Des dizaines de millions volés au Crédit mutuel Arkéa : ce que l'on sait

Les banques sont censées compter parmi les lieux les mieux protégés du web. Pourtant, des pirates viennent de repartir de l'une d'elles avec des dizaines de millions d'euros.

Le Crédit mutuel Arkéa, groupe bancaire auquel appartient Fortuneo, a confirmé l'attaque mercredi 4 novembre. Une enquête est ouverte.

Que s'est-il passé ?

Le groupe parle d'une "attaque sophistiquée venant de l'extérieur". Les assaillants ont utilisé le compte propre de la banque pour envoyer de l'argent vers d'autres établissements. Les avoirs des clients n'ont donc pas été touchés, selon elle.

Certains virements ont simplement été retardés. La quasi-totalité des opérations a repris mercredi matin, après des vérifications renforcées.

Le montant reste officieux. Des spécialistes l'estiment à 118 millions d'euros (133 millions de dollars). La banque ne confirme pas ce chiffre et valide seulement l'ordre de grandeur : plusieurs dizaines de millions. Une partie des fonds a été bloquée, et d'autres actions sont en cours pour récupérer le reste.

Comment sont-ils entrés ?

C'est le grand mystère. Sur les réseaux sociaux, on a évoqué l'appareil infecté d'un employé ou d'un prestataire. La banque écarte toute "erreur humaine" et affirme que les pirates sont passés par la plateforme d'un de ses prestataires, et non par Fortuneo. Elle n'en dit pas plus.

L'argent a ensuite été converti sur des plateformes de cryptomonnaies, puis divisé entre des portefeuilles de plus en plus nombreux. Kraken dit avoir "restreint" des comptes suspects, et Crypto.com affirme avoir agi pour empêcher le passage de fonds liés à l'incident.

L'expert en cybersécurité Gabriel de Brosses évoque une attaque "à l'ampleur et aux dommages inédits" et estime que "les alertes auraient dû sonner". Selon lui, les pirates connaissent très bien les procédures bancaires.

Et maintenant ?

La section cybercriminalité du parquet de Paris a ouvert une enquête mercredi, après une plainte de la banque. Elle porte sur une atteinte à un système de traitement automatisé de données en bande organisée, confiée à l'Office anticybercriminalité (Ofac).

La banque ne mentionne aucun vol de données. Elle invite toutefois ses clients à se méfier du phishing, ces faux messages qui se font passer pour elle.