Arkéa, maison mère de Fortuneo, aurait perdu plus de 100 millions d'euros dans une cyberattaque

Le 1er novembre à 12 h 25, heure universelle, un premier retrait part d'un compte ouvert sur OKX, une plateforme d'échange de cryptomonnaies. Quarante-quatre minutes plus tard, un autre suit chez Kraken. Pendant plusieurs jours, des dizaines de millions de dollars en « stablecoins », ces cryptomonnaies adossées au dollar, quittent ainsi des plateformes d'échange. Trois jours plus tard, la piste mène à une banque française.

Le 4 novembre, le Crédit Mutuel Arkéa, groupe bancaire breton et maison mère de la banque en ligne Fortuneo, a confirmé à l'AFP avoir été victime d'une attaque informatique ayant permis « la réalisation d'opérations frauduleuses ». Selon la banque, l'incident est « aujourd'hui maîtrisé » et n'a « aucune conséquence financière » pour ses clients. Elle n'a pas donné de montant précis. Le soir, elle s'est contentée de « valider l'ordre de grandeur » des 118 millions d'euros évoqués dans la presse. Par précaution, certaines transactions, dont des virements, ont été temporairement suspendues. Dans un communiqué, la banque indique que les opérations sont « en cours de reprise progressive ». La Banque de France a été informée, selon Le Télégramme.

Comment la piste a-t-elle mené jusqu'à une banque bretonne ?

L'affaire n'est pas sortie d'un communiqué, mais d'une enquête menée en public sur la blockchain. Le 2 novembre, ZachXBT, un enquêteur pseudonyme connu pour traquer les vols de cryptomonnaies, signale une perte de plus de 106 millions de dollars subie par une « entité » de l'Union européenne. Il repère ensuite environ 27 millions de dollars de retraits supplémentaires et porte le total à plus de 133 millions de dollars, soit environ 118 millions d'euros. Il désigne ensuite le Crédit Mutuel Arkéa comme la victime présumée. Selon lui, le chiffre réel pourrait être plus élevé une fois pris en compte les échanges de gré à gré.

De son côté, la société d'analyse Bitquery a retracé 108,8 millions de dollars en USDC (une cryptomonnaie adossée au dollar) retirés en 21 heures de comptes ouverts chez Kraken, Crypto.com et OKX. Elle n'a toutefois pu ni confirmer la perte totale ni identifier la victime, rapporte CoinDesk. Une grande partie des fonds a été convertie en ether. Selon plusieurs médias, une autre partie a été convertie en Monero, une cryptomonnaie conçue pour brouiller les pistes. Crypto.com dit avoir bloqué des fonds liés à l'incident. Quant à ZachXBT, il se dit très confiant que le groupe nord-coréen Lazarus n'est pas en cause, car l'argent n'a pas circulé comme dans ses attaques habituelles.

La banque en ligne Fortuneo a-t-elle servi de porte d'entrée ?

La banque a d'abord laissé cette question sans réponse. Le journaliste Grégory Raymond (The Big Whale) affirme, sur la foi de sources anonymes, que les virements frauduleux sont partis de Fortuneo, qui compte plus d'un million de clients. Le soir du 4 novembre, Arkéa a démenti : selon la banque, les attaquants ne sont pas passés par Fortuneo mais par la plateforme d'un prestataire, pour atteindre directement un compte propre au groupe. Avant ce démenti, Le Figaro, cité par Actu17, affirmait que les fraudeurs avaient visé les fonds propres de Fortuneo, pas les dépôts des clients. Une source citée par franceinfo assure que les comptes courants et les livrets sont intacts.

Les sources de Grégory Raymond décrivent un mode opératoire qui n'est pas confirmé à ce stade. Des virements auraient été émis depuis la banque vers des comptes ouverts sous de fausses identités sur des plateformes de cryptomonnaies, malgré les contrôles d'identité. Les sommes auraient ensuite été converties en stablecoins, puis retirées vers des portefeuilles extérieurs. Kraken assure que ses systèmes n'ont pas été compromis. Reste à savoir comment les fraudeurs ont pu émettre ces virements. Deux hypothèses circulent : une compromission des systèmes de paiement passée inaperçue pendant plusieurs jours, ou une défaillance humaine en interne, sur le modèle de l'« arnaque au président ». Aucune n'est confirmée.

Clients du groupe : les bons réflexes

Pour ses 5,6 millions de clients, la banque se veut rassurante. À ce stade, le principal risque vient plutôt des escrocs qui profitent de ce genre d'actualité pour démarcher des clients inquiets.

• Raccrochez si un prétendu conseiller ou « service fraude » propose de « sécuriser » votre compte. Rappelez ensuite le numéro affiché dans votre application bancaire.
• Ne communiquez jamais un code reçu par SMS, ni vos identifiants.
• Transférez les SMS suspects au 33 700 et signalez les tentatives sur cybermalveillance.gouv.fr.
• Si un virement est bloqué, cela peut tenir à la suspension de précaution annoncée par la banque : pas besoin de le refaire depuis un autre canal.

Clubic précise que le groupe Arkéa est distinct du Crédit Mutuel Alliance Fédérale, auquel appartient le CIC, qui n'est pas concerné.

Pourquoi les alertes de la banque n'ont-elles rien vu ?

Pour les entreprises, la leçon dépasse le cas d'Arkéa. Les retraits se sont étalés sur plusieurs jours. Selon Clubic, ZachXBT estime que plus de 30 millions de dollars auraient pu être gelés si l'alerte avait été donnée plus tôt. Pourquoi les seuils d'alerte de la banque ne se sont-ils pas déclenchés ? France 3 Bretagne pose la question, qui reste pour l'instant sans réponse. Les prochains jours devraient dire combien a réellement été perdu, d'où sont partis les virements et si une plainte a été déposée.