118 millions d’euros. C’est le montant qui s’est volatilisé des comptes de Crédit Mutuel Arkéa lors d’une cyberattaque d’un genre nouveau. Pas un braquage à main armée, pas de fourgon blindé forcé sur une bretelle d’autoroute : juste des lignes de code, des transferts et un trou béant dans les finances d’un groupe bancaire pourtant réputé solide.
La banque, basée à Brest, a depuis réussi à récupérer « une partie » de cette somme. Une victoire partielle, donc, mais qui en dit long sur la vulnérabilité des établissements financiers face à une menace qui ne cesse de monter en sophistication. Et sur la difficulté, une fois l’argent parti, de remettre la main dessus.
Un casse sans arme, mais pas sans dégâts
Oubliez l’image du malfrat cagoulé. Le cyberbraquage, lui, se joue dans le silence des serveurs. Les fonds détournés chez Arkéa — un montant que la banque elle-même qualifie d’inédit — ont transité par des circuits conçus pour brouiller les pistes. C’est tout le problème de ce type d’attaque : quand l’argent file à la vitesse d’un virement électronique, chaque heure compte pour espérer le geler avant qu’il ne disparaisse dans la nature, souvent découpé en multiples transferts vers des comptes relais éparpillés.
Que la banque ait pu récupérer une fraction de la somme n’a rien d’anodin. Dans l’immense majorité des cyberfraudes bancaires, l’argent envolé l’est pour de bon. Les enquêteurs se heurtent à des juridictions peu coopératives, à des cryptoactifs mélangés via des services de brassage, et à une temporalité judiciaire qui joue contre les victimes. Qu’Arkéa évoque une récupération partielle suggère une réaction rapide — et probablement une coopération avec les autorités et les établissements intermédiaires par lesquels les fonds ont transité.
« Ce problème doit servir de leçon »
La formule, attribuée en interne à l’établissement, résume l’état d’esprit. Car au-delà du préjudice financier, c’est une question de crédibilité qui se joue. Une banque, c’est d’abord une promesse : celle que l’argent confié y est en sécurité. Quand cette promesse vacille, même temporairement, c’est tout l’édifice de confiance qui tremble.
Il faut le dire : aucune banque n’est à l’abri. Les grands groupes français — BNP Paribas, Société Générale, Crédit Agricole, et les mutualistes comme Arkéa — investissent des sommes colossales dans leur cybersécurité. Mais les attaquants, eux, n’ont besoin de trouver qu’une seule faille. Un maillon faible dans la chaîne — un prestataire externe, un employé piégé par un mail frauduleux, une procédure de validation contournée — et le château de cartes peut s’effondrer.
Crédit Mutuel Arkéa, ce n’est pas un acteur marginal. Le groupe, qui rassemble notamment les fédérations du Crédit Mutuel de Bretagne et du Sud-Ouest, ainsi que la banque en ligne Fortuneo, revendique plusieurs millions de clients et une assise financière robuste. Autant dire qu’un établissement de cette taille dispose en théorie de tous les moyens pour se protéger. Si lui a pu être touché, la question se pose pour tous les autres.
Ce que ça change pour les clients et le secteur
Rassurons d’emblée : dans ce type d’affaire, ce sont les fonds propres et les dispositifs de la banque qui sont visés, pas directement les comptes individuels des clients. Les épargnants et détenteurs de comptes chez Arkéa ne verront, en principe, aucune ligne disparaître de leur relevé. Le préjudice est encaissé par l’établissement.
Mais l’affaire envoie un signal qui dépasse largement la Bretagne. Pour les régulateurs — l’Autorité de contrôle prudentiel et de résolution en France, la Banque centrale européenne à l’échelon de la zone euro — la cybersécurité est devenue un risque systémique au même titre que le risque de crédit ou de liquidité. Le règlement européen DORA (Digital Operational Resilience Act), entré en application en janvier 2025, impose justement aux acteurs financiers des exigences renforcées de résilience informatique. Des affaires comme celle-ci lui donnent, hélas, toute leur justification.
Pour les lecteurs du Maghreb, où la bancarisation numérique progresse à grande vitesse et où les néobanques et services de paiement mobile se multiplient, la leçon est la même : plus un système financier se digitalise, plus il offre de prises à la fraude. Les banques marocaines, tunisiennes ou algériennes qui accélèrent leur transformation numérique héritent, avec les gains d’efficacité, de ces nouvelles vulnérabilités.
La discrétion, arme à double tranchant
Reste une zone d’ombre que l’affaire Arkéa illustre bien : la communication. Les banques victimes de cyberattaques avancent sur une ligne de crête. En parler trop tôt ou trop fort, c’est risquer d’alimenter l’inquiétude et de renseigner d’autres attaquants sur les méthodes employées. Ne pas en parler, c’est s’exposer à des accusations d’opacité. Le dosage est délicat.
À notre avis, la transparence mesurée reste la meilleure option. Reconnaître l’incident, affirmer que les clients ne sont pas lésés, et tirer publiquement les leçons de la faille : c’est ce qui, à terme, préserve la confiance. Le silence total finit toujours par se payer plus cher que l’aveu maîtrisé.
Combien Arkéa a-t-il réellement récupéré sur les 118 millions ? La banque n’a pas détaillé le montant exact. Le reste de l’enquête — menée en lien avec la justice — dira si le solde pourra un jour être rapatrié. En attendant, une certitude : le cyberbraquage n’est plus de la science-fiction. C’est une ligne, désormais, dans la cartographie des risques de toute banque qui se respecte.
