Arkéa écarte Fortuneo et ne confirme pas les 118 millions d’euros

Le Crédit Mutuel Arkéa a écrit, le 4 novembre 2026, que les attaquants n’étaient pas entrés par Fortuneo, mais par la plateforme d’un prestataire qu’il ne nomme pas, pour atteindre directement le groupe.

Ce que le communiqué de 13 h ne disait pas encore

Le communiqué de Brest daté du 4 novembre 2026, diffusé à 13 h selon la page qui a suivi, annonçait une attaque ayant permis des opérations frauduleuses, un incident « clos et aujourd’hui maîtrisé », la reprise progressive des opérations dans la matinée, et l’absence de conséquence sur les avoirs des clients. Il ne nommait ni Fortuneo, ni prestataire, ni somme. Il précisait déjà que les montants, encore en cours d’évaluation, n’étaient pas de nature à remettre en cause la solidité du groupe, et il alertait sur de possibles tentatives d’hameçonnage.

L’article publié le jour même sur KLYNLABS s’arrêtait à ces éléments, et à ce que la presse du matin en tirait. Grégory Raymond y plaçait Fortuneo au centre, sur la foi de sources anonymes. La banque ne le confirmait pas. BleepingComputer a repris le dossier le 7 novembre 2026, après la mise au point du groupe.

Fortuneo écarté, le prestataire non nommé

Dans sa foire aux questions, Arkéa répond non : « aucune entrée ne s’est faite par Fortuneo ». Les attaquants sont passés par la plateforme d’un prestataire et ont atteint le Crédit Mutuel Arkéa directement. Le prestataire n’est pas nommé. Le groupe écarte aussi une erreur humaine en son sein : il parle d’une attaque sophistiquée venue de l’extérieur, désormais circonscrite, identifiée rapidement par ses dispositifs. Les équipes travaillent avec les autorités judiciaires et policières pour établir l’origine et le mode opératoire. Le groupe dit s’être rapproché des instances de supervision.

Les attaquants ont utilisé le compte propre d’Arkéa pour des transactions vers d’autres acteurs bancaires. Ces virements ont ensuite, écrit la banque, « potentiellement » permis de convertir l’argent en cryptomonnaie via des plateformes spécialisées. La nuance importe : la conversion n’est pas affirmée, et aucune plateforme n’est citée dans ce texte. Les comptes des clients des fédérations et des filiales n’ont pas servi de passage. Pour les clients du réseau comme pour ceux de Fortuneo, Arkéa dit qu’il n’y a pas de conséquence sur les avoirs, seulement un décalage dans l’exécution de certains virements.

Le schéma, un accès par un prestataire puis un effet chez le client final, n’est pas propre aux banques. La Région Hauts-de-France avait décrit en octobre un incident passé par des outils d’un tiers. Ici, Arkéa ne donne pas le nom de l’outil.

L’ordre de grandeur, pas le butin

À la question de savoir si 118 millions d’euros, soit 133 millions de dollars, ont été dérobés, la réponse est écrite en deux temps. « Nous ne confirmons pas ces informations et pouvons simplement valider l’ordre de grandeur. » L’évaluation précise continue. Une partie des fonds a pu être bloquée, d’autres actions visent à les recouvrer, et il est trop tôt pour un montant définitif. Le groupe répète que les sommes en jeu ne remettent pas en cause sa santé financière. Le titre de BleepingComputer, qui parle d’un casse de 133 millions de dollars déjà réalisé, va plus loin que cette phrase.

La quasi-totalité des opérations avait repris son cours dans la matinée du 4 novembre, après des vérifications et des mesures de sécurisation renforcées. Certaines transactions avaient été suspendues à titre de précaution, dès la détection, dans le cadre des procédures de crise.

L’alerte au hameçonnage n’est pas une fuite de fichiers clients

Le communiqué de 13 h évoquait l’hameçonnage. La foire aux questions précise le sens de cette phrase : dans ce type d’attaque, les tentatives pour extorquer des données confidentielles se multiplient souvent. L’avertissement est préventif. Il ne signifie pas, dans le texte du groupe, que des données de clients ont été compromises. Arkéa demande de ne jamais communiquer identifiant, mot de passe, numéro de carte ni code reçu par SMS, et de joindre son conseiller pour confirmer un message douteux, plutôt qu’un numéro dicté dans le message.

Sources

• Crédit Mutuel Arkéa, foire aux questions, 4 novembre 2026, après le communiqué de 13 h.

• Crédit Mutuel Arkéa, communiqué du 4 novembre 2026.

• BleepingComputer, 7 novembre 2026.

• KLYNLABS, 4 novembre 2026, état des lieux avant cette mise au point.