Des millions d'euros volés, une attaque inédite, une enquête ouverte... Ce que l'on sait du piratage du Crédit mutuel Arkéa

Comment des pirates informatiques ont-ils pu s'introduire dans les systèmes du Crédit mutuel Arkéa et lui dérober plusieurs dizaines de millions d'euros ? Le groupe bancaire, qui réunit les fédérations de Bretagne et du Sud-Ouest de la maison mère, ainsi que des filiales spécialisées, comme Fortuneo, a confirmé l'attaque dans un communiqué mercredi 4 novembre. Il a assuré que des mesures de sécurité avaient été prises.

Ce cambriolage numérique n'aura aucune conséquence pour les clients, promet l'entreprise, qui poursuit ses investigations. Une enquête a été ouverte. Franceinfo résume ce que l'on sait de cette affaire, inédite dans un secteur généralement bien protégé.

Des spécialistes estiment les montants dérobés à 118 millions d'euros (133 millions de dollars). "Nous ne confirmons pas ces informations", a de son côté affirmé le Crédit mutuel Arkéa dans un second communiqué publié mercredi en fin d'après-midi. Le groupe peut "simplement valider l'ordre de grandeur" – soit plusieurs dizaines de millions d'euros. "Une partie des fonds concernés a pu être bloquée, et d'autres actions sont en cours afin de les recouvrer", a-t-il ajouté.

"Il est donc encore trop tôt pour communiquer un montant définitif", a résumé le Crédit mutuel Arkéa, qui fait partie de la Confédération nationale du Crédit mutuel (CNCM), mais garde une grande indépendance vis-à-vis de l'organe central du groupe qui compte 19 fédérations. Il n'est "absolument pas de nature à remettre en cause la santé et la solidité financière du Crédit mutuel Arkéa". L'entreprise a dégagé un bénéfice net de 230 millions d'euros sur les six premiers mois de l'année, d'après son rapport semestriel.

"Les attaquants ont utilisé le compte propre de Crédit mutuel Arkéa pour réaliser des transactions vers d'autres acteurs bancaires", a détaillé le groupe. C'est pourquoi le piratage "n'entraîne aucune conséquence sur [les] avoirs" des clients. Le groupe a évoqué "seulement (...) une exécution différée de certaines opérations de virement". "La quasi-totalité des opérations a pu reprendre son cours dans la matinée [de mercredi], après que le groupe et ses filiales se sont assurés de vérifications et de la mise en place de mesures de sécurisation renforcées."

Crédit Mutuel Arkéa a tout de même mis en garde ses clients contre des tentatives d'arnaques, via du "phishing" (des messages se faisant passer pour la banque). Si l'entreprise n'a mentionné aucun vol de données, une telle attaque peut en revanche entraîner une vague d'arnaques menée par des cybercriminels opportunistes, qui surfent sur l'inquiétude des clients. "Il nous semble donc indispensable de sensibiliser nos clients à titre préventif en les appelant à la plus grande vigilance", a souligné la société.

De premières théories évoquées sur les réseaux sociaux ont imaginé que l'attaque avait pu passer par l'appareil d'un employé ou d'un prestataire infecté à son insu par un virus, qui aurait volé ses identifiants ou permis un accès plus large au réseau du groupe bancaire. Ce mode opératoire est régulièrement utilisé, comme le montrent les piratages de la plateforme de cryptomonnaies Binance, début novembre, et de la direction générale des finances publiques (DGFiP), au cours de l'été.

Cependant, le Crédit Mutuel Arkéa a écarté toute "erreur humaine", excluant ainsi bon nombre de modes opératoires : "Il s'agit d'une attaque sophistiquée venant de l'extérieur." Ses "équipes travaillent avec les autorités compétentes, judiciaires et policières, pour déterminer précisément l'origine de l'attaque et son modus operandi".

"Contrairement à ce qui a pu être écrit" sur les réseaux sociaux, "aucune 'entrée' ne s'est faite par Fortuneo", la banque en ligne propriété de Crédit mutuel Arkéa, a par ailleurs écrit l'entreprise. Elle a assuré que "les attaquants sont passés par la plateforme d'un de nos prestataires et ont ainsi atteint le Crédit mutuel Arkéa directement", sans donner davantage de précisions.

Le vol n'était que la première étape. Cet argent a ensuite été transféré et converti sur des plateformes d'échange de cryptomonnaies, avant d'être une nouvelle fois subdivisé entre des portefeuilles crypto de plus en plus nombreux.

Certaines de ces plateformes ont entrepris de bloquer les fonds volés. La plateforme américaine de cryptomonnaies Kraken, par exemple, a expliqué au média spécialisé Cointelegraph avoir "restreint" des comptes soupçonnés d'être impliqués dans les mouvements de fonds et "travaille avec les autorités pour soutenir les efforts de récupération". La plateforme Crypto.com a déclaré au même site avoir "pris les actions appropriées pour empêcher tout fonds associé à cet incident tiers de passer par" elle.

"Cet incident est clos et aujourd'hui maîtrisé", a écrit le Crédit mutuel Arkéa dès son premier communiqué. Il a précisé ensuite que ses "dispositifs de sécurité ont permis d'identifier très rapidement les activités suspectes et de prendre les mesures nécessaires pour contenir l'attaque".

"Dès l'identification de cette attaque, nos équipes ont immédiatement activé les dispositifs de sécurité nécessaires pour contenir l'incident et empêcher tout nouveau mouvement frauduleux à notre encontre", a-t-il détaillé. Le groupe, "conformément aux procédures usuelles", s'est ensuite "rapproché des instances compétentes et de supervision, afin de les informer de la situation".

La section cybercriminalité du parquet de Paris a été "destinataire" mercredi matin "d'une plainte" du groupe Crédit Mutuel Arkéa et "a immédiatement ouvert une enquête", a précisé le ministère public, mercredi soir, sollicité par l'AFP. Les investigations portent sur une "atteinte à un système de traitement automatisé de données en bande organisée" et ont été confiées à l'Office anticybercriminalité (Ofac).