Crédit Mutuel Arkéa piraté : 118 M€ détournés, la traque blockchain

Le Crédit Mutuel Arkéa a confirmé ce mercredi 4 novembre 2026 avoir été victime d'une cyberattaque ayant permis « la réalisation d'opérations frauduleuses ». La banque affirme avoir maîtrisé l'incident et assure qu'il n'a aucune conséquence financière pour ses clients, sans confirmer le montant détourné.

L'affaire a ceci de particulier qu'elle n'a pas été révélée par la banque, mais par un enquêteur blockchain indépendant qui a tracé les fonds en quelques heures, pendant que la communication officielle restait prudente. Le montant qui circule dans la presse (118 millions d'euros, soit environ 133 millions de dollars) reste une estimation non confirmée par Arkéa elle-même.

01Ce que confirme officiellement la banque

Dans son communiqué relayé par Europe1 et l'AFP, le Crédit Mutuel Arkéa écrit : « Dès la détection de cette attaque, nos équipes se sont immédiatement mobilisées et ont pris, par mesure de précaution, la décision de suspendre temporairement certaines transactions ». La banque précise que l'incident est aujourd'hui maîtrisé et qu'il n'a aucune conséquence financière pour ses clients.

Le groupe Arkéa, qui réunit notamment les fédérations Crédit Mutuel de Bretagne et Crédit Mutuel du Sud-Ouest ainsi qu'une quarantaine de filiales dont la banque en ligne Fortuneo, n'a pas communiqué de chiffre précis sur les pertes. Selon Actu.fr, ce sont certains virements depuis les applications de la banque qui restent bloqués ce mercredi 4 novembre.

02Le mécanisme technique derrière la fraude

Le communiqué d'Arkéa reste volontairement flou sur le vecteur technique de l'attaque. C'est le traçage on-chain qui a permis de reconstituer une partie du mode opératoire : un accès non autorisé aux systèmes de paiement a permis de détourner des fonds, convertis ensuite en stablecoins (USDC, USDT) pour les faire transiter hors du système bancaire traditionnel.

Pourquoi convertir en crypto-actifs ?

Une fois les fonds sortis en stablecoins, les auteurs de la fraude les ont fait transiter vers des plateformes d'échange décentralisées. Selon les données de la société d'analyse blockchain Bitquery, relayées par Cryptoast, 62,98 millions de dollars de stablecoins ont été convertis en 27 553 ETH en seulement quatre heures via le protocole d'échange UniswapX. Une vitesse d'exécution qui montre que l'opération était préparée pour brouiller la traçabilité le plus rapidement possible, un mécanisme que nous avions déjà détaillé minute par minute pour le piratage de Binance à 6,3 Md$.

03L'enquête blockchain qui a devancé la banque

C'est ZachXBT, enquêteur indépendant spécialisé dans le traçage de fonds sur blockchain, qui a rendu l'affaire publique. Il a d'abord identifié 106 millions de dollars de retraits suspects en USDC et USDT, avant de réviser son estimation à plus de 133 millions de dollars transitant via des plateformes d'échange crypto.

Une enquête indépendante a retracé la fraude heure par heure, avant même que la banque ne communique le moindre chiffre.

Ce décalage entre la détection OSINT et la communication officielle n'est pas nouveau : nous l'avions déjà observé sur le piratage de Chainalysis. Il illustre une réalité désormais structurelle de la finance en ligne : les transactions crypto, publiques par nature sur la blockchain, sont souvent analysées plus vite par des chercheurs indépendants que par les services de communication des institutions touchées.

04118 millions d'euros ou 133 millions de dollars ?

Plusieurs chiffres circulent, et il est important de les distinguer selon leur source et leur statut de confirmation. Le tableau ci-dessous résume les estimations successives.

Seul le quotidien régional Le Télégramme a avancé le chiffre de 118 millions d'euros, repris ensuite par Yahoo Finance. La banque elle-même n'a confirmé aucun montant et poursuit ses investigations pour évaluer précisément les pertes.

05Ce que ça change concrètement pour les clients

Dans l'immédiat, la conséquence visible pour les clients Arkéa (Crédit Mutuel de Bretagne, Crédit Mutuel du Sud-Ouest, Fortuneo et les autres filiales du groupe) est l'impossibilité d'effectuer certains virements depuis les applications de la banque ce mercredi 4 novembre 2026, selon Actu.fr. La banque assure qu'il n'y a pas de conséquence financière pour eux.

Reste que ce type d'incident s'accompagne presque systématiquement d'une vague de phishing qui exploite l'inquiétude des clients, un schéma que nous avions documenté après la fuite de données Engie. Les tentatives d'hameçonnage se faisant passer pour la banque, promettant un remboursement ou demandant une « vérification de compte », sont à anticiper dans les jours qui suivent une telle annonce.

06La checklist à faire maintenant

Si vous êtes client Crédit Mutuel Arkéa, Crédit Mutuel de Bretagne, Crédit Mutuel du Sud-Ouest ou Fortuneo, quelques vérifications simples permettent de sécuriser votre compte en attendant les conclusions de l'enquête interne.

Les réflexes à adopter

Vérifiez vos relevés de compte sur les derniers jours à la recherche d'opérations inconnues. Activez (si ce n'est pas déjà fait) les alertes SMS ou email pour chaque mouvement sur votre compte. Ne cliquez jamais sur un lien reçu par SMS ou email vous demandant de « réactiver » ou « vérifier » votre compte suite à l'incident : contactez votre conseiller ou l'application officielle directement. Activez la double authentification (2FA) sur votre espace client si elle n'est pas encore active.

Chris Waoo

Consultant SEO · fondateur de Cat's Eye Web

Écrit sur le SEO technique, l'IA et Google Discover à partir de tests terrain. Créateur de l'outil d'audit Cat's Eye. @ChrisWaoo