118 millions sortis par la banque elle-même
Des virements ordonnés depuis une grande banque française ont envoyé environ 118 millions d'euros vers d'autres établissements. Les attaquants sont passés par la plateforme d'un prestataire, pas par les comptes des clients.
Actualité du 9 novembre 2026 · 1 min 25 · 2 sources · 9 affirmations sourcées
En 30 secondes
L'essentiel
- Les comptes des clients n'ont pas été touchés : c'est la banque qui a ordonné les virements, avec ses propres procédures.
- L'entrée ne s'est pas faite chez la banque mais chez un prestataire, ce qui déplace le périmètre à surveiller.
- Une correspondance entre le nom du bénéficiaire et le titulaire du compte ne prouve rien si l'identité a été fabriquée.
Ce qui est établi, et ce qui ne l'est pas
Chaque affirmation de l'épisode, son statut et ses sources.
- ÉtabliLes attaquants ont atteint la banque par la plateforme d'un prestataire non nommé, pas par les comptes des clients
- ÉtabliLe compte de la banque elle-même a servi à ordonner des virements vers d'autres banques
- ÉtabliMontant de l'ordre de 118 millions d'euros (environ 133 millions de dollars), sans décompte définitif confirmé par la banque
- RapportéL'enquêteur ZachXBT signale plus de 106 millions de dollars le 1er novembre, puis 27 millions de plus, soit 133 millions au total
- RapportéFonds retirés en stablecoins USDC et USDT, échangés en ether, passés par des services d'échange instantané, en partie convertis en Monero
- RapportéSelon le journaliste Grégory Raymond, les virements portaient le nom exact de comptes ouverts avec de fausses identités chez des plateformes d'échange
- ÉtabliArkéa dément toute entrée par Fortuneo, sa banque en ligne, contrairement à ce qu'avait avancé la presse
- ÉtabliDivulgation le 4 novembre : aucun impact sur les actifs des clients, certains virements retardés, une partie des fonds bloquée
- InconnuVecteur exact chez le prestataire, montant définitif et identité des attaquants inconnus ; aucune attribution à un État n'est établie
Transcription
Crédit Mutuel Arkéa a servi de guichet à ses propres voleurs. Des virements ordonnés depuis chez elle sont partis vers d'autres banques, pour environ 118 millions d'euros.
CyberFlash, c'est l'émission cybersécurité de DecodeVox. Ici, on ne s'arrête pas aux gros titres : on décrypte les attaques, on révèle leurs mécanismes et on explique ce qu'elles changent concrètement.
Comment 118 millions d'euros sortent-ils d'une banque sans toucher aux comptes des clients ?
Rien ne passe par les comptes des clients. C'est de l'extérieur, par la plateforme d'un prestataire, que les attaquants atteignent la banque, puis utilisent son propre compte pour ordonner des virements. Selon le journaliste Grégory Raymond, ces virements portaient le nom exact de comptes ouverts avec de fausses identités.
Ce qu'on ignore : le vecteur exact chez le prestataire, le montant définitif, et qui est derrière. Aucune attribution à un État n'est établie, et Arkéa dément toute entrée par sa banque en ligne.
Trois leçons. Un prestataire est une porte d'entrée comme une autre, à surveiller autant que la banque. Vérifier le nom du bénéficiaire ne suffit pas quand l'identité derrière le compte est fausse. Et une fois les fonds convertis en cryptomonnaies, le gel devient très difficile.
Une banque n'a pas besoin d'être cambriolée pour être vidée. Il suffit qu'un prestataire ouvre la porte, et qu'un virement porte le bon nom.
Pour aller plus loin, retrouvez l'édition complète du jour sur notre plateforme en ligne, le lien en description. Abonnez-vous à DecodeVox pour ne rien manquer de nos prochains décryptages. Et dites-nous en commentaire : votre banque appelle-t-elle avant un gros virement ?
La suite
Continuer
1 min 26Plus de 30 failles lâchées d'un coup dans N-central
1 min 441 122 fichiers GitHub contiennent vos mots de passe
1 min 40SSHole : n'importe quel mot de passe ouvrait le serveur
Ne pas manquer le prochain épisode
Le flux RSS annonce chaque nouvel épisode, sans compte ni inscription.
L'actu cyber complète du jour
Les 10 actualités du lundi 9 novembre 2026, dont celle-ci, avec leurs sources.