Crédit Mutuel Arkéa : cyberattaque confirmée, comment protéger son compte (4 novembre 2026)

Informations vérifiées le 4 novembre 2026 à 22 h 48, heure de Paris (CET, UTC+01:00), soit 21 h 48 UTC.

Crédit Mutuel Arkéa a confirmé le 4 novembre 2026 avoir subi une cyberattaque ayant permis des opérations frauduleuses. Dans un second communiqué diffusé le même jour, le groupe bancaire précise que les attaquants sont passés par la plateforme d’un prestataire et ont utilisé un compte appartenant à Arkéa, et non les comptes de ses clients. Il affirme que les avoirs des particuliers et des clients de ses filiales, dont Fortuneo, ne sont pas touchés. Certains virements ont cependant été différés à titre préventif, avant une reprise progressive des opérations.

Cette distinction est essentielle : l’incident est confirmé, mais une compromission des comptes ou des données personnelles des clients n’est pas établie par les communiqués consultés. En revanche, les escrocs peuvent tenter de profiter de l’actualité pour envoyer de faux messages de sécurité. La meilleure réponse consiste à vérifier ses opérations depuis l’application officielle et à refuser toute demande inattendue de code, de mot de passe ou de validation.

Destaques

• Attaque confirmée : Crédit Mutuel Arkéa déclare avoir contenu l’incident et averti les autorités compétentes.
• Comptes clients : selon le groupe, les opérations frauduleuses n’ont pas transité par les comptes de ses clients ni par Fortuneo.
• Services bancaires : certains virements ont été retardés pendant les vérifications ; la quasi-totalité des opérations avait repris dans la matinée du 4 novembre, selon Arkéa.
• Précaution immédiate : ne donnez jamais vos identifiants ou codes SMS et ne validez aucune opération à la demande d’un interlocuteur non sollicité.

Crédit Mutuel Arkéa a-t-il réellement été victime d’une cyberattaque ?

Oui. Dans un premier communiqué officiel daté du 4 novembre 2026, le groupe confirme une attaque ayant permis des transactions frauduleuses. Il précise avoir temporairement suspendu certaines opérations pour empêcher d’autres mouvements, informé les organismes de supervision et mobilisé ses équipes de sécurité.

Dans ses précisions publiées le 4 novembre, Arkéa explique que l’accès a été obtenu via une plateforme de prestataire et qu’il a permis de cibler un compte du groupe. Les fonds ont ensuite été transférés vers d’autres établissements bancaires ; leur éventuelle conversion en cryptomonnaies reste présentée comme une possibilité. Le groupe indique expressément que Fortuneo n’a pas constitué le point d’entrée de l’attaque.

À cette date, Arkéa dit travailler avec les autorités judiciaires et policières afin d’établir précisément l’origine et la méthode employée. Le montant définitif du préjudice demeure en cours d’évaluation. Un chiffre relayé dans les médias n’est pas une confirmation officielle : la banque en reconnaît seulement l’ordre de grandeur et indique avoir déjà bloqué une partie des fonds concernés. Il serait donc trompeur de présenter un montant exact, une cause définitive ou une fuite de données comme établis.

Les clients du Crédit Mutuel de Bretagne, du Sud-Ouest et de Fortuneo sont-ils concernés ?

Le groupe affirme qu’aucun avoir de ses clients n’a été affecté financièrement par cette attaque. Cette communication couvre ses fédérations bancaires et ses filiales. Elle ne signifie toutefois pas que tous les services ont fonctionné sans interruption : des transactions ont été temporairement suspendues ou exécutées avec retard pendant les contrôles de sécurité. Selon la mise au point du 4 novembre, la quasi-totalité des opérations avait repris dans la matinée.

Si un virement semble absent, vérifiez d’abord son état depuis votre espace bancaire et l’historique des opérations. Évitez de le relancer automatiquement : s’il est simplement en attente, une deuxième instruction pourrait créer un doublon. Si l’opération est urgente ou si vous constatez une anomalie, demandez une confirmation à votre établissement par ses coordonnées habituelles.

À propos d’une éventuelle fuite de données clients, la réponse officielle sur le risque d’hameçonnage évoque une mise en garde préventive, et non une divulgation démontrée. Cela ne permet ni d’affirmer que des données ont été volées ni de garantir, avant la fin des investigations, qu’aucune information n’a été exposée. Les prochaines communications officielles seront déterminantes.

Pourquoi faut-il se méfier des SMS et appels après l’attaque ?

Une actualité bancaire très médiatisée fournit un prétexte crédible aux fraudeurs. Un message peut prétendre qu’un compte est bloqué, qu’un virement doit être annulé ou qu’une nouvelle vérification d’identité est obligatoire. Il peut contenir un lien vers un faux site ou demander d’appeler un prétendu service antifraude. Cybermalveillance.gouv.fr met en garde contre ces scénarios, dans lesquels une prétendue « annulation » amène parfois la victime à autoriser réellement un paiement.

La présence du nom de votre banque, d’un numéro de téléphone plausible ou de renseignements personnels ne prouve pas qu’un appel est authentique. Un numéro peut être usurpé. Un faux conseiller peut aussi demander de partager l’écran, d’installer un outil de prise en main à distance ou de transférer de l’argent vers un compte dit « sécurisé ». Aucune de ces démarches ne doit être entreprise sous la pression d’un appel inattendu.

Comment protéger son compte bancaire dès maintenant ?

1. Ouvrez votre banque par un canal sûr. Utilisez l’application officielle déjà installée, un favori enregistré ou une adresse saisie vous-même. Ne vous connectez pas par le lien d’un SMS ou d’un courriel évoquant la cyberattaque.
2. Examinez les opérations récentes. Vérifiez le solde, les paiements, les virements en attente et les nouveaux bénéficiaires. Signalez rapidement toute opération dont vous n’êtes pas à l’origine.
3. Ne divulguez aucun secret. Identifiant, mot de passe, code de carte, code reçu par SMS et notification de validation sont confidentiels. Ne validez pas une demande que vous n’avez pas initiée, même si une personne affirme travailler pour la banque.
4. Renforcez vos accès. Choisissez un mot de passe robuste et unique pour la banque et pour la messagerie associée ; utilisez l’authentification renforcée proposée par votre établissement. Changer le mot de passe est prioritaire si vous pensez l’avoir communiqué ou saisi sur un faux site, mais l’attaque annoncée ne signifie pas à elle seule que chaque client doit le modifier.
5. Protégez vos appareils. Installez les mises à jour de sécurité du téléphone, de l’ordinateur et des applications. Ne téléchargez pas une prétendue « mise à jour anti-piratage » à partir d’un message non sollicité.
6. Vérifiez les alertes officielles. Consultez la messagerie sécurisée de l’application et les informations publiées par votre banque. Si vous êtes chez Fortuneo, sa page de prévention des faux conseillers décrit les demandes qu’elle ne fera jamais.
7. Gardez des preuves en cas de doute. Conservez les messages reçus et, si nécessaire, les captures d’écran des opérations suspectes. Ne diffusez pas publiquement des relevés ou informations personnelles.

Que faire si vous avez cliqué sur un lien ou transmis un code ?

Vous avez reçu un message suspect, sans transmettre d’information

Ne cliquez pas sur les liens, ne répondez pas et n’appelez pas le numéro inclus. Vérifiez la situation de votre propre initiative auprès de la banque. Les courriels suspects peuvent être signalés via Signal Spam ; les SMS frauduleux peuvent être signalés au 33700, conformément aux conseils de Cybermalveillance.gouv.fr.

Vous avez saisi un mot de passe ou autorisé une opération

Contactez immédiatement votre banque par ses canaux officiels. Signalez précisément ce qui a été communiqué, demandez le blocage des accès ou du moyen de paiement concerné si nécessaire, et faites opposition en cas d’exposition de la carte ou d’opérations frauduleuses. Modifiez ensuite les mots de passe compromis depuis un appareil de confiance, sans oublier les autres services utilisant le même mot de passe. Si vous avez installé un logiciel de contrôle à distance, déconnectez l’appareil et demandez une assistance de sécurité avant de reprendre vos opérations sensibles.

En présence d’un virement frauduleux, demandez à la banque d’engager au plus vite une procédure de rappel de fonds (« recall ») et de vérifier les bénéficiaires enregistrés. La récupération des sommes n’est pas garantie ; le délai de réaction compte. Conservez les justificatifs et déposez plainte lorsque des actes frauduleux se sont produits.

Peut-on demander le remboursement d’un paiement bancaire non autorisé ?

Le droit français prévoit des mécanismes de contestation et de remboursement des opérations non autorisées, mais leur application dépend des circonstances et de la qualification de l’opération. La Banque de France, dans sa FAQ sur les virements SEPA, recommande de prévenir immédiatement la banque, de modifier les accès compromis et d’examiner les bénéficiaires et virements programmés. Elle rappelle le principe de remboursement des paiements non autorisés, sous réserve des règles légales applicables et d’éventuels différends portant sur l’autorisation ou une négligence grave.

Il faut distinguer un virement retardé en raison des contrôles d’Arkéa d’un paiement frauduleux débité du compte d’un client. Le premier cas ne signifie pas nécessairement que l’argent a été volé. Dans le second, il faut faire une contestation sans attendre. Pour les fraudes à la carte bancaire, Service-Public.fr présente les démarches d’opposition, de signalement et de remboursement ainsi que les délais applicables.

Les données personnelles ont-elles été dérobées et que va-t-il se passer ?

Les communiqués consultés ne confirment pas de vol de données personnelles des clients. La banque explique son alerte sur le phishing par un risque habituel de tentatives d’escroquerie après une cyberattaque. Ce point doit rester distinct de la description technique de l’accès frauduleux à la plateforme d’un prestataire.

En France, une violation de données personnelles n’entraîne pas automatiquement une notification individuelle : la CNIL précise que l’obligation d’informer les personnes dépend notamment de l’existence d’un risque élevé pour leurs droits et libertés. En cas d’éléments nouveaux, les personnes concernées doivent se référer aux communications directes de leur établissement et aux autorités compétentes, plutôt qu’aux captures d’écran non vérifiées circulant sur les réseaux sociaux.

À surveiller dans les prochains jours : une éventuelle révision de l’évaluation financière, des précisions officielles sur les données, et le retour à la normale de l’ensemble des services. Il s’agit de points à suivre, pas de faits nouveaux déjà constatés.

FAQ : cyberattaque Crédit Mutuel Arkéa

Dois-je changer immédiatement mon mot de passe bancaire ?

Pas uniquement parce que l’attaque a été annoncée : le groupe ne signale pas de compromission générale des accès clients. En revanche, changez-le sans attendre si vous l’avez transmis, utilisé sur un site douteux ou réutilisé sur un service compromis, et prévenez la banque si nécessaire.

Fortuneo a-t-il été le point d’entrée des pirates ?

Non, selon le communiqué complémentaire du 4 novembre. Crédit Mutuel Arkéa indique que les attaquants sont passés par la plateforme d’un prestataire pour atteindre directement le groupe, sans passer par Fortuneo ni par les comptes clients.

Un virement retardé signifie-t-il que mon argent a disparu ?

Non. Crédit Mutuel Arkéa explique avoir différé certaines opérations par précaution et affirme que les avoirs des clients n’ont pas été touchés. Consultez le statut du virement dans votre application et contactez votre banque avant de réémettre un paiement.

Sources principales vérifiées : communiqué de Crédit Mutuel Arkéa du 4 novembre 2026 ; précisions officielles sur l’attaque et les clients ; Cybermalveillance.gouv.fr sur les faux numéros d’opposition ; Banque de France sur les incidents de virement ; CNIL sur la notification des violations de données.