Des pirates ont volé des dizaines de millions d'euros au Crédit Mutuel Arkéa via un prestataire

Le premier signal public n'est pas venu de la banque. Le lundi 2 novembre, ZachXBT, un enquêteur américain spécialisé dans le traçage des cryptomonnaies qui publie sous pseudonyme, signale sur Telegram des mouvements de fonds suspects. Il désigne ensuite le Crédit Mutuel Arkéa comme victime, selon le site The Record. Le mercredi 4 novembre, le groupe bancaire breton confirme dans un communiqué avoir subi une « attaque sophistiquée venant de l'extérieur ».

Ce que la banque a précisé depuis change la lecture de l'affaire. Les pirates ne sont passés ni par les comptes des clients, ni par Fortuneo, sa banque en ligne, contrairement à ce qui circulait sur les réseaux sociaux. Ils ont utilisé la plateforme d'un de ses prestataires, qu'elle ne nomme pas, pour atteindre directement le groupe. Puis ils se sont servis du compte propre d'Arkéa pour envoyer des virements vers d'autres banques. L'argent a ensuite été converti en cryptomonnaies et réparti entre de nombreux portefeuilles, rapporte franceinfo.

Combien a été volé ?

La question reste ouverte. Des spécialistes cités par franceinfo avancent 118 millions d'euros (133 millions de dollars). « Nous ne confirmons pas ces informations », répond Arkéa, qui dit pouvoir « simplement valider l'ordre de grandeur », soit plusieurs dizaines de millions d'euros selon franceinfo. Selon l'AFP, la banque a elle-même indiqué le 4 novembre au soir, dans un communiqué, un montant « de l'ordre de 100 millions d'euros », selon une estimation provisoire. Le montant définitif n'est pas établi.

Une partie des fonds a pu être bloquée et d'autres démarches de recouvrement sont en cours, selon la banque. Interrogée par le site Cointelegraph, la plateforme d'échange Kraken dit avoir « restreint » des comptes suspects. Crypto.com affirme avoir pris les mesures appropriées pour empêcher que des fonds liés à l'incident transitent par chez elle.

Arkéa assure que la perte ne remet pas en cause sa solidité financière. Le groupe a dégagé 230 millions d'euros de bénéfice net au premier semestre, rappelle franceinfo.

Une enquête pour piratage « en bande organisée »

La section cybercriminalité du parquet de Paris a reçu la plainte du groupe le 4 novembre au matin. Elle a aussitôt ouvert une enquête pour « atteinte à un système de traitement automatisé de données en bande organisée », confiée à l'Office anticybercriminalité (Ofac), à ne pas confondre avec l'organisme américain chargé des sanctions qui porte le même sigle.

Aucun groupe n'a revendiqué l'attaque. La banque écarte toute « erreur humaine », sans expliquer comment le prestataire a été compromis. Gabriel de Brosses, dirigeant du cabinet Tevarua Conseil, juge dans Le Monde qu'il s'agit d'« une attaque à l'ampleur et aux dommages inédits ». Selon lui, les contrôles des mouvements financiers auraient dû repérer l'opération, et les attaquants connaissaient très bien les procédures bancaires.

Pour les clients, le danger vient maintenant des faux messages

Le groupe réunit notamment le Crédit Mutuel de Bretagne, le Crédit Mutuel du Sud-Ouest et Fortuneo, soit plus de 5,5 millions de clients selon TF1 Info. Arkéa affirme que leurs avoirs ne sont pas touchés et ne signale aucun vol de données. Seule conséquence annoncée : certains virements ont été exécutés en retard. La quasi-totalité des opérations avait repris le 4 novembre dans la matinée.

Aucune donnée volée, donc, mais une actualité dont les escrocs peuvent profiter : la banque met en garde contre des messages frauduleux qui se font passer pour elle. Les bons réflexes :

• ne cliquez sur aucun lien reçu par SMS ou par e-mail qui évoque « l'incident », un remboursement ou une vérification de compte ;
• raccrochez si un appel vous demande de valider une opération ou de donner un code, même si le numéro affiché semble être celui de la banque, puis rappelez votre agence vous-même ;
• consultez vos comptes uniquement depuis l'application officielle ou en tapant vous-même l'adresse du site.

Quel est ce prestataire ?

Pour les entreprises, la leçon dépasse la banque bretonne : la plateforme d'un prestataire peut ouvrir la porte jusqu'aux fonds de son client. Sur l'identité de ce prestataire et la façon dont il a été compromis, la discrétion reste totale. L'enquête de l'Ofac devra dire s'il travaillait pour d'autres établissements, et si ceux-ci ont des raisons de s'inquiéter.