré.
Les plateformes ont réagi. Selon Cointelegraph, Kraken et Crypto.com ont indiqué avoir restreint des comptes ou bloqué des fonds liés au vol présumé, tout en affirmant que leurs propres plateformes restaient sécurisées. Vendredi, Daniel Baal a affirmé que la banque avait récupéré « une partie » des sommes, sans préciser le montant, rapporte l'AFP.
Ce que dit l'enquête, ce que dit la banque
Une enquête a été ouverte. Selon Security Affairs, c'est le parquet de Paris, par sa section cybercriminalité, qui l'a ouverte après une plainte de la banque, la police spécialisée menant les investigations. L'AFP précise que les investigations ont été confiées à l'Office anticybercriminalité.
Sur le plan financier, le groupe se veut rassurant. Il avait dégagé, selon Boursorama, un bénéfice net de 230 millions d'euros sur les six premiers mois de l'année. Selon The Block, la banque affirme que les montants en jeu ne sont en rien de nature à compromettre sa solidité financière. L'établissement gère 211,5 milliards d'euros d'actifs et compte plus de 5,8 millions de clients, d'après Help Net Security.
La banque met aussi en garde contre une deuxième vague : le phishing opportuniste. Elle appelle ses clients à ne jamais communiquer mots de passe, numéros de carte ou codes reçus par SMS.
Pourquoi c'est important
Le cas est inhabituel. Reuters, cité par Security Affairs, parle d'un cas rare de cybercriminels parvenant à voler une banque généraliste. Les grands casses de la dernière décennie ont surtout visé des plateformes de cryptomonnaies, et l'AFP rappelle que l'attaque survient moins d'une semaine après un piratage de Binance dont les actifs touchés sont estimés à 6,3 milliards de dollars. Dans cette comparaison, le butin d'Arkéa est quelque 47 fois plus modeste, mais, comme le note Tech-Insider, la taille n'est pas ce qui compte ici.
Ce qui compte, c'est le chemin emprunté. Le risque lié aux tiers est devenu l'angle mort du secteur : comme le souligne Crypto Briefing, une intrusion par un fournisseur se situe en dehors du périmètre de sécurité direct de la banque, alors que les établissements européens dépendent de prestataires externes pour une partie de leur infrastructure. Une banque peut avoir des défenses solides et être touchée par la porte d'un partenaire.
Il y a aussi la question de la surveillance. L'incident a d'abord été visible sur la blockchain, pas dans un communiqué : un enquêteur indépendant a vu passer l'argent avant que l'institution ne s'exprime. C'est un renversement notable. Les flux en cryptomonnaies, publics et traçables, ont servi de système d'alerte, tandis que le canal bancaire traditionnel est resté opaque quelques jours.
Ce qui reste à établir
Plusieurs questions restent ouvertes : l'identité du prestataire compromis, le montant exact et la part récupérée, la route précise des premiers virements, et l'identité des assaillants. La banque promet de nouvelles informations. D'ici là, seuls trois points sont solides : l'attaque a eu lieu, elle a visé les fonds propres de la banque, et les avoirs des clients sont, selon l'établissement, intacts.