ANALYSES
Crédit Mutuel Arkéa et la plateforme d'un prestataire : les leçons pour qui porte le risque cyber
Le 4 novembre 2026, Crédit Mutuel Arkéa a annoncé que des attaquants entrés par la plateforme d'un prestataire avaient utilisé le compte de la banque pour transférer plus de 100 millions d'euros, ensuite convertis en cryptomonnaies. L'analyse : la perte de fonds entre police fraude et police cyber, le cumul sur le prestataire, la vitesse de la conversion, les contrôles et des questions pour les renouvellements.
Thème de la semaine du 31 octobre au 7 novembre 2026 · par cybercoverinsurance
Le 4 novembre 2026, Crédit Mutuel Arkéa, groupe bancaire coopératif qui comprend Crédit Mutuel de Bretagne, Crédit Mutuel du Sud-Ouest et Fortuneo, a annoncé une cyberattaque ayant permis des opérations frauduleuses. Les attaquants sont entrés par la plateforme d'un prestataire et ont utilisé le compte de la banque elle-même pour envoyer des virements vers d'autres établissements. Le préjudice dépasse 100 millions d'euros. Les comptes des clients n'ont pas été touchés.
Le cas n'est ni un rançongiciel ni un vol de données. C'est un vol d'argent sur le compte propre d'une banque, passé par un prestataire et converti en cryptomonnaies en quelques heures. Pour qui porte le risque cyber, il pose trois questions : quelle police répond à une perte directe de fonds, que se passe-t-il si le même prestataire sert d'autres banques, et quels contrôles arrêtent un virement avant qu'il ne devienne irréversible.
Ce que l'on sait
L'attaque. La banque a expliqué que les attaquants « sont passés par la plateforme d'un de nos prestataires », sans le nommer, et ont utilisé le compte de la banque pour transférer des fonds vers d'autres banques, sans passer par les comptes clients des fédérations et filiales. Elle a parlé d'une attaque sophistiquée venant de l'extérieur et exclu une erreur humaine interne. Personne n'a revendiqué l'attaque (DH).
Le montant. L'estimation provisoire de la banque est d'environ 100 millions d'euros. Le Télégramme a indiqué 118 millions d'euros, en convertissant 133 millions de dollars ; la banque n'a pas confirmé ce chiffre mais a validé l'ordre de grandeur (Boursorama). Le 6 novembre, le président de la Confédération nationale du Crédit Mutuel, Daniel Baal, a confirmé que le total dépasse 100 millions et qu'une partie des fonds a été récupérée, sans préciser combien (Quartz).
La réponse. Certaines opérations ont été suspendues par précaution et presque toutes ont repris le matin du 4 novembre. La banque a porté plainte auprès de la section cybercriminalité du parquet de Paris, qui a ouvert une enquête pour accès frauduleux à un système de traitement automatisé de données en bande organisée, confiée à l'Office anticybercriminalité. La banque affirme que le montant ne menace pas sa solidité ; elle avait réalisé 230 millions d'euros de résultat net au premier semestre (Boursorama).
Le parcours des fonds. Selon les analyses on-chain de ZachXBT et Bitquery, reprises par Ostraca, les retraits de stablecoins sur les plateformes d'échange ont commencé le 1er novembre, un dimanche, et environ 108,8 millions de dollars en USDC sont sortis de Kraken, Crypto.com et OKX en 21 heures. Une partie a ensuite été convertie en ether (Ostraca). Ce sont des reconstitutions de tiers, non confirmées par la banque. Selon Daniel Baal, ce sont les plateformes elles-mêmes, avec les systèmes de sécurité de la banque, qui ont donné l'alerte (Quartz).
Ce que l'on ne sait pas. Le nom du prestataire, le type de plateforme, la manière dont elle a été compromise, la durée de l'opération et le montant récupéré ne sont pas publics.
Une perte de fonds, pas un incident de données
Le préjudice, c'est l'argent lui-même. Dans la plupart des sinistres cyber, le coût naît de l'arrêt d'activité, de la remise en état, des notifications et de la responsabilité. Ici, le préjudice principal est l'argent sorti du compte de la banque. Pour un établissement financier, cette perte relève en général de la garantie fraude des institutions financières, avec son volet fraude informatique, plutôt que de la police cyber.
La frontière entre les polices. De nombreuses polices cyber excluent ou limitent la perte de fonds propres, ou ne la couvrent qu'avec une sous-limite pour la fraude aux virements. Les garanties fraude bancaires couvrent la fraude informatique, mais souvent pas les frais d'investigation, de remise en état et de réponse à incident. Un événement comme celui d'Arkéa peut toucher les deux : la perte de fonds d'un côté, les frais d'expertise et de gestion de l'autre. Si les deux polices sont chez des assureurs différents, le risque est que chacune renvoie à l'autre.
Le déclencheur compte. Les garanties de fraude informatique répondent en général à une saisie ou modification frauduleuse de données dans les systèmes de l'assuré. Si l'entrée se fait par la plateforme d'un prestataire, le wording doit préciser si les systèmes du prestataire comptent comme ceux de l'assuré. C'est la première clause à relire.
Le prestataire comme porte d'entrée
Une plateforme, combien de banques ? Antoine Hautin, secrétaire général du cabinet de conseil Almond, a posé la question centrale : si le prestataire alimente plusieurs banques et que la méthode est reproductible, le risque devient systémique (DH). Pour qui porte le risque, c'est un scénario de cumul : un seul prestataire de services bancaires compromis, plusieurs établissements touchés le même week-end.
Le prestataire n'est pas nommé. Sans son nom, un assureur ne peut pas savoir quels autres assurés utilisent la même plateforme. C'est la même difficulté que pour le script d'un prestataire dans le cas Polymarket en octobre : la dépendance existe, mais le questionnaire ne l'enregistre pas.
DORA rend le sujet obligatoire. Pour les banques européennes, le règlement DORA impose un registre des prestataires de services TIC et la déclaration des incidents majeurs aux superviseurs. La banque a indiqué avoir prévenu les organismes compétents (Ostraca). Pour un assureur, le registre DORA est la source la plus complète pour comprendre de quels prestataires dépend un établissement.
La vitesse de la conversion
Des heures, pas des jours. Selon les reconstitutions on-chain, plus de 100 millions de dollars sont sortis des plateformes d'échange en moins d'une journée (Ostraca). Une fois convertis et déplacés, les fonds sont difficiles à récupérer. Les avocats cités par DH proposent un délai obligatoire pour les conversions de monnaie en cryptomonnaie, afin de permettre les contrôles antifraude.
Le jour choisi. Les retraits auraient commencé le dimanche 1er novembre, jour férié en France (Ostraca). Une attaque le week-end ou un jour férié profite d'une présence réduite du personnel. La question pour le questionnaire n'est pas seulement de savoir si des contrôles existent, mais s'ils fonctionnent à trois heures du matin un dimanche.
Le gel partiel a fonctionné. Kraken aurait restreint certains comptes et Tether aurait gelé environ 1,14 million d'USDT (Ostraca). La banque a récupéré une partie des fonds (Quartz). Pour le sinistre, chaque euro récupéré réduit la perte nette, et la rapidité du signalement aux plateformes est un contrôle qui pèse sur le montant final.
Les contrôles qui arrêtent le virement
Des limites sur le compte propre. Les contrôles sur les paiements sortants sont souvent conçus pour les comptes clients. Ici, c'est le compte de la banque qui a été utilisé. Seuils, double validation et vérification des nouveaux bénéficiaires doivent aussi s'appliquer aux mouvements de trésorerie et aux flux générés par des plateformes tierces.
La surveillance des flux anormaux. Une série de virements vers des destinations nouvelles, un jour férié, vers des établissements qui alimentent à leur tour des plateformes de cryptomonnaies, est un schéma reconnaissable. La question est de savoir si la surveillance le détecte automatiquement ou seulement quand quelqu'un regarde.
Les accès du prestataire. Si la plateforme du prestataire peut créer des ordres de paiement pour le compte de la banque, ces accès doivent être traités comme des accès à privilèges : droits minimaux, authentification forte, journalisation et revue périodique.
Ce qu'il faut apporter aux renouvellements
Impact pour les assureursÉlevé
Un vol de plus de 100 millions d'euros sur le compte propre d'une banque, passé par la plateforme d'un prestataire non nommé, montre un risque de perte directe de fonds et un cumul possible sur plusieurs établissements.
Côté portefeuille, le cas Arkéa suggère de demander aux établissements financiers assurés quelles plateformes de paiement et de trésorerie ils partagent, et d'intégrer aux tests de cumul un scénario dans lequel un prestataire commun est utilisé pour des virements frauduleux depuis plusieurs banques le même week-end, avec perte directe de fonds et frais de réponse pour chacune.