Des pirates dérobent 133 millions de dollars à la banque française Crédit Mutuel Arkéa via un prestataire de services

Le Crédit Mutuel Arkéa, banque coopérative française comptant plus de 5,8 millions de membres et environ 211,5 milliards d'euros d'actifs, a été victime d'une cyberattaque ayant permis aux intrus de détourner jusqu'à 133 millions de dollars (118 millions d'euros) des comptes de la banque elle-même, selon un rapport publié le 7 novembre par BleepingComputer. La banque a révélé l'incident le 4 novembre, affirmant qu'il était désormais « totalement maîtrisé », mais elle n'a pas confirmé le montant en dollars attribué au vol.

Les failles bancaires visent généralement directement les comptes des clients. Pas cette fois. Arkéa affirme que l'attaquant est entré via la plateforme d'un prestataire de services tiers, et non par une vulnérabilité de ses propres systèmes, puis a utilisé le compte institutionnel de la banque elle-même pour effectuer des transactions avec d'autres établissements financiers et convertir les sommes en stablecoins USDC et USDT. Cette distinction compte : une faille qui transite par l'infrastructure d'un prestataire est plus difficile à détecter pour une banque avec sa propre surveillance interne, puisque le point d'accès initial se situe hors des systèmes directement surveillés par son équipe de sécurité.

L'estimation en dollars provient de l'enquêteur blockchain ZachXBT, qui a d'abord signalé des retraits inhabituels depuis plusieurs comptes d'échanges centralisés début novembre, précisant qu'environ 30 millions de dollars avaient déjà été blanchis au 3 novembre. Arkéa s'est seulement avancé à dire pouvoir « valider l'ordre de grandeur » du chiffre de ZachXBT, sans le confirmer directement. Une partie des fonds volés a depuis été bloquée, bien que la banque n'ait pas précisé le montant exact.

Arkéa affirme que cette intrusion n'a eu aucun impact sur les avoirs des clients, seulement un retard dans le traitement de certains virements, et a écarté sa banque en ligne Fortuneo comme origine de la faille. Les autorités judiciaires et la police ont été saisies pour retracer l'origine de l'attaque, et la banque met en garde ses clients contre une vague d'attaques de phishing cherchant à exploiter l'actualité de cette faille, leur recommandant de vérifier tout message suspect par téléphone auprès de leur conseiller plutôt que de cliquer sur un lien.

L'incident survient la même semaine où Binance a révélé un piratage de 6,3 milliards de dollars, le plus important vol de cryptomonnaies jamais enregistré, maintenant la criminalité financière liée aux cryptomonnaies à la une de l'actualité. Pour les banques, c'est un rappel que le risque fournisseur est désormais un risque propre à la banque : la posture de sécurité d'un prestataire de services peut devenir le point faible des défenses d'une institution, quelle que soit la protection de ses systèmes principaux. L'information a été rapportée par Bill Toulas de BleepingComputer ; le Crédit Mutuel Arkéa n'avait pas répondu à la demande de commentaire du média au moment de la publication.