Le groupe bancaire français Crédit Mutuel Arkéa affirme qu'un attaquant a accédé à son réseau via la plateforme d'un prestataire de services et a utilisé le compte propre de la banque pour effectuer des virements frauduleux, rapporte BleepingComputer le 7 novembre. La banque a suspendu certains systèmes, ce qui a retardé certains virements, mais affirme que les avoirs des clients n'ont pas été touchés.
Le groupe bancaire coopératif, qui compte plus de 5,8 millions de sociétaires et 211,5 milliards d'euros d'actifs, a rendu l'incident public le 4 novembre. Il a indiqué que l'incident était maîtrisé et que les activités revenaient progressivement à la normale dans ses fédérations et ses filiales.
La perte potentielle est importante. L'enquêteur spécialisé dans la fraude sur blockchain ZachXBT estime que jusqu'à 118 millions d'euros (133 millions de dollars) pourraient avoir été dérobés. Arkéa n'a pas confirmé ce chiffre, reconnaissant seulement son ordre de grandeur et indiquant que certains fonds avaient été bloqués.
Virements depuis le compte propre de la banque
Dans une FAQ distincte décrite par BleepingComputer, Arkéa indique que l'attaquant a atteint directement son réseau via la plateforme d'un prestataire de services. Elle a écarté Fortuneo comme plateforme concernée.
L'attaquant a ensuite utilisé le compte propre d'Arkéa, et non ceux des clients, pour effectuer des opérations avec d'autres établissements bancaires et convertir des fonds en cryptomonnaie. La banque a écarté toute erreur humaine au sein de son organisation et qualifié l'incident d'« attaque sophistiquée ».
Les premières informations sont apparues le 2 novembre, lorsque ZachXBT a signalé d'importants retraits non autorisés, la veille, depuis plusieurs comptes de plateformes centralisées d'échange de cryptomonnaies. Ces plateformes détiennent et gèrent les transactions de cryptomonnaies pour le compte de leurs titulaires. Selon l'enquêteur, l'attaquant pourrait avoir retiré les fonds sous forme d'USDC et d'USDT, des stablecoins conçus pour suivre la valeur du dollar américain.
ZachXBT n'a pas initialement identifié l'entité touchée. L'enquêteur affirme aussi que l'absence de communication publique a permis à l'attaquant de blanchir 30 millions de dollars d'ici le 3 novembre, des fonds que les forces de l'ordre de l'Union européenne auraient autrement gelés.
Arkéa collabore avec les autorités judiciaires et la police pour établir l'origine exacte de l'attaque et son mode opératoire. BleepingComputer indique avoir demandé à la banque des précisions supplémentaires sur l'attaque et l'enquête, sans avoir reçu de réponse à la date de publication.
Clients mis en garde contre l'hameçonnage
Pour les clients, la banque a signalé des retards dans l'exécution de certains virements, tout en affirmant que leurs avoirs n'étaient pas touchés. Elle a aussi alerté sur un risque accru d'hameçonnage : des communications frauduleuses destinées à inciter les destinataires à révéler des informations sensibles.
Arkéa a invité ses clients à rester vigilants face aux messages non sollicités et à ne pas communiquer de données sensibles par téléphone ou par e-mail. Les clients qui reçoivent des communications suspectes doivent les vérifier en appelant directement leur conseiller bancaire.
