Trois jours après avoir annoncé avoir été victime d’une attaque, le Crédit Mutuel Arkéa a récupéré « une partie » des fonds détournés, a indiqué vendredi 6 novembre le président de la Confédération nationale du Crédit Mutuel. Les attaquants sont passés par la plateforme d’un prestataire, précise la banque bretonne. Explications.
Mercredi 4 novembre, à Brest, le Crédit Mutuel Arkéa a publié un communiqué intitulé « Crédit Mutuel Arkéa annonce avoir été victime d’une attaque ». Le sous-titre résume la position du groupe : « L’incident est maîtrisé, les opérations sont en cours de reprise et les avoirs des clients ne sont pas impactés. »
Après détection, le groupe a informé les autorités compétentes et de supervision, puis suspendu temporairement certaines transactions par précaution. Le communiqué ne donne aucun montant : les sommes concernées sont encore en cours d’évaluation et, assure la banque, ne remettent pas en cause sa solidité financière. Le groupe, qui compte 12 073 salariés, plus de 5,8 millions de sociétaires et clients et 211,5 milliards d’euros de total de bilan, annonce qu’il communiquera dès que de nouveaux éléments seront disponibles.
Le compte propre d’Arkéa, pas ceux des clients
Une page de questions-réponses publiée après le communiqué détaille le mode opératoire. Selon Arkéa, les attaquants ont utilisé le compte propre de la banque pour émettre des virements vers d’autres établissements, des fonds qui ont pu servir à être convertis en cryptomonnaie. Ils ne sont pas passés par des comptes de clients.
Sur le rôle de Fortuneo, la banque en ligne du groupe, la réponse est sans ambiguïté : « Non. Contrairement à ce qui a pu être écrit, aucune « entrée » ne s’est faite par Fortuneo. » Arkéa indique que les attaquants ont emprunté la plateforme d’un de ses prestataires, sans le nommer, avant d’atteindre directement la banque. Le groupe écarte une erreur humaine et parle d’une « attaque sophistiquée venant de l’extérieur ». Une enquête est menée avec les autorités judiciaires et policières.
Côté clients, Arkéa affirme que seule l’exécution de certains virements a été différée et que la quasi-totalité des opérations a repris dans la matinée du 4 novembre. MoneyVox rapporte que Fortuneo avait averti sa clientèle de perturbations sur les virements instantanés et sur Wero, et que le Crédit Mutuel de Bretagne semblait aussi touché.
118 millions d’euros : Arkéa valide « l’ordre de grandeur »
Le montant est venu de l’extérieur. Selon MoneyVox, l’analyste en blockchain ZachXBT, qui a révélé la fraude, l’estime à au moins 133 millions de dollars, soit 118 millions d’euros. ToutSurMesFinances relaie le même chiffre en l’attribuant au Télégramme, tout en notant que la banque ne le confirme pas.
Arkéa ne le confirme pas non plus, mais ne le dément pas : « Nous ne confirmons pas ces informations et pouvons simplement valider l’ordre de grandeur », répond le groupe dans ses questions-réponses. Une partie des fonds a pu être bloquée, ajoute-t-il, sans montant définitif à ce stade.
Daniel Baal : « plus de 100 millions d’euros » et une récupération partielle
Vendredi 6 novembre, Daniel Baal, président de la Confédération nationale du Crédit Mutuel, a pris la parole sur France 5. D’après MoneyVox, il a déclaré que « Crédit Mutuel Arkea a récupéré aujourd’hui déjà une partie » des sommes, sans en préciser le montant. Il a confirmé que l’ordre de grandeur des montants dérobés dépasse 100 millions d’euros.
Les investigations ont été confiées à l’Office anticybercriminalité, selon le site. Daniel Baal affirme qu’aucun compte de particulier n’a été touché et se refuse à dire si l’attaque est d’origine française ou étrangère.
Par ailleurs, Arkéa met en garde ses clients contre d’éventuelles tentatives d’hameçonnage, fréquentes après ce type d’incident, et rappelle de ne jamais communiquer identifiants, mot de passe, numéro de carte ou code reçu par SMS. Le groupe n’a pas confirmé de fuite de données clients.
Refrance avait rendu compte du communiqué initial dans un article sur la reprise des opérations chez Arkéa. Prochaine échéance : le montant définitif du préjudice, que la banque s’est engagée à communiquer.
