Crédit Mutuel Arkéa victime d'une cyberattaque : des opérations frauduleuses, Fortuneo visée selon Le Figaro

· Par Edouard Schlumberger
👈 les autres actualités

Le Crédit Mutuel Arkéa a annoncé le 4 novembre 2026 avoir été victime d'une cyberattaque ayant permis la réalisation d'opérations frauduleuses. Selon Le Figaro, c'est sa banque en ligne Fortuneo qui a été visée, pour un montant qui s'élèverait à au moins 150 millions d'euros. Pour un DPO ou un RSSI du secteur financier, l'incident est d'abord un cas d'école de gestion de crise sous DORA, et un rappel que les obligations de notification ne se superposent pas toujours.

Ce qui s'est passé

Dans un communiqué daté de Brest, le groupe, qui réunit le Crédit Mutuel de Bretagne, le Crédit Mutuel du Sud-Ouest et une quarantaine de filiales dont Fortuneo, indique que, dès la détection de l'attaque, il s'est rapproché des « instances compétentes et de supervision ». Par précaution, il a suspendu temporairement certaines transactions pour prévenir tout nouveau mouvement frauduleux.

Le groupe présente l'incident comme « clos et aujourd'hui maîtrisé ». Les opérations ont repris progressivement dans la matinée du 4 novembre, après des vérifications et la mise en place de mesures de sécurisation renforcées. Selon le communiqué, l'attaque n'entraîne aucune conséquence sur les avoirs des clients, seulement une exécution différée de certains virements. Les montants touchés sont « encore en cours d'évaluation » et ne sont, selon le groupe, pas de nature à remettre en cause sa solidité financière.

Le reste n'est, à ce stade, pas confirmé par la banque. D'après Le Figaro, les pirates auraient ciblé les fonds propres de Fortuneo et non les comptes clients, l'attaque aurait duré plusieurs jours et les sommes auraient été transférées vers des plateformes de cryptomonnaies. Le journaliste Grégory Raymond, cité par le quotidien, avance que les fraudeurs auraient pu émettre des virements en fixant eux-mêmes le nom du bénéficiaire, et évoque une possible « faille humaine en interne », peut-être une variante de l'arnaque au président. Le vecteur d'entrée n'est pas établi. Le communiqué ne mentionne aucune donnée personnelle compromise.

Pourquoi c'est important

Pour un établissement de crédit, ce type d'événement relève d'abord du règlement DORA. Son article 19 impose de déclarer les incidents majeurs liés aux TIC à l'autorité compétente, après classification selon les critères du règlement délégué (UE) 2024/1772. Les délais sont fixés par l'article 5 du règlement délégué (UE) 2025/301 : notification initiale dans les 4 heures suivant la classification comme majeur, et au plus tard 24 heures après en avoir eu connaissance ; rapport intermédiaire au plus tard 72 heures après ; rapport final au plus tard un mois après le dernier rapport intermédiaire. Quand l'incident affecte les intérêts financiers des clients, ceux-ci doivent aussi être informés sans retard injustifié (art. 19, §3). Le communiqué d'Arkéa indique que les superviseurs ont été informés dès la détection, sans préciser le cadre de cette déclaration.

Les superviseurs européens avaient déjà montré l'ampleur du phénomène : leur premier bilan des incidents TIC majeurs recensait 3 383 déclarations en un an.

Le RGPD n'entre en jeu que si des données personnelles ont été atteintes. Dans ce cas, le même incident devient aussi une violation au sens de l'article 33 du RGPD, avec un autre destinataire, la CNIL, et un autre délai, 72 heures. Deux circuits, deux horloges, et souvent deux équipes : c'est là qu'une cellule de crise peut perdre du temps.

Ce que ça change pour les organisations

  • Vérifier que la grille de qualification d'un incident croise bien les deux régimes : incident TIC majeur au sens de DORA d'un côté, violation de données personnelles de l'autre, avec le responsable de chaque déclaration nommé à l'avance.
  • Tenir prêts les modèles de notification et le registre des violations, pour que l'analyse d'impact sur les données ne soit pas improvisée pendant la crise (voir notre guide sur la réaction à une violation de données).
  • Revoir les contrôles sur les opérations sensibles : double validation des virements inhabituels, séparation des tâches, procédure de vérification par un second canal en cas de demande urgente d'un dirigeant.
  • Anticiper l'hameçonnage qui suit l'annonce publique d'un incident : Arkéa l'a fait dès son communiqué, en rappelant de ne jamais communiquer identifiant, mot de passe, numéro de carte ou code reçu par SMS.

Ce que Leto en pense

Tant que le vecteur n'est pas connu, il serait hasardeux d'accabler la banque. La séquence rendue publique, détection, information des superviseurs, suspension ciblée puis reprise progressive, est celle que décrivent DORA et les mesures 5.24 à 5.26 de l'annexe A d'ISO/IEC 27001:2022 sur la gestion des incidents. Si la piste de l'ingénierie sociale se confirmait, la leçon porterait moins sur la technique que sur la mesure 6.3, la sensibilisation des équipes : un collaborateur entraîné à reconnaître une fausse demande urgente reste la dernière barrière. C'est l'objet de nos parcours de sensibilisation. Pour aller plus loin, voir aussi les bons réflexes à adopter avant la prochaine attaque.

Sources

Restez connecté(e).

Téléchargez notre application mobile de veille RGPD, Intelligence Artificielle et Cybersécurité. 
100% gratuite. 
Je télécharge

Discutons ensemble - et voyons comment Leto peut vous simplifier votre quotidien

Demander une démo