Chapeau (Extrait) :
Le parquet de Paris a ouvert mercredi 4 novembre une enquête après la cyberattaque subie par Crédit Mutuel Arkéa. La banque bretonne évalue provisoirement son préjudice à une centaine de millions d’euros, un ordre de grandeur cohérent avec les 118 millions d’euros (133 millions de dollars) avancés par Le Télégramme, chiffre que le groupe n’a pas confirmé.
Un détournement par le compte propre de la banque
Le mode opératoire décrit par Crédit Mutuel Arkéa dans son communiqué de mercredi soir tranche avec les scénarios habituels de piratage bancaire. Les assaillants n’ont pas vidé de comptes de particuliers : ils se sont servis du compte propre de l’établissement pour émettre des virements vers d’autres acteurs bancaires, avant de convertir les fonds en cryptomonnaies sur des plateformes spécialisées, selon la banque citée par l’AFP.
Le groupe, dont le siège est installé au Relecq-Kerhuon, près de Brest, affirme que les attaquants ne sont pas passés par les comptes clients de ses fédérations ou de ses filiales. Il dément aussi toute « entrée » par sa banque en ligne Fortuneo, évoquée dans certains médias : selon Arkéa, l’intrusion s’est faite via la plateforme d’un de ses prestataires. La banque écarte l’hypothèse d’une erreur humaine en interne et parle d’une « attaque sophistiquée venant de l’extérieur ». Elle indique qu’une partie des fonds a pu être bloquée et que d’autres démarches sont en cours pour les récupérer.
L’Office anticybercriminalité saisi
La section cybercriminalité du parquet de Paris a reçu mercredi matin une plainte du groupe et a « immédiatement ouvert une enquête », a indiqué le ministère public à l’AFP. Les investigations visent une atteinte à un système de traitement automatisé de données en bande organisée. Elles ont été confiées à l’Office anticybercriminalité (OFAC). Aucune revendication n’avait été rendue publique mercredi soir.
Des clients épargnés, mais un service perturbé
Dès la détection de l’incident, Arkéa a suspendu à titre préventif certaines transactions. Selon franceinfo, l’application de la banque est restée inaccessible plusieurs heures. Le groupe assure que les avoirs des clients ne sont pas touchés et que l’attaque s’est seulement traduite par des virements exécutés en différé. La quasi-totalité des opérations avait repris dès mercredi matin, après des vérifications et un renforcement des mesures de sécurité.
Sur le plan financier, la banque affirme que les montants en jeu, encore en cours d’évaluation, ne remettent pas en cause sa solidité. À titre de comparaison, Crédit Mutuel Arkéa a dégagé un bénéfice net de 230 millions d’euros au premier semestre : le préjudice estimé représente donc l’équivalent de plus de 40 % de ce résultat. Les autorités de supervision ont été informées, précise le groupe.
Cinq enseignements pour les comités de direction
Le risque passe par les tiers. Selon la version de la banque, la porte d’entrée était un prestataire et non ses propres systèmes. La cartographie des fournisseurs ayant accès aux flux critiques, leurs droits et leur niveau de sécurité relèvent désormais de la gouvernance, pas seulement de la DSI.
Surveiller les sorties de fonds autant que les intrusions. L’argent a quitté l’établissement par des virements depuis son compte propre. Les seuils d’alerte, la double validation des paiements sortants inhabituels et la détection des transferts vers des plateformes de cryptoactifs sont des contrôles à réexaminer.
Accepter de couper pour protéger. La suspension temporaire de transactions a eu un coût d’image, mais elle a limité le risque de nouveaux mouvements frauduleux. Ce type d’arbitrage doit être prévu dans le plan de continuité, avec des responsabilités claires.
Judiciariser vite. Le dépôt de plainte le jour même a permis l’ouverture immédiate d’une enquête, utile pour tenter de geler et récupérer des fonds.
Anticiper la seconde vague. Arkéa a mis en garde ses clients contre de possibles tentatives d’hameçonnage. Après une crise médiatisée, des escrocs exploitent souvent l’inquiétude du public, qu’ils soient liés ou non à l’attaque initiale.
L’affaire survient moins d’une semaine après le piratage de la plateforme Binance, qui évalue à 6,3 milliards de dollars les actifs touchés. Elle rappelle que la cybersécurité est devenue un sujet de conseil d’administration, au même titre que le risque de crédit.
