Ce que le piratage d'Arkéa dit du tiers de confiance

Une attaque contre la banque, racontée depuis le guichet

À la date du 7 novembre 2026, la chronologie publique tient en trois jours. Le mercredi 4 novembre, à 13 heures, le groupe bancaire coopératif basé près de Brest annonce une attaque ayant permis « la réalisation d'opérations frauduleuses ». Il a suspendu certaines transactions par précaution et prévenu ses superviseurs. Le message central s'adresse aux clients : leurs avoirs ne sont pas touchés, seuls certains virements ont été retardés.

À 17 h 30, un second communiqué décrit le chemin de l'attaque. Les attaquants ont utilisé « le compte propre de Crédit Mutuel Arkéa » pour envoyer des fonds vers d'autres établissements, qui leur auraient ensuite permis de les convertir en cryptomonnaie. La banque dément toute entrée par sa filiale en ligne Fortuneo et affirme que les attaquants sont passés par la plateforme d'un de ses prestataires pour l'atteindre directement. Elle écarte l'erreur humaine et parle d'une attaque sophistiquée venue de l'extérieur.

Le montant reste une estimation. Selon Le Monde Informatique, l'affaire a été rendue publique par ZachXBT, enquêteur indépendant qui trace les fonds sur les chaînes de blocs. Le Télégramme a avancé 133 millions de dollars, soit 118 millions d'euros, chiffre repris par Euronews et Silicon.fr, et franceinfo plus de 100 millions d'euros. La banque ne confirme pas et valide seulement l'ordre de grandeur. Il s'agit d'un montant détourné avant recouvrement, dont une partie a été bloquée.

Le même jour, la section cybercriminalité du parquet de Paris a ouvert une enquête sur plainte du groupe, confiée selon franceinfo à l'Office anticybercriminalité (OFAC) pour atteinte à un système de traitement automatisé de données en bande organisée. Le 6 novembre, sur France 5, Daniel Baal, président de la Confédération nationale du Crédit Mutuel, a déclaré qu'Arkéa avait déjà récupéré une partie des sommes, sans en donner le montant. Les Echos, qui rapportent ses propos, précisent que la faille est venue d'un prestataire ciblé en premier, puis que les attaquants ont visé « un compte de passage » qui sert à la banque pour réaliser des transactions. Ni l'identité du prestataire ni la nature de sa plateforme n'ont été rendues publiques.

Un chiffre pour situer l'événement

Un montant de 100 à 118 millions d'euros représente entre 0,05 % et 0,06 % du total de bilan de 211,5 milliards d'euros déclaré par Arkéa, mais entre 43 % et 51 % de son bénéfice net du premier semestre 2026 (230 millions d'euros, selon franceinfo). C'est un montant brut, avant recouvrement, et non une perte constatée. L'écart entre les deux ratios dit l'essentiel : l'incident ne menace pas la solidité de la banque, il pèse sur son résultat. Le sujet n'est pas prudentiel, il est organisationnel.

La question des clients a recouvert celle de la trésorerie

La communication d'Arkéa a répondu, légitimement, à la question qui se posait dans chaque agence : l'épargne des déposants est-elle touchée ? La presse a suivi cette pente. Euronews titre sur l'absence de pertes pour les clients, Silicon.fr ouvre sur le fait qu'aucun client n'est touché, et Daniel Baal a insisté sur l'absence de préjudice pour les particuliers. Le récit s'est organisé autour du déposant rassuré, de l'attaquant habile et de la traque des fonds en cryptoactifs.

Le fait structurant est l'inverse de ce que ce récit met en avant. Les clients ne sont pas touchés précisément parce que la cible était la trésorerie de la banque. L'argent sorti appartient à l'établissement, qui portera la perte. La question d'un directeur général ou d'un directeur financier n'est donc pas celle du client. C'est celle que Le Monde Informatique relève sans pouvoir y répondre : Arkéa n'a pas précisé comment les opérations frauduleuses ont pu être autorisées. Un expert interrogé par Le Monde, Gabriel de Brosses, rappelait, selon franceinfo, que les banques disposent normalement de mécanismes destinés à empêcher les mouvements financiers importants et incontrôlés.

Rien de public ne permet de dire comment les contrôles d'Arkéa étaient conçus, ni de prêter une défaillance à quiconque. La banque affirme que ses dispositifs ont repéré très vite les activités suspectes, et Les Echos indiquent que les plateformes de cryptoactifs ont donné l'alerte en parallèle. Mais la forme de l'attaque, telle que la banque l'a décrite, suffit à dessiner un mécanisme : une plateforme extérieure constituait un chemin jusqu'au compte par lequel la banque fait transiter ses propres flux.

Szabo appelait cela une faille, pas une relation de confiance

Dans son essai de 2001, Nick Szabo part d'une observation de concepteur. Supposer un tiers de confiance ne résout pas un problème de sécurité, cela le déplace vers des contrôles traditionnels, coûteux et humains (l'audit, le droit, la sélection du personnel). Les organisations sont tentées de supposer ce tiers plutôt que de le concevoir, note-t-il, parce que l'hypothèse simplifie l'architecture et que son coût n'apparaît qu'au moment où elle cède.

Le point le plus utile pour une direction est terminologique. Dans la version révisée de son texte, reprenant des remarques d'Alan Karp et de Mark Miller, Szabo propose de remplacer le verbe « faire confiance » par « être vulnérable à ». Il écrit : « “Trusted third party” as used in this essay becomes “vulnerable to a third party” » (le « tiers de confiance » devient, dans cet essai, « vulnérable à un tiers »). La substitution change la lecture d'un contrat de prestation. Là où l'organisation écrit qu'elle confie un service, elle devrait lire qu'elle accepte une vulnérabilité, qu'il lui reste à couvrir.

Appliquée à Arkéa, la grille se lit dans la phrase même du second communiqué : les attaquants sont passés par la plateforme d'un prestataire et ont ainsi atteint la banque directement. Rien n'indique que le prestataire ait été malveillant, et la banque ne lui impute aucune faute. Sa plateforme était simplement un endroit où la banque, pour ses propres flux, était vulnérable à un tiers. Le « compte de passage » décrit par Les Echos donne à cette vulnérabilité une forme comptable : un compte conçu pour faire circuler l'argent de l'établissement, atteint depuis l'extérieur.

Le concept : tiers de confiance et faille de sécurité (Nick Szabo, 2001)

Dans « Trusted Third Parties are Security Holes », publié en 2001 et révisé en 2004 et 2005, l'informaticien et juriste Nick Szabo soutient que l'invocation d'un tiers de confiance dans un dispositif de sécurité y introduit une faille. Sa méthode tient en deux étapes : identifier chaque tiers supposé en décrivant ce qu'il est censé faire et ne pas faire, puis attacher à chacun un coût et un risque. Son terrain est celui des protocoles cryptographiques, et sa réponse technique (répartir la confiance entre plusieurs parties) ne se transpose pas telle quelle à une banque. Sa grammaire, si : chaque délégation est une exposition.

À Dacca, en 2016, les ordres étaient authentifiés et le donneur d'ordre ne l'était pas

Le précédent le plus connu d'une institution financière vidée par son propre canal reste le vol subi par la banque centrale du Bangladesh. Selon le département de la Justice des États-Unis, les attaquants ont volé 81 millions de dollars à Bangladesh Bank en février 2016. Entrés dans son réseau par hameçonnage ciblé, ils ont atteint les ordinateurs reliés à la messagerie interbancaire SWIFT et envoyé des messages authentifiés de manière frauduleuse, demandant à la Federal Reserve Bank de New York de virer des fonds vers des comptes en Asie.

Deux ans plus tard, selon une dépêche Reuters reprise par Al Jazeera, les fonds avaient transité par des comptes de la Rizal Commercial Banking Corp (RCBC) à Manille avant de disparaître dans les casinos philippins, et Bangladesh Bank n'en avait récupéré qu'environ 15 millions de dollars. La banque centrale philippine avait infligé à RCBC une amende record d'un milliard de pesos. RCBC imputait la perte à la négligence de la banque bangladaise, qui voulait associer la Réserve fédérale et SWIFT à son action en justice comme victimes.

La proximité structurelle avec Arkéa tient en trois traits. La cible était le compte d'une institution, non ceux de ses clients. La contrepartie a exécuté parce que le canal authentifiait l'émetteur. La responsabilité s'est ensuite déplacée le long de la chaîne des tiers. Les différences sont réelles : à Dacca, les attaquants agissaient depuis les systèmes de la banque elle-même, alors qu'Arkéa situe l'entrée chez un prestataire. Mais l'épisode montre ce que Szabo décrivait. SWIFT et la Réserve fédérale fonctionnaient comme des tiers de confiance, et c'est la fiabilité même du canal qui a rendu les faux ordres exécutables.

Le compte propre est le seul compte sans tiers vigilant

Le mécanisme que ces deux affaires rendent visible tient à une asymétrie de rôles. Pour les flux de ses clients, une banque est elle-même le tiers vigilant : elle authentifie, plafonne, filtre et interroge les opérations atypiques. Pour ses propres flux, l'établissement est à la fois donneur d'ordre et gardien, et la vigilance qu'il exerce pour autrui peut céder la place à la confiance accordée aux canaux qui portent ses ordres.

Cette confusion produit un angle mort de gouvernance plutôt qu'une faute. Les dispositifs de contrôle se construisent autour des risques que l'organisation sait nommer (la fraude au client, la fuite de données, la conformité), parce que ce sont ceux qui engagent sa réputation. Les flux de trésorerie, moins nombreux et réputés maîtrisés, reposent davantage sur l'habilitation des canaux. Lorsqu'un canal est compromis, l'ordre frauduleux ressemble exactement à un ordre légitime, comme à New York en 2016.

La délégation transfère l'exécution, jamais l'exposition. Arkéa supportera dans ses comptes la part des fonds non récupérée, quelle que soit l'origine technique de l'intrusion. Le tiers fait le travail, l'organisation garde le risque, et la faille n'apparaît qu'une fois exploitée.

Partout où un tiers peut parler au nom de l'organisation

Le mécanisme ne suppose ni une banque, ni des cryptoactifs, ni un attaquant exceptionnel. Il se reproduit dès que trois conditions se rencontrent. Une plateforme extérieure peut initier ou relayer des mouvements sur les ressources propres de l'organisation (trésorerie, paie, paiements aux fournisseurs, consoles d'administration d'un service en nuage). Les contrôles les plus élaborés visent les flux traités pour d'autres plutôt que ceux que l'organisation émet pour elle-même. La validité d'un ordre est déduite du canal par lequel il arrive.

Une direction financière qui externalise ses règlements, une collectivité qui confie sa paie, un industriel dont l'éditeur administre le progiciel de gestion à distance réunissent souvent ces trois conditions sans les avoir décrites ensemble. Les signes en sont observables : un registre des prestataires qui recense des services mais pas les droits de chaque plateforme sur les comptes propres, des tableaux de bord de fraude qui ignorent les virements sortants de la trésorerie, des scénarios de crise qui commencent par une fuite de données et jamais par un ordre authentique émis au mauvais nom.

Grille de lecture

1. Combien de plateformes extérieures peuvent initier ou relayer un mouvement sur les comptes propres de l'organisation, et cette liste existe-t-elle sous une forme consolidée ?
2. Pour chacune, quel contrôle indépendant du canal s'applique avant l'exécution d'un ordre sortant inhabituel ?
3. Les indicateurs de fraude suivis en comité couvrent-ils les flux émis pour compte propre, ou seulement ceux des clients et des usagers ?
4. Le contrat de chaque prestataire décrit-il ce qu'il ne doit pas pouvoir faire sur les ressources de l'organisation ?
5. Le dernier exercice de crise partait-il d'un ordre authentifié mais illégitime ?

Ce que diront les comptes d'Arkéa et l'enquête

Le piratage d'Arkéa a été raconté comme une attaque dont les clients sont sortis indemnes. Il se lit plus utilement comme le moment où un tiers de confiance, pour reprendre Szabo, s'est révélé être ce qu'il était depuis le début : un endroit où la banque était vulnérable à autrui sur sa propre trésorerie.

Cette lecture est vérifiable de l'extérieur. Si le mécanisme est bien celui décrit ici, les prochaines prises de parole porteront davantage sur la gouvernance des prestataires et des flux pour compte propre que sur la protection des clients. Trois indicateurs permettront de le constater. La communication financière d'Arkéa sur l'exercice 2026, attendue au premier semestre 2027, dira si la perte nette après recouvrement est chiffrée et si la nature de la plateforme en cause est décrite. L'enquête confiée à l'OFAC dira, par ses éventuelles interpellations ou mises en examen, si l'entrée chez le prestataire relevait d'une compromission isolée ou d'un schéma visant plusieurs clients du même service. Enfin, d'ici au 7 novembre 2028, l'apparition d'un autre établissement français ou européen déclarant des sorties de fonds de son compte propre par la plateforme d'un tiers indiquerait que le cas d'Arkéa n'était pas un accident, mais la première occurrence visible d'une faille partagée.

Note méthodologique

Les faits reposent en priorité sur les deux communiqués du Crédit Mutuel Arkéa du 4 novembre 2026, recoupés par franceinfo, Les Echos, Le Monde Informatique, Silicon.fr et Euronews. Le chemin de l'attaque (intrusion par la plateforme d'un prestataire, puis virements depuis le compte propre) est assumé parce que l'organisation l'a reconnu publiquement. Le « compte de passage », la récupération partielle, l'alerte donnée par les plateformes de cryptoactifs et la qualification pénale sont attribués à leurs sources. Les montants divergent : 133 millions de dollars, soit 118 millions d'euros, selon Le Télégramme repris par plusieurs titres, plus de 100 millions d'euros selon franceinfo et selon Daniel Baal, un ordre de grandeur seulement validé par la banque. L'article retient cet ordre de grandeur, qualifié de montant détourné avant recouvrement, sans trancher. Les ratios de l'encadré sont des calculs de l'auteur à partir des chiffres cités. Faits arrêtés au 7 novembre 2026. Les affirmations d'absence (identité du prestataire, montant définitif) valent pour les communications publiques connues à cette date. Le choix de Nick Szabo comme cadre central relève de l'auteur, qui en emprunte la grammaire de la vulnérabilité et non la solution cryptographique.

Recherche de sources, croisement des données et structuration du raisonnement s'appuient sur une assistance par intelligence artificielle. Le choix de l'angle et du cadre théorique, la vérification des sources, les arbitrages et l'établissement du texte final relèvent de l'auteur.

image générée par IA (ChatGPT Images 2.5)

Sources

Documents de l'organisation

Crédit Mutuel Arkéa, « Crédit Mutuel Arkéa annonce avoir été victime d'une attaque », communiqué de presse, 4 novembre 2026, https://www.cm-arkea.com/arkea/banque/upload/docs/application/pdf/2026-11/04112026_-_communique_-_le_credit_mutuel_arkea_annonce_avoir_ete_victime_dune_cyberattaque__2026-11-04_15-40-19_385.pdf

Crédit Mutuel Arkéa, « Informations complémentaires suite à l'attaque dont le Crédit Mutuel Arkéa a été victime », communiqué de presse, 4 novembre 2026, https://www.cm-arkea.com/arkea/banque/upload/docs/application/pdf/2026-11/04112026_-_communique_-_informations_complementaires_suite_a_lattaque_dont_le_credit_mutuel_arkea_a_ete_victime_.pdf

Presse de référence

Isabelle Raymond, franceinfo, « Le Crédit Mutuel Arkéa victime d'un piratage de plus de 100 millions d'euros sans répercussion pour les clients », 4 novembre 2026, https://www.franceinfo.fr/economie/fraude/le-credit-mutuel-arkea-bretagne-victime-d-un-piratage-de-plus-de-100-millions-d-euros-sans-repercussion-pour-les-clients_8267399.html

Luc Chagnon avec AFP, franceinfo, « Des millions d'euros volés, une attaque inédite, une enquête ouverte... Ce que l'on sait du piratage du Crédit mutuel Arkéa », 5 novembre 2026, https://www.franceinfo.fr/internet/securite-sur-internet/cyberattaques/des-millions-d-euros-voles-une-attaque-inedite-et-une-enquete-ouverte-ce-que-l-on-sait-du-piratage-du-credit-mutuel-arkea_8269124.html

Les Echos, « « Ce problème doit servir de leçon » : Crédit Mutuel Arkéa a récupéré « une partie » de la centaine de millions d'euros volée lors du cyberbraquage inédit », 6 novembre 2026, https://www.lesechos.fr/finance-marches/banque-assurances/ce-probleme-doit-servir-de-lecon-credit-mutuel-arkea-a-recupere-une-partie-de-la-centaine-de-millions-deuros-volee-lors-du-cyberbraquage-inedit-2261663

Louise Costa, Le Monde Informatique, « Crédit Mutuel Arkéa victime d'un piratage de 118 M€ », 4 novembre 2026, https://www.lemondeinformatique.fr/actualites/lire-credit-mutuel-arkea-victime-d-un-piratage-de-118-meteuro-100910.html

Philippe Leroy, Silicon.fr, « Ce que le Crédit Mutuel Arkéa confirme sur la cyberattaque dont il a été victime », 5 novembre 2026, https://www.silicon.fr/cybersecurite-1371/ce-que-le-credit-mutuel-arkea-confirme-et-ne-confirme-pas-sur-la-cyberattaque-dont-il-a-ete-victime-230129

Romain Gutkind, Euronews, « French bank Crédit Mutuel Arkéa reports cyberattack, says customers face no losses », 4 novembre 2026, https://www.euronews.com/2026/11/04/credit-mutuel-arkea-reports-cyberattack-says-clients-will-be-fully-protected

Cadre théorique

Nick Szabo, « Trusted Third Parties are Security Holes », 2001, texte complété jusqu'en 2005, publié par le Satoshi Nakamoto Institute, consulté le 7 novembre 2026, https://nakamotoinstitute.org/library/trusted-third-parties/

Parallèle historique

U.S. Department of Justice, Office of Public Affairs, « North Korean Regime-Backed Programmer Charged With Conspiracy to Conduct Multiple Cyber Attacks and Intrusions », 6 septembre 2018, https://www.justice.gov/opa/pr/north-korean-regime-backed-programmer-charged-conspiracy-conduct-multiple-cyber-attacks-and

Reuters, repris par Al Jazeera, « Bangladesh to sue Manila bank over massive cyber-heist », 7 février 2018, https://www.aljazeera.com/news/2018/2/7/bangladesh-to-sue-manila-bank-over-massive-cyber-heist