Au lendemain de l’attaque, le Crédit Mutuel Arkéa donne quelques détails. Les clients n’ont pas été touchés, Fortuneo non plus. Les attaquants sont passés par la plateforme d’un prestataire et ont utilisé le compte propre de la banque. Le groupe ne confirme toujours pas le chiffre de 118 millions d’euros, mais il en valide “l’ordre de grandeur”.
Le compte de la banque, pas ceux des clients
Mercredi 4 novembre à 17h30, quelques heures après un premier communiqué, Arkéa publie une série de questions-réponses. La plus attendue porte sur le mode opératoire. “Les attaquants ont utilisé le compte propre de Crédit Mutuel Arkéa pour réaliser des transactions vers d’autres acteurs bancaires”, écrit le groupe. Ces établissements leur auraient ensuite potentiellement permis de convertir l’argent en cryptomonnaies sur des plateformes spécialisées. Le scénario de la veille se précise. Les attaquants ne sont passés par aucun compte client, ni dans les fédérations ni dans les filiales. L’argent est sorti directement des comptes du groupe. C’est ce qui permet à la banque d’affirmer depuis le début que l’incident n’a “aucune conséquence” sur les avoirs de ses clients.
Reste la question de l’accès. Plusieurs articles désignaient Fortuneo comme point d’entrée. La banque dément : “aucune “entrée” ne s’est faite par Fortuneo”. Selon le groupe, les attaquants “sont passés par la plateforme d’un de nos prestataires” et ont ainsi atteint directement le Crédit Mutuel Arkéa. Il s’agit donc d’une attaque par la chaîne d’approvisionnement. Le nom du prestataire n’est pas donné, la nature de son service non plus. Interrogée sur une éventuelle erreur humaine en interne, la banque écarte cette piste : “Non. Il s’agit d’une attaque sophistiquée venant de l’extérieur”. Les autorités judiciaires et policières travaillent avec elle pour établir l’origine de l’attaque et son modus operandi.
“L’ordre de grandeur”, mais pas le chiffre
Sur le montant, Arkéa ne confirme pas les 118 millions d’euros avancés par la presse, sans pour autant les contester. “Nous ne confirmons pas ces informations et pouvons simplement valider l’ordre de grandeur”, indique le groupe. Une partie des fonds a pu être bloquée. D’autres actions sont en cours pour récupérer le reste. Selon la banque, il est encore trop tôt pour donner un montant définitif. Elle affirme toutefois que les sommes en jeu ne sont “absolument pas de nature à remettre en cause” sa santé et sa solidité financière.
Côté clients, les opérations ont repris. La banque indique que la “quasi-totalité des opérations” a redémarré dans la matinée, une fois les vérifications faites et les mesures de sécurité renforcées. Le premier communiqué alertait sur le risque de phishing, ce qui laissait craindre une fuite de données. La banque explique qu’il s’agit d’un message de prévention : après une attaque de ce type, les tentatives d’hameçonnage augmentent souvent. Elle ne précise pas pour autant si des données ont été exposées.
Rappel des faits : de ZachXBT au Monero
L’affaire a été révélée par ZachXBT, un enquêteur indépendant spécialisé dans le suivi des fonds sur les blockchains. Le Télégramme a ensuite chiffré le préjudice à 133 millions de dollars, soit 118 millions d’euros. Une partie aurait par ailleurs déjà été convertie en Monero, une cryptomonnaie conçue pour rendre les transactions intraçables. Mercredi, la banque confirme donc avoir été victime d’une attaque ayant permis “la réalisation d’opérations frauduleuses”. Par précaution, elle a suspendu certaines transactions, si bien que des virements étaient impossibles depuis les applications. Le groupe réunit le Crédit Mutuel de Bretagne, le Crédit Mutuel du Sud-Ouest et une quarantaine de filiales, et compte plus de 5,8 millions de sociétaires et clients.
L’affaire tombe au moment où Binance publie le bilan du vol de 6,34 milliards de dollars subi le 29 octobre. Pour Arkéa, plusieurs questions restent sans réponse : l’identité du prestataire, la façon dont l’accès au compte propre a été obtenu et l’origine des attaquants. La banque promet de communiquer “dès que de nouveaux éléments seront disponibles”.
