Ce piratage ne ressemble pas à ceux que nous redoutons d'ordinaire : les escrocs ne se sont pas servis dans les comptes des clients, ils ont puisé dans la trésorerie de la banque elle-même. D'après le Crédit Mutuel Arkéa, les attaquants ont utilisé son compte propre pour réaliser des transactions vers d'autres acteurs bancaires, ce qui leur a ensuite potentiellement permis de convertir cet argent en cryptomonnaie. Ils sont entrés par la plateforme d'un prestataire du groupe, sans passer par les comptes de ses clients.

Le montant exact n'est pas arrêté. Interrogé sur le chiffre de 118 millions d'euros qui circule, le Crédit Mutuel Arkéa ne le confirme pas et se contente d'en valider l'ordre de grandeur. Une partie des fonds a pu être bloquée, et la banque mène d'autres actions pour récupérer le reste. La section cybercriminalité du parquet de Paris a, elle, ouvert une enquête mercredi matin, dès réception de la plainte du groupe.
 

Le groupe réunit les fédérations du Crédit Mutuel de Bretagne et du Sud-Ouest, ainsi que des filiales comme la banque en ligne Fortuneo. Pour leurs clients, le Crédit Mutuel Arkéa assure que l'incident n'entraîne aucune conséquence sur leurs avoirs. Il a seulement retardé l'exécution de certains virements, le temps que la banque suspende des transactions par précaution, et la quasi-totalité des opérations a repris mercredi dans la matinée.

Mais nous avons aussi lu, dès mercredi matin, que les pirates seraient passés par Fortuneo. Le Crédit Mutuel Arkéa le dément : aucune « entrée » ne s'est faite par sa banque en ligne. Il ajoute que les montants en jeu ne sont pas de nature à remettre en cause sa solidité financière.

Et si, un jour, une banque française tombait vraiment en faillite ? Ce n'est pas le scénario de cette affaire, mais la question revient à chaque alerte. Le Fonds de garantie des dépôts et de résolution couvre vos comptes courants et vos livrets bancaires jusqu'à 100 000 € par client et par établissement bancaire. Votre Livret A, votre LDDS et votre LEP sont garantis à part par l'État, jusqu'à 100 000 € également.
 

Sauf que le danger, pour les clients, ne s'est pas éteint avec l'incident. Le Crédit Mutuel Arkéa prévient lui-même que des tentatives d'hameçonnage sont possibles après cette attaque, autrement dit de faux messages qui imitent ceux de votre banque. Interrogé sur une éventuelle fuite des données de ses clients, le Crédit Mutuel Arkéa répond qu'après des attaques de cette nature, il est fréquent d'observer une recrudescence des tentatives de phishing.

Le piège prend la forme d'un mail qui reprend le logo et la signature de votre banque, évoque le piratage et vous invite à cliquer sur un lien pour « sécuriser » votre argent. Ces escrocs n'ont pas forcément de lien avec les auteurs de l'attaque : ils surfent sur l'inquiétude des clients. D'ailleurs, les clients de Fortuneo ont reçu mercredi soir un message qui les appelait à une vigilance renforcée face au phishing.
 

La consigne du Crédit Mutuel Arkéa tient en une liste : ne jamais communiquer son identifiant, son mot de passe, le numéro de sa carte bancaire ni le code de validation reçu par SMS. Je l'étendrais sans hésiter aux appels, car un escroc peut faire s'afficher sur votre téléphone le numéro de votre agence.

En cas de doute, la banque demande de contacter directement votre conseiller pour lui faire confirmer le message reçu. Directement, cela veut dire raccrocher, puis composer vous-même le numéro habituel de votre agence ou passer par votre application, jamais par le lien ou le numéro qu'on vous a donné. Un vrai conseiller ne vous demandera pas non plus de valider ou d'annuler une opération sur votre application pour la « bloquer ».
 

Vous découvrez sur votre relevé un paiement ou un virement que vous n'avez pas ordonné ? Selon le code monétaire et financier, votre banque rembourse une opération non autorisée immédiatement, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant votre signalement. Ce signalement doit être fait sans tarder, et au plus tard dans les treize mois suivant la date du débit.
 
Or la situation change si c'est vous qui avez validé le virement, au téléphone, sous la pression d'un faux conseiller. L'opération n'est alors plus forcément regardée comme non autorisée, et la banque peut contester le remboursement. Dans l'affaire du Crédit Mutuel Arkéa, c'est la banque qui a payé la note ; avec un faux conseiller au bout du fil, c'est votre compte qui risque d'être vidé.