L'alerte n'est pas venue de la banque. Dès le 2 novembre, l'enquêteur spécialisé dans la blockchain ZachXBT signale sur Telegram un vol de plus de 106 millions de dollars visant une entité européenne. Le lendemain, il relève son estimation à plus de 133 millions de dollars. Le 4 novembre, le Crédit Mutuel Arkéa, groupe bancaire basé à Brest, confirme : il a bien été victime d'une cyberattaque.
La presse évoque jusqu'à 118 millions d'euros dérobés, soit environ 77 milliards de francs CFA. Arkéa ne confirme pas le montant exact, mais en valide « l'ordre de grandeur ». Une partie des fonds aurait été bloquée, et la plateforme de cryptomonnaies Kraken aurait gelé des comptes liés au vol. Les efforts de récupération se poursuivent.
Comment les pirates ont procédé
Selon les éléments communiqués, les attaquants sont passés par la plateforme d'un prestataire externe, qui leur a donné un accès direct aux systèmes de la banque. Ils ont puisé dans le compte propre d'Arkéa, et non dans ceux des clients, pour envoyer des virements frauduleux vers d'autres banques. Les fonds auraient ensuite pu être convertis en cryptomonnaies via des plateformes spécialisées, une méthode classique pour les rendre difficiles à tracer.
Arkéa parle d'« une attaque extérieure sophistiquée » et écarte toute erreur humaine. Ses équipes ont détecté l'activité suspecte et activé les procédures de crise. Certaines opérations ont été suspendues par précaution, puis progressivement rétablies le 5 novembre. La banque travaille avec les autorités judiciaires et policières pour identifier l'origine de l'attaque.
Les clients épargnés
Côté clients, le message se veut rassurant. Ceux du Crédit Mutuel de Bretagne, du Crédit Mutuel du Sud-Ouest et de Fortuneo n'ont subi aucune perte sur leurs avoirs. Le seul effet constaté a été le retard d'exécution de certains virements. Le groupe affirme que sa solidité financière n'est pas remise en cause. Il dément aussi que les pirates soient passés par des comptes clients ou par Fortuneo, contrairement à certaines informations de presse.
Le maillon faible : les prestataires
Cette attaque confirme une tendance lourde. Les banques investissent massivement dans leur propre sécurité, mais elles dépendent de dizaines de prestataires : logiciels de paiement, hébergement, services informatiques. Il suffit qu'un seul soit vulnérable pour ouvrir une porte. C'est ce que les spécialistes appellent une attaque par la chaîne d'approvisionnement. Plus difficile à prévenir, elle est aussi plus rentable pour les pirates.
Quant à la conversion rapide en cryptomonnaies, elle rappelle les méthodes des grands groupes criminels, notamment nord-coréens, accusés d'avoir dérobé des milliards de dollars ces dernières années. Rien ne permet à ce stade d'attribuer l'attaque contre Arkéa à un groupe précis.
Et les banques africaines ?
Pour l'Afrique, l'avertissement est sérieux. Nos systèmes financiers se numérisent à grande vitesse : mobile money, banque en ligne, paiements instantanés. Ils reposent eux aussi sur des prestataires techniques, parfois étrangers, et les moyens consacrés à la cybersécurité restent souvent limités. Le casse de la Banque centrale du Bangladesh, en 2016, avait déjà montré qu'un pays en développement pouvait perdre des dizaines de millions de dollars en une nuit.
Si une grande banque européenne, avec ses moyens, peut se faire dérober plus de 100 millions d'euros, les banques et opérateurs africains doivent en tirer les leçons : audit des prestataires, surveillance des flux en temps réel, coopération avec les plateformes de cryptomonnaies pour bloquer rapidement les fonds volés.
Un conseil pour tous
Après ce type d'attaque, les tentatives d'hameçonnage se multiplient : faux SMS, faux appels de « conseillers », faux courriels. Ne communiquez jamais vos identifiants, mots de passe, numéros de carte ou codes reçus par SMS, même à quelqu'un qui se présente comme votre banque. En cas de doute, contactez directement votre conseiller.
