Cyberattaque chez Fortuneo : Arkéa assure que les avoirs des clients sont intacts

Le Crédit Mutuel Arkéa, maison mère de la banque en ligne Fortuneo, a reconnu mercredi 4 novembre avoir subi une cyberattaque. Dans un communiqué, le groupe qualifie l’incident de « maîtrisé » et annonce la reprise progressive des opérations.

Installé au Relecq-Kerhuon, près de Brest (Finistère), le groupe ne publie aucun montant officiel à ce stade. Il précise que l’évaluation des pertes se poursuit et qu’elles ne remettent pas en cause sa santé financière.

Fortuneo, porte d’entrée présumée d’une fraude aux virements

Le communiqué d’Arkéa ne cite pas Fortuneo. Selon France 3 Bretagne, les fraudeurs auraient pourtant obtenu la possibilité d’émettre des virements depuis cette filiale, vers les bénéficiaires de leur choix.

Les attaquants auraient visé l’argent de la banque elle-même, d’après Le Figaro. Les comptes des particuliers n’auraient pas été ponctionnés.

Les premiers transferts suspects remontent au 1er et au 2 novembre. Le 2 novembre, l’enquêteur ZachXBT, spécialiste du traçage des flux sur la blockchain, a signalé publiquement des retraits massifs en stablecoins USDC et USDT. Son estimation est passée de 106 millions à plus de 133 millions de dollars, soit environ 118 millions d’euros.

Les sommes auraient circulé par Kraken, OKX et Crypto.com, avant d’être en partie converties en Monero, une cryptomonnaie qui rend les transactions difficiles à suivre.

Les clients de Fortuneo et d’Arkéa perdent-ils de l’argent ?

Non, selon la banque. Arkéa affirme que l’attaque n’entraîne « aucune conséquence » sur les avoirs de ses clients, épargne comprise.

Le seul effet concret concerne les virements. Le groupe a suspendu certaines opérations par précaution, ce qui a provoqué une exécution différée de certains virements, avant une reprise accompagnée de mesures de sécurité renforcées.

Le tableau ci-dessous sépare ce que la banque a confirmé de ce qui reste à vérifier.

Comment éviter les faux appels de conseiller après la cyberattaque Fortuneo ?

Arkéa redoute que des escrocs profitent de l’affaire pour contacter ses clients. Le groupe rappelle qu’il ne demande jamais d’informations bancaires personnelles et invite à joindre directement son conseiller en cas de doute.

1. Ne jamais transmettre ses codes : identifiants, codes reçus par SMS et validations d’opération restent strictement personnels, même face à un interlocuteur qui se présente comme la banque.
2. Rappeler soi-même sa banque : après un appel ou un message douteux, raccrocher et utiliser le numéro habituel ou la messagerie de l’application.
3. Contrôler ses relevés et virements : vérifier dans l’espace client qu’un virement retardé est bien parti avant de le refaire, pour éviter un double paiement.
4. Signaler les SMS suspects au 33700 : ce numéro gratuit recueille les messages frauduleux pour les opérateurs et les autorités.
5. En cas d’escroquerie avérée ou de doute, le site public cybermalveillance.gouv.fr oriente les victimes vers les bons interlocuteurs.

Un faux conseiller qui évoque « la cyberattaque » pour réclamer une validation d’opération reprend un scénario courant d’hameçonnage.

Le montant réel du préjudice chez Arkéa reste à établir

Plusieurs questions restent ouvertes : le total exact des sommes détournées, leur origine précise et la raison pour laquelle des transferts étalés sur plusieurs jours n’ont pas été bloqués plus tôt.

Les établissements français subissent des intrusions répétées ces derniers mois, comme l’a montré l’attaque présumée contre les chambres froides de l’EFS. Dans le cas d’Arkéa, la récupération des fonds paraît compromise par leur conversion en Monero.

Le groupe doit encore communiquer le résultat de son évaluation des pertes, attendu par ses clients comme par ses superviseurs.

Comment nous travaillons · Signaler une erreur