Piratage du Crédit Mutuel Arkéa : si votre « banque » vous appelle ces prochains jours, ne validez rien

Crédit Mutuel Arkéa confirme une cyberattaque, sans perte pour ses clients. Le vrai danger pour eux arrive maintenant : l’appel d’un faux conseiller.

Mercredi 4 novembre au matin, Crédit Mutuel Arkéa a confirmé avoir été victime d’une attaque ayant permis « l’exécution de transactions frauduleuses ». La banque brestoise, maison mère du Crédit Mutuel de Bretagne, du Crédit Mutuel du Sud-Ouest et de la banque en ligne Fortuneo, assure que l’incident n’a aucune conséquence financière pour ses clients, et que la situation est sous contrôle.

Pour les clients du groupe, la menace la plus concrète ne vient pas du piratage lui-même. Elle viendra dans les jours qui suivent, au bout du fil, sous la forme d’un faux conseiller qui se servira de cette actualité pour vous faire valider une opération. La règle est simple : votre banque ne vous demandera jamais de valider une opération ou de lui donner un code par téléphone.

Ce que l’on sait du piratage

L’affaire est partie de la blockchain, pas d’un communiqué. Le 2 novembre, ZachXBT, enquêteur indépendant connu pour traquer les fonds volés en cryptomonnaies, signale qu’une entité européenne non identifiée a perdu plus de 106 millions de dollars, retirés de plusieurs comptes ouverts sur des plateformes d’échange. Le lendemain, il relève l’estimation à plus de 133 millions de dollars et désigne la banque concernée : Crédit Mutuel Arkéa. Le site spécialisé The Block relaie l’information dans la soirée.

Selon son analyse, l’argent a été converti en stablecoins (USDC et USDT), puis en ether, avant d’être transformé en Monero, une cryptomonnaie conçue pour rendre les transactions difficiles à suivre. ZachXBT dit avoir « un degré élevé de confiance » dans le fait que l’attaque n’est pas liée au groupe nord-coréen Lazarus, souvent cité dans les grands vols de cryptos. Il reproche aussi à la banque de ne pas avoir alerté assez vite les autorités, ce qui aurait pu permettre de geler une partie des fonds.

Le journaliste Grégory Raymond, cité par plusieurs médias, avance une piste que la banque n’a pas confirmée : les virements frauduleux seraient sortis des fonds propres de Fortuneo, et non des comptes de clients, vers des comptes crypto ouverts avec de fausses identités et des « mules ». Ce mode de blanchiment rappelle les arnaques en cryptomonnaie les plus répandues, où l’argent passe de main en main en quelques minutes pour brouiller les pistes.

Ce qui est confirmé par la banque	Ce qui reste à confirmer
Une attaque a permis des transactions frauduleuses	Le montant de 133 millions de dollars (estimation de ZachXBT)
Aucune conséquence financière pour les clients	Le point d’entrée des pirates
Les autorités et les organismes de contrôle ont été informés	Le rôle exact de Fortuneo dans les sorties de fonds
Certaines opérations ont été suspendues par précaution	L’identité des auteurs

Pourquoi les prochains jours sont risqués pour les clients

Une affaire très médiatisée est un cadeau pour les escrocs. Le scénario est connu : un appel, un numéro qui affiche parfois celui de votre agence grâce à l’usurpation, et une voix calme qui vous parle justement du piratage dont vous avez entendu parler au journal. « Votre compte fait partie de ceux qui ont été visés, il faut le sécuriser. » La suite varie peu : valider une opération dans l’application, dicter un code reçu par SMS, ou transférer son épargne vers un « compte sécurisé ».

La validation qu’on vous demande pour « bloquer » une opération est en réalité celle qui envoie votre argent aux escrocs.

Cette fraude a explosé. D’après le dernier rapport de l’Observatoire de la sécurité des moyens de paiement de la Banque de France, la fraude par manipulation, dont le faux conseiller est la forme la plus fréquente, a atteint 516 millions d’euros en 2025, en hausse de 34 % sur un an. Elle pèse désormais plus de 41 % de toute la fraude aux moyens de paiement en France. Le virement instantané est devenu l’outil préféré des fraudeurs : l’argent part en quelques secondes et devient presque impossible à récupérer. Le montant moyen détourné par virement en ligne frauduleux atteint 1 457 euros, contre 60 euros pour une fraude à la carte sur internet.

Le faux conseiller n’est d’ailleurs qu’une variante d’une famille plus large. Faux SMS de colis, voix clonées par l’IA, faux policiers : les arnaques téléphoniques les plus répandues en 2026 reposent toutes sur la même mécanique, l’urgence et la peur.

Être remboursé n’a rien d’automatique

C’est le point que beaucoup de victimes découvrent trop tard. Si vous avez validé vous-même l’opération dans votre application, la banque peut refuser de rembourser en invoquant une « négligence grave ». Les tribunaux lui donnent régulièrement raison. En avril, une cliente escroquée de 5 700 euros par un faux conseiller n’a pas obtenu gain de cause. En mai, le tribunal judiciaire de Paris a même condamné deux victimes de vishing à verser des frais de procédure à leur banque.

Autrement dit, le piratage d’Arkéa ne vous coûtera rien si l’on en croit la banque. Un appel mal géré dans les jours qui viennent, si.

Les bons réflexes si votre téléphone sonne

Quelques règles suffisent à déjouer l’immense majorité de ces appels, que vous soyez client d’Arkéa, de Fortuneo ou d’une autre banque.

Pendant l’appel

Ne validez aucune opération qui ne correspond pas à un achat que vous êtes en train de faire, même si l’interlocuteur affirme que c’est pour l’annuler. Ne communiquez aucun code reçu par SMS, ni vos identifiants. Et méfiez-vous de toute demande de transfert vers un « compte sécurisé » : il n’existe pas. Au moindre doute, raccrochez, puis rappelez votre banque avec le numéro inscrit au dos de votre carte ou dans votre application, jamais avec celui qu’on vient de vous donner.

Avant tout virement

Depuis le 9 octobre 2025, les banques de la zone euro doivent vérifier que le nom du bénéficiaire correspond bien à l’IBAN avant un virement. Si votre application vous signale une incohérence, prenez cet avertissement au sérieux : c’est souvent le signe qu’on vous fait envoyer de l’argent à quelqu’un d’autre que la personne annoncée. Un projet de numéro unique pour joindre sa banque, sur le modèle britannique, est aussi à l’étude en France pour démasquer les faux conseillers.

Si vous avez déjà validé une opération suspecte, faites opposition sans attendre, contestez le débit auprès de votre banque et portez plainte. Plus la réaction est rapide, plus les chances de bloquer les fonds sont élevées. Et inutile de vider votre livret par panique : vos dépôts restent garantis jusqu’à 100 000 euros par client et par banque, piratage ou pas.