Une cyberattaque inédite coûte près de 100 millions d’euros à Arkéa

Le Crédit Mutuel Arkéa a subi un vol numérique d’une sophistication rare, monté de longue date. La banque chiffre le préjudice autour de 100 millions d’euros et assure que sa solidité n’est pas en cause.

Le président de l’établissement décrit une attaque inédite par sa technicité. Il évoque même un douteux privilège, celui d’être la première banque française, et sans doute européenne, à encaisser une attaque frauduleuse réussie. Aucune revendication ni information ne lui est parvenue. Il parle d’un groupe criminel très bien organisé, très bien équipé et très bien outillé, capable de mener un vol d’un nouveau type.

Les premiers signes remontent à fin octobre. Le système d’information d’un prestataire a été compromis et a subi une intrusion. La banque coupe aussitôt le lien avec ce prestataire et prévient les autorités compétentes. À ce stade, rien ne laisse deviner que des éléments récupérés chez ce tiers serviront ensuite à pénétrer son propre système. Le dirigeant parle d’une attaque particulièrement subtile, probablement aidée par des intelligences artificielles avancées.

Le mode opératoire repose sur des faux IBAN de Fortuneo, filiale du groupe. Ils sont générés puis utilisés pour lancer des ordres de paiement depuis le compte propre de Crédit Mutuel Arkéa vers l’extérieur, en passant par les systèmes de paiement instantané. Ces canaux ont par nature moins de contrôles que les virements classiques. L’opération démarre un dimanche. Tout est pensé pour déjouer les contrôles et faire passer ces virements illégitimes pour des opérations légitimes. L’argent file vers de vrais comptes bancaires ouverts dans d’autres banques européennes, avant de partir vers des plateformes de cryptos afin d’anonymiser son usage. Pour le président, ce vol a été préparé de longue date.

C’est le mardi matin que la banque mesure l’ampleur de l’attaque et le caractère frauduleux des mouvements. La réaction est immédiate. Tous les accès externes au système d’information sont coupés, ainsi que l’accès au système de paiement de place, pour éviter d’autres pertes et surtout la propagation. La banque lance ensuite une opération de nettoyage. Elle repère et supprime les faux comptes, puis change toutes les authentifications. La communication intervient le mercredi. Depuis, des enquêtes internes ont été diligentées et des spécialistes cyber externes sont intervenus pour comprendre ce qui s’est passé et renforcer les défenses.

Des spécialistes des cryptoactifs disent avoir repéré des transactions anormales dès le dimanche et le lundi, sans faire le lien avec Crédit Mutuel Arkéa sur le moment. La banque ne donne pas de bilan définitif car elle espère récupérer une partie des fonds. Elle discute avec son assureur. Dans plusieurs cas, des banques et des plateformes de cryptos ont pu temporiser et geler une partie des sommes, au titre de leurs obligations de vigilance. Certains fonds ont été récupérés, d’autres discussions sont en cours. Le président compte aussi sur l’enquête policière et judiciaire, qui dispose de moyens de coopération internationale que la banque n’a pas.

À lire aussi

• Morte au bord de l’A10 en 1987, Inass Touloub face à ses parents aux assises
• Un matin de tirs à deux pas de la Maison Blanche
• Un milliardaire convoqué par la justice pour avoir boudé les députés