Cyberattaque Crédit Mutuel Arkéa : que révèle le vol de 100 millions d'euros sur la dangerosité des escrocs ?
Dernière mise à jour : il y a 2 jours
Une arnaque bancaire majeure, mais cette fois contre une banque
Le 4 novembre 2026, Crédit Mutuel Arkéa a confirmé avoir été victime d'une cyberattaque ayant permis le détournement d'une somme de l'ordre de 100 millions d'euros, convertie en cryptomonnaies en quelques heures. Ce chiffre est provisoire. Un enquêteur spécialisé parle de 118 millions d'euros (133 millions de dollars), et la banque en a validé l'ordre de grandeur.
Ce qui frappe dans cette affaire, ce n'est pas seulement le montant. C'est la cible. Depuis des années, les escroqueries bancaires que nous traitons au cabinet visent des particuliers, des artisans, des PME : faux conseiller, faux RIB, fraude au président, fraude à l'investissement. Cette fois, ce n'est pas un client qui a été trompé. C'est la banque elle-même qui a été vidée, depuis son propre compte, par des attaquants capables de traverser les défenses d'un groupe bancaire de 211 milliards d'euros de bilan.
Pour les victimes d'escroquerie bancaire, cette affaire change deux choses. Elle démontre le niveau de sophistication des escrocs, qu'aucune banque ne peut plus sérieusement sous-estimer lorsqu'elle reproche à un client sa « négligence ». Et elle annonce, dès cette semaine, une vague d'appels de faux conseillers qui s'appuieront sur l'actualité pour piéger les clients de toutes les banques.
Que sait-on de l'attaque contre Crédit Mutuel Arkéa ?
Les attaquants sont passés par la plateforme d'un prestataire de la banque et ont atteint directement Crédit Mutuel Arkéa, selon le communiqué du groupe diffusé le 4 novembre à 17 h 30. Ils ont utilisé le compte propre de la banque pour émettre des virements vers d'autres établissements, puis ont converti les fonds en cryptomonnaies sur des plateformes spécialisées. Aucun compte client n'a servi de point de passage, et la banque dément toute entrée par sa filiale Fortuneo, contrairement à ce que la presse avait d'abord écrit.
La chronologie publique est la suivante :
1er et 2 novembre : premiers mouvements suspects. Les analystes de la blockchain retracent environ 108 millions de dollars de retraits en stablecoins (USDC et USDT) depuis des comptes ouverts sur trois plateformes d'échange, en 21 heures, vers quinze portefeuilles distincts.
2 et 3 novembre : l'enquêteur indépendant ZachXBT signale sur Telegram un détournement de plus de 106 millions de dollars au détriment d'une institution financière européenne, puis relève le total à plus de 133 millions. Une partie des fonds est convertie en Ethereum, puis passe par des services d'échange instantané et par Monero, une cryptomonnaie conçue pour masquer les flux.
Nuit du 3 au 4 novembre : ZachXBT désigne nommément Crédit Mutuel Arkéa.
4 novembre au matin : le groupe dépose plainte. La section cybercriminalité du parquet de Paris ouvre immédiatement une enquête pour atteinte à un système de traitement automatisé de données en bande organisée, confiée à l'Office anticybercriminalité (OFAC).
4 novembre : la banque suspend par précaution certaines transactions (virements instantanés, Wero), puis rétablit la quasi-totalité des opérations dans la matinée après vérifications. Elle confirme l'attaque dans un premier communiqué à 13 h, puis détaille le mode opératoire à 17 h 30.
La banque indique qu'une partie des fonds a pu être bloquée et que des actions de recouvrement sont en cours. Les analystes signalaient notamment le gel d'environ 1,14 million d'USDT par l'émetteur Tether, et une soixantaine de millions de dollars encore identifiables sur Ethereum au 3 novembre. L'attaque n'a pas été revendiquée. Le groupe affirme que l'incident n'a aucune conséquence sur les avoirs de ses clients et ne remet pas en cause sa solidité financière.
Pourquoi cette affaire change-t-elle l'échelle ?
Une banque n'est pas un particulier. Elle dispose d'équipes de sécurité, d'une surveillance des flux en continu, de procédures de validation à plusieurs niveaux et d'une obligation réglementaire de maîtriser ses risques opérationnels. Elle est contrôlée par l'ACPR et la Banque centrale européenne. Et pourtant, des attaquants ont réussi à émettre depuis son propre compte, pendant plusieurs jours, des virements d'un montant total dépassant 100 millions d'euros, avant que l'alerte ne soit donnée.
Trois éléments de ce dossier en disent long sur le niveau des escrocs :
L'attaque est passée par un prestataire. Les criminels n'ont pas forcé la porte principale, ils ont trouvé le maillon faible de la chaîne : un sous-traitant dont la plateforme était connectée au système de la banque. C'est exactement la logique de l'ingénierie sociale employée contre les particuliers, appliquée à un groupe bancaire.
Les fonds ont été blanchis à une vitesse industrielle. Virements vers d'autres banques, conversion en stablecoins, puis en Ethereum, puis passage par des services d'échange instantané et par Monero : chaque étape vise à rompre la traçabilité. Onze des quinze portefeuilles destinataires existaient déjà depuis des mois. L'opération avait été préparée.
La banque elle-même écarte l'erreur humaine et parle d'une attaque sophistiquée venant de l'extérieur. Autrement dit, elle reconnaît qu'un établissement outillé et entraîné peut être trompé.
Cette affaire s'inscrit dans une série. Le 30 octobre 2026, la plateforme Binance annonçait un piratage évalué à 6,3 milliards de dollars. En septembre, Revolut reconnaissait avoir transmis des passeports de clients à un tiers qui s'était fait passer pour une autorité. Les escrocs ne se contentent plus de piéger des clients un par un ; ils s'attaquent aux institutions, avec des moyens techniques et humains qui dépassent ceux de n'importe quel particulier.
Pour les victimes que nous défendons, l'enseignement est direct. Quand une banque soutient devant le tribunal qu'un client « aurait dû se méfier » d'un appel, d'un SMS ou d'un courriel imitant parfaitement ses propres communications, il est désormais possible de lui répondre qu'elle-même, avec ses moyens, n'a pas vu venir une attaque de 100 millions d'euros menée sur plusieurs jours.
Quelle est la conséquence immédiate pour les clients ?
Crédit Mutuel Arkéa a elle-même prévenu ses clients : des tentatives d'hameçonnage sont possibles dans les jours qui viennent. Ce n'est pas une hypothèse. Chaque incident bancaire médiatisé est suivi d'une seconde vague d'arnaques, menée par des escrocs opportunistes qui n'ont aucun lien avec l'attaque initiale mais qui exploitent l'inquiétude qu'elle suscite. Le terme « crédit mutuel arkea » a dépassé 50 000 recherches Google en 24 heures : les escrocs lisent les mêmes journaux que vous.
Le scénario est rodé. Un appel arrive d'un numéro qui s'affiche comme celui de votre agence ou de votre banque (c'est le spoofing). Une voix calme et professionnelle se présente comme un conseiller du service sécurité : « Suite à la cyberattaque dont vous avez entendu parler, nous devons sécuriser vos comptes. » Peu importe que vous soyez client d'Arkéa, du Crédit Mutuel de Bretagne, de Fortuneo ou d'une tout autre banque : le scénario s'adapte à chaque établissement.
Le faux conseiller vous demandera ensuite l'une de ces cinq choses. Un vrai conseiller ne le fera jamais :
Valider une opération dans votre application « pour l'annuler » ou « pour la bloquer ».
Communiquer un code reçu par SMS ou généré par votre application.
Transférer vos fonds vers un « compte sécurisé » ou un « compte de transit ».
Installer une application ou un logiciel de prise en main à distance sur votre téléphone ou votre ordinateur.
Agir dans la minute, sans raccrocher, sous peine de « perdre votre argent ».
Le seul réflexe efficace : raccrochez et rappelez votre agence vous-même, sur le numéro inscrit au dos de votre carte ou sur votre contrat. Jamais sur un numéro communiqué pendant l'appel.
Les chefs d'entreprise sont exposés de la même façon, avec en plus la fraude au président et la fraude au faux fournisseur (changement de RIB). Un comptable qui reçoit, cette semaine, un courriel lui demandant de « mettre à jour les coordonnées bancaires suite à l'incident Arkéa » doit décrocher son téléphone et appeler le fournisseur sur son numéro habituel avant tout virement.
La banque doit-elle rembourser la victime d'un faux conseiller ?
Si vous avez été victime d'un faux conseiller, la règle de principe est simple : la banque doit vous rembourser. L'article L. 133-18 du Code monétaire et financier impose au prestataire de paiement de rembourser immédiatement le montant de toute opération non autorisée, au plus tard à la fin du premier jour ouvrable suivant votre signalement, et de rétablir le compte dans l'état où il se serait trouvé sans l'opération.
La banque ne peut s'en exonérer que dans deux cas prévus à l'article L. 133-19 : la fraude du client lui-même, ou sa négligence grave dans la conservation de ses données de sécurité. Et c'est à la banque de prouver cette négligence grave (article L. 133-23). Le seul fait que l'opération ait été validée avec votre code ou votre application ne suffit pas : la loi le dit expressément.
La Cour de cassation applique cette règle avec rigueur. Par un arrêt du 23 octobre 2024 (Cass. com., n° 23-16.267), la chambre commerciale a jugé qu'un client qui réinscrit des bénéficiaires à la demande d'un interlocuteur se présentant comme sa conseillère, depuis un numéro affiché comme celui de son agence, ne commet pas de négligence grave : la mise en scène était précisément conçue pour emporter sa confiance. Le 8 octobre 2026 (Cass. com., n° 25-17.510), elle a censuré une cour d'appel qui avait retenu la négligence d'une entreprise, en rappelant que la banque qui exécute un ordre transmis par un canal que le client n'utilisait plus ne peut lui reprocher d'avoir été imprudent.
L'affaire Arkéa renforce ce raisonnement. Lorsqu'un groupe bancaire doté d'une surveillance permanente de ses flux se laisse dérober 100 millions d'euros par des attaquants passés par un prestataire, il est difficile de soutenir qu'un particulier, trompé par un appel usurpant le numéro de sa banque, a fait preuve d'une négligence « grave ». La sophistication des escrocs, reconnue par la banque elle-même, est un argument que nous utilisons désormais dans chaque dossier.
Une nuance importante : lorsque le client saisit lui-même le virement, sous l'emprise du faux conseiller, l'opération est juridiquement « autorisée » et le régime automatique de l'article L. 133-18 ne s'applique pas. La responsabilité de la banque se discute alors sur le terrain de son devoir de vigilance face à une opération anormale (montant inhabituel, bénéficiaire nouveau, succession de virements). C'est un contentieux plus exigeant, mais pas perdu d'avance.
Deux délais à connaître : le signalement à la banque doit intervenir sans tarder, et au plus tard treize mois après le débit (article L. 133-24) ; la banque dispose ensuite d'un jour ouvrable pour rembourser, et son refus doit être motivé.
Les fonds partis en crypto peuvent-ils être tracés et gelés ?
Le dossier Arkéa illustre une réalité souvent ignorée des victimes : l'argent converti en cryptomonnaies n'est pas perdu d'avance. La blockchain conserve la trace de chaque mouvement. En moins de 48 heures, des analystes ont reconstitué les retraits, identifié quinze portefeuilles destinataires, suivi la conversion en Ethereum et localisé une soixantaine de millions de dollars encore immobilisés. L'émetteur Tether a gelé une partie des stablecoins. La banque indique qu'une part des fonds a pu être bloquée.
Ce travail n'est possible qu'à une condition : agir vite, et avec les bons leviers. Pour une victime, cela signifie trois démarches, dans l'ordre :
Signaler l'opération à la banque, par écrit, le jour même. C'est ce signalement qui déclenche l'obligation de remboursement et qui permet à la banque d'émettre une demande de rappel de fonds (recall) auprès de la banque destinataire, avant que l'argent ne quitte le circuit bancaire classique.
Déposer plainte sans attendre, au commissariat, en gendarmerie ou directement auprès du procureur de la République. La plainte est indispensable : elle fonde les réquisitions judiciaires adressées aux plateformes d'échange, qui seules permettent d'identifier le titulaire d'un portefeuille et de faire geler les avoirs. Dans l'affaire Arkéa, la plainte a été reçue le matin et l'enquête ouverte le jour même.
Conserver toutes les preuves : captures d'écran de l'appel ou du SMS, numéro affiché, horaires, relevés, échanges avec la banque. Ces éléments servent autant à l'enquête pénale qu'au contentieux civil contre la banque.
Les infractions en cause sont lourdes : escroquerie en bande organisée (article 313-2 du Code pénal, dix ans d'emprisonnement et un million d'euros d'amende), accès et maintien frauduleux dans un système de traitement automatisé de données (articles 323-1 et suivants), blanchiment (article 324-1). La constitution de partie civile permet à la victime d'accéder au dossier, de suivre les mesures de saisie et de demander la restitution des sommes identifiées ou l'indemnisation de son préjudice.
Le délai joue contre la victime. Chaque jour qui passe, les fonds franchissent une étape supplémentaire de blanchiment. Les escrocs d'Arkéa ont fait passer une partie des fonds par Monero précisément pour cette raison. Une plainte déposée dans la semaine a une valeur que n'aura plus une plainte déposée dans trois mois.
Que faire concrètement, et comment le cabinet intervient-il ?
Si vous n'avez rien subi : prévenez vos proches, en particulier les personnes âgées, et vos équipes comptables. Expliquez-leur les cinq demandes qu'un vrai conseiller ne fait jamais. Rappelez-leur qu'un numéro affiché ne prouve rien.
Si vous avez reçu un appel suspect : raccrochez, appelez votre agence sur son numéro officiel, et signalez l'appel sur la plateforme 33700 (par SMS) ou sur Cybermalveillance.gouv.fr. Si vous avez validé quelque chose, même sans virement apparent, faites bloquer vos moyens de paiement immédiatement.
Si l'argent est parti : signalez par écrit à la banque le jour même, déposez plainte dans la semaine, rassemblez vos preuves et demandez le remboursement en vous fondant sur l'article L. 133-18 du Code monétaire et financier. Les banques refusent fréquemment au premier courrier, en invoquant une négligence grave qu'elles ne prouvent pas. Ce refus n'est pas la fin de l'histoire : il ouvre la voie à la réclamation formelle, au médiateur bancaire, puis à l'assignation devant le tribunal.
Le Cabinet Morer, avocat au barreau de Toulouse, accompagne les victimes d'escroquerie bancaire partout en France, particuliers comme entreprises : analyse du dossier et de la responsabilité de la banque, réclamation et mise en demeure, dépôt de plainte et constitution de partie civile, demandes de gel et de restitution, assignation en remboursement. Notre guide complet sur le faux conseiller bancaire détaille la procédure pas à pas, avec un modèle de réclamation : arnaque au faux conseiller bancaire, recours et remboursement.
L'affaire Arkéa le rappelle avec 100 millions d'euros : face à des escrocs capables de tromper une banque, la victime n'a pas à porter seule la faute. Contactez le Cabinet Morer sans attendre : par téléphone au 05 61 55 45 08 (urgence : 06 23 36 88 03), par courriel à cabinet@morer-avocat.com ou via le formulaire de contact sur morer-avocat.com.
Commentaires