Une banque française a perdu 100 millions d’euros parce que ses propres comptes le disaient.

Crédit Mutuel Arkéa a perdu environ 100 millions d'euros à cause de fraudeurs qui n'ont pas fracturé de coffre-fort — ils ont utilisé les comptes de la banque elle-même pour envoyer l'argent. C'est un rappel utile que la défaillance logicielle la plus coûteuse est rarement celle qui divulgue des données. C'est celle qui autorise un paiement.

Crédit Mutuel Arkéa, une banque régionale française, a révélé le 4 novembre qu’elle avait été victime d’une cyberattaque ayant entraîné environ 100 millions d’euros de transactions frauduleuses — environ 112 millions de dollars au taux actuel. L’argent n’est pas sorti d’un coffre-fort. Il est sorti par les propres comptes de la banque, transféré vers d’autres banques, puis converti en cryptomonnaie sur des plateformes spécialisées.

Une partie des fonds a été gelée. La banque indique que d’autres mesures de recouvrement sont en cours. Les comptes des clients n’ont pas été compromis, et Arkéa affirme que les clients n’ont subi aucune perte.

Ce qui s’est réellement passé

La mécanique compte plus que le nombre. Selon l’Agence France-Presse, les attaquants ont accédé aux comptes propres d’Arkéa au sein de la banque et les ont utilisés pour initier des virements vers d’autres banques. Ces virements ont ensuite été convertis en cryptomonnaies sur des plateformes de trading dédiées.

Arkéa a explicitement exclu une erreur humaine. Elle a décrit l’incident comme « une attaque sophistiquée venue de l’extérieur ».

Le parquet de Paris a ouvert une information judiciaire pour attaque organisée contre un système de traitement automatisé de données — la qualification pénale française qui couvre cette catégorie d’intrusion.

La banque a également déclaré que le montant final était encore en cours d’évaluation, et qu’il n’était pas assez important pour menacer la santé financière du groupe. Arkéa a déclaré un bénéfice net de 230 millions d’euros au premier semestre de cette année.

Pendant ce temps, l’enquêteur indépendant spécialisé dans la blockchain ZachXBT a publié les détails de la fraude sur ses comptes de réseaux sociaux plus tôt dans la semaine, déclarant que les fonds volés avaient été acheminés via plusieurs comptes ouverts sur des plateformes d’échange de cryptomonnaies.

La défaillance portait sur l’autorisation, pas sur la confidentialité

Relisez cette séquence, car elle inverse le modèle mental que la plupart des organisations entretiennent encore au sujet du risque cyber.

Personne n’a volé de base de données. Personne n’a publié de dossiers clients. La compromission ne portait pas du tout sur la confidentialité — elle portait sur l’autorisation. Les attaquants avaient besoin que les systèmes de la banque croient qu’un ordre de virement était légitime, et à un moment donné, ces systèmes l’ont cru.

C'est la catégorie coûteuse. La perte de données est un problème juridique et réputationnel, avec un plan d'action connu. Un paiement push autorisé, c'est de l'argent qui a déjà quitté le compte, sur un rail conçu pour être irréversible, et la seule raison pour laquelle quelqu'un a pu récupérer quoi que ce soit, c'est qu'une partie a été gelée avant qu'elle ne puisse être blanchie davantage.

Chaque plateforme bancaire repose sur une hypothèse simple : si l'instruction arrive par le bon canal, signée par la bonne identité, elle est authentique. Les attaquants ont appris que la voie la moins coûteuse pour accéder à l'argent n'est pas de forcer la serrure — c'est de devenir la personne pour laquelle la serrure s'ouvre.

C'est aussi pourquoi « nous n'avons pas été compromis, aucune donnée client n'a été exposée » peut être à la fois vrai et hors sujet. Arkéa peut le dire honnêtement et avoir quand même perdu 100 millions d'euros.

Pourquoi le volet crypto est désormais la norme

La seconde moitié de l'histoire porte sur la manière dont l'argent volé est blanchi en 2026, et c'est plus rapide qu'auparavant.

Les fonds ont été convertis en cryptomonnaie sur des plateformes spécialisées. De là, selon les enquêteurs, ils ont été répartis sur plusieurs comptes d’échange. La cryptomonnaie est attrayante pour une opération criminelle pour trois raisons : le règlement est rapide, les transferts franchissent les frontières sans qu’une banque correspondante ne pose de questions, et une chaîne de comptes d’échange crée une distance entre le vol et le retrait.

Ce n'est pas anonyme — l'analyse de la blockchain est précisément la façon dont ZachXBT et d'autres ont pu décrire le parcours — mais c'est rapide, et la vitesse est ce dont un voleur a besoin avant que l'équipe antifraude d'une banque ait terminé son premier appel téléphonique.

C'est pourquoi geler rapidement les fonds est tout aussi important que d'empêcher le transfert initial. La latence de détection, et non la solidité du périmètre, a déterminé quelle part de cet argent a été récupérée.

Ce que cela signifie si vous achetez des logiciels

La plupart des lecteurs de ceci ne dirigeront jamais une banque. Mais la même question structurelle sous-tend tout système qui déplace de l’argent, approuve une réclamation, libère une commande ou modifie un dossier pour le compte de quelqu’un : qu’est-ce qui fait que ce système croit qu’une instruction est légitime, et à quelle vitesse le sauriez-vous si elle était erronée ?

Quatre choses méritent d’être vérifiées dans tout système que vous achetez ou construisez.

Un seul identifiant compromis suffit-il à autoriser un virement important ? Si une seule connexion valide peut être à l’origine d’un paiement irréversible, la sécurité du système est celle de cette unique connexion. Les limites d’approbation, la confirmation par une seconde personne pour les instructions de grande valeur et la vérification hors bande ne relèvent pas de la bureaucratie — elles font la différence entre un simple désagrément et une perte à neuf chiffres.

Une instruction peut-elle être falsifiée via un canal de confiance ? Les attaques intéressantes ne ressemblent pas à des attaques. Elles arrivent sous la forme d’une requête correctement formatée provenant d’une source à laquelle le système fait déjà confiance. Si votre conception part du principe que tout ce qui arrive sur le canal interne est authentique, vous avez déplacé le problème de sécurité vers quiconque peut atteindre ce canal.

Combien de temps avant que quelqu’un ne s’en aperçoive ? Les dommages d’Arkéa ont été limités par le montant qui a été gelé, et cela est fonction du temps. Une détection d’anomalies qui se déclenche en quelques minutes plutôt qu’en quelques jours vaut plus qu’une autre couche de prévention que personne ne surveille.

Le chemin de rétablissement est-il réel, ou sur le papier ? « Nous avons un plan » n’est pas un contrôle. Quels comptes peuvent être gelés, par quelles contreparties, dans quel délai, et qui a l’autorité pour prendre cette décision à deux heures du matin — ce n’est un contrôle que si cela a été répété.

La phrase à laquelle nous revenons sans cesse

Les incidents comme celui-ci sont généralement rapportés comme une histoire de technologie. Ils sont plus précisément l’histoire d’une confiance placée au mauvais endroit, au mauvais moment, par un logiciel qui faisait exactement ce qu’on lui disait.

C'est l'écart que le travail de sécurité a pour vocation de combler, et c'est contre cet écart que nous construisons dès le premier commit. Chez ABN Asia, vous n'obtenez pas seulement un logiciel. Vous obtenez un logiciel sécurisé — modélisé face aux menaces avant la liste des fonctionnalités, testé contre des parcours hostiles comme des parcours nominaux, et durci avant même de vous parvenir.

Une banque avec 230 millions d'euros de bénéfice semestriel, des systèmes sophistiqués et une fonction de sécurité complète peut malgré tout perdre 100 millions d'euros en une seule nuit. La question qu'il vaut la peine de se poser au sujet de votre propre pile technologique n'est pas de savoir si vous êtes une cible. C'est ce que vos systèmes feraient si l'instruction semblait réelle.

Sources : reportage de l'Agence France-Presse sur la divulgation par Crédit Mutuel Arkéa du 4 novembre 2026 ; déclarations de la banque et du parquet de Paris ; informations publiées par l'enquêteur blockchain ZachXBT.

Veuillez noter que la version française est assistée par Ai, des erreurs mineures peuvent donc exister.

Auteur

Ai-Banking-NetworkSecurity (ABN), ABN ASIA a été fondée par des personnes ayant des racines profondes dans le milieu académique, avec une expérience professionnelle aux États-Unis, aux Pays-Bas, en Hongrie, au Japon, en Corée du Sud, à Singapour et au Vietnam. ABN ASIA est l'endroit où l'académie et la technologie rencontrent l'opportunité. Avec nos solutions de pointe et nos services de développement logiciel compétents, nous aidons les entreprises à se développer et à s'imposer sur la scène mondiale. Notre engagement : Plus vite. Mieux. Plus fiable. Dans la plupart des cas : moins cher également.

N'hésitez pas à nous contacter chaque fois que vous avez besoin de services informatiques, de conseils en matière de numérique, de solutions logicielles prêtes à l'emploi, ou si vous souhaitez nous envoyer des demandes de propositions (RFP). Vous pouvez nous contacter à l'adresse [email protected]. Nous sommes prêts à vous aider avec tous vos besoins technologiques.