Piratage du Crédit Mutuel Arkéa : la banque prévient ses clients que des escrocs pourraient s'en servir pour leur soutirer leurs codes

Une centaine de millions d'euros : c'est l'ordre de grandeur que le Crédit Mutuel Arkéa a lui-même avancé, provisoirement, pour chiffrer le préjudice de la cyberattaque dont il a été victime. Les clients du Crédit Mutuel de Bretagne, du Crédit Mutuel du Sud-Ouest et de Fortuneo ont découvert la situation de la pire façon — des virements en attente, des opérations bloquées, un silence numérique qui en dit long. Mais la phase la plus dangereuse pour les particuliers commence souvent après l'incident, pas pendant.

Ce qui s'est passé

Le Crédit Mutuel Arkéa est le groupe fédérateur de plusieurs entités régionales indépendantes du réseau national du Crédit Mutuel. Il chapeaute notamment le Crédit Mutuel de Bretagne, le Crédit Mutuel du Sud-Ouest, et la banque en ligne Fortuneo — trois enseignes qui partagent une infrastructure informatique commune. C'est précisément cette mutualisation technique qui a transformé une attaque unique en perturbation généralisée.

Les détails techniques de l'intrusion n'ont pas été rendus publics à ce stade, ce qui est habituel dans ce type d'affaire : communiquer trop tôt sur les failles exploitées reviendrait à en signaler d'autres. Ce que la banque a confirmé, en revanche, c'est que des fonds ont effectivement quitté ses caisses. Le chiffre d'une centaine de millions d'euros, avancé en fin de journée mercredi, reste provisoire — les audits post-attaque prennent du temps, et les montants définitifs sont souvent révisés.

L'argent des clients est-il perdu ?

La réponse courte : non, pas pour les particuliers. En droit français, les établissements de crédit sont tenus de rembourser les opérations non autorisées dès lors que le client les signale dans les délais légaux — treize mois pour une opération frauduleuse sur un compte, selon l'article L. 133-24 du Code monétaire et financier. La charge de la preuve repose sur la banque, non sur le client.

Dans le cas d'une attaque externe — c'est-à-dire quand la fraude ne résulte pas d'une négligence grave de l'utilisateur —, la responsabilité de l'établissement est encore plus clairement engagée. Les clients dont des virements ont été détournés à leur insu ont donc des recours solides. L'essentiel est d'agir vite : signaler par écrit, conserver les relevés, ne pas attendre.

Le vrai danger : la vague de phishing qui suit

C'est ici que la vigilance doit redoubler. Une cyberattaque bancaire de cette ampleur ne se résume jamais à l'argent sorti des serveurs. Elle produit une seconde menace, souvent plus efficace, qui cible directement les clients : l'hameçonnage de rebond.

Le mécanisme est rodé. Des escrocs — qui n'ont aucun lien avec les auteurs de l'attaque initiale, mais qui suivent l'actualité — exploitent l'inquiétude des clients pour se faire passer pour la banque. Un SMS, un courriel, parfois un appel téléphonique : le message joue sur l'urgence ("votre compte a été compromis, validez votre identité"), reproduit les codes visuels de l'établissement, et demande des informations que la vraie banque ne sollicite jamais — mot de passe, code de validation, numéro de carte complet.

Le Crédit Mutuel Arkéa a lui-même alerté ses clients sur ce risque. Ce n'est pas une précaution rhétorique. Après chaque incident médiatisé de ce type, les tentatives d'hameçonnage augmentent de façon mesurable. Les fraudeurs savent que les clients sont en état d'alerte, donc réceptifs à tout message qui semble officiel et urgent.

Une banque ne vous demandera jamais, par téléphone ou par courriel, votre code secret, votre mot de passe ou un code reçu par SMS. Jamais.

Ce qu'il faut faire maintenant

Si vous êtes client du Crédit Mutuel de Bretagne, du Crédit Mutuel du Sud-Ouest ou de Fortuneo, quelques réflexes s'imposent — non par panique, mais par méthode.

• Vérifiez vos relevés en ligne et notez toute opération que vous ne reconnaissez pas.
• Ne répondez à aucun courriel ou SMS vous demandant de "confirmer" vos coordonnées bancaires, même si l'expéditeur semble être votre banque.
• Si vous recevez un appel d'un interlocuteur se présentant comme conseiller Arkéa, raccrochez et rappelez vous-même le numéro officiel figurant sur votre contrat ou le dos de votre carte.
• Signalez toute tentative de fraude sur la plateforme gouvernementale Cybermalveillance.gouv.fr, qui offre également des conseils pratiques.
• En cas de doute sur une opération, contactez votre agence par les canaux habituels — pas via un lien reçu par message.

La cyberattaque contre Arkéa rappelle que la sécurité bancaire n'est plus seulement une affaire de coffres et de caméras. Elle se joue désormais aussi dans la boîte de réception et sur l'écran du téléphone. Le maillon le plus sollicité, in fine, c'est le jugement du client.

Source : Senioractu.com.