Le groupe bancaire français Crédit Mutuel Arkéa a subi une cyberattaque ayant permis des transactions frauduleuses potentiellement évaluées à 118 millions d’euros, soit environ 133 millions de dollars. L’accès initial serait passé par la plateforme d’un prestataire de services.
La banque précise que l’attaquant a utilisé un compte appartenant à Arkéa pour effectuer des opérations avec d’autres établissements et convertir des fonds en cryptomonnaies. Les comptes et avoirs des clients n’auraient pas été affectés.
Un montant important, mais pas définitivement confirmé
L’estimation de 118 millions d’euros provient initialement de l’enquêteur spécialisé dans la blockchain ZachXBT. Arkéa n’a pas confirmé ce chiffre exact, tout en reconnaissant que l’ordre de grandeur était significatif et qu’une partie des fonds avait été bloquée.
L’incident a entraîné la suspension de certains systèmes et des retards dans l’exécution de virements. Le groupe a déclaré le 4 novembre que l’attaque était maîtrisée et que les opérations reprenaient progressivement.
Le fournisseur, maillon critique de la chaîne
Cette attaque illustre le risque lié aux tiers. Une banque peut renforcer ses propres contrôles tout en restant exposée par un prestataire connecté à son réseau. Chaque accès externe doit donc être limité, surveillé et réévalué régulièrement.
Les organisations devraient imposer l’authentification multifacteur, des droits minimaux, une segmentation réseau et une journalisation complète aux comptes de fournisseurs. Un plan de coupure rapide doit aussi permettre de suspendre une connexion compromise sans arrêter tous les services.
Attention aux campagnes de phishing
Après un incident médiatisé, les fraudeurs profitent souvent de l’inquiétude des clients. Ils peuvent envoyer un faux message de sécurité ou appeler en prétendant vérifier un compte. Arkéa recommande de ne transmettre aucune information sensible et de joindre directement son conseiller avec les coordonnées habituelles.
Les autorités judiciaires et policières poursuivent l’enquête afin de déterminer l’origine exacte et le mode opératoire. Cette affaire rappelle que la gestion du risque fournisseur doit être intégrée aux exercices de crise du secteur financier.
