La cyberattaque qui a touché la banque Crédit Mutuel Arkéa, pour un préjudice qui pourrait dépasser 100 millions d'euros, pose de nombreuses questions sur la manière dont les pirates ont opéré, et sur la manière d'éviter de nouvelles attaques.
Comment s'est déroulée l'attaque ?
La banque a dénoncé une "attaque sophistiquée venant de l'extérieur", et a assuré qu'il n'y a pas eu d'erreur humaine en interne.
Les attaquants ont "utilisé le compte propre de Crédit Mutuel Arkéa pour réaliser des transactions vers d'autres acteurs bancaires, qui leur ont ensuite potentiellement permis de convertir cet argent en cryptomonnaie via des plateformes spécialisées. Ils ne sont donc pas passés par des comptes de clients de ses fédérations ni de ses filiales", a indiqué la banque.
"L'opération se fait en trois temps", a détaillé à l'AFP Mathieu Françon, avocat du cabinet Bersay: "on détourne de la monnaie traditionnelle", "on la transforme en crypto", puis "on anonymise cette crypto".
Passer de la deuxième à la troisième étape est "très facile en raison des lacunes de la réglementation, on n'encadre pas les outils qui permettent d'anonymiser la crypto aujourd'hui".
Quelle somme a été dérobée et est-il possible de la récupérer ?
Interrogée sur les sommes dérobées (118 millions d'euros d'après certains médias), Arkéa a répondu qu'elle ne confirmait pas ces informations mais en validait "l'ordre de grandeur".
Après ce "braquage 2.0", c'est "une course contre la montre qui est engagée" pour retrouver les sommes volées, affirme Antoine Hautin, secrétaire général d'Almond, cabinet de conseil en cybersécurité.
"En fonction du niveau de sophistication, de maturité, des attaquants, ce sera plus compliqué de remonter le fil", ajoute-t-il.
On peut essayer de "chercher à tracer les flux financiers", car le numérique "laisse des traces", mais "l'avantage des crypto-monnaies, c'est que ça rend plus difficile la traçabilité des sommes qui ont été exfiltrées", souligne l'expert.
L'attaque n'ayant pas été revendiquée à ce jour, il n'est pas possible de savoir qui est responsable du vol.
"L'absence de revendication pourrait faire pencher la balance envers une attaque purement crapuleuse qui sert à extorquer de l'argent", selon M. Hautin.
Quelles sont les premières mesures à prendre pour le monde bancaire ?
"Concernant le Crédit Mutuel Arkéa, on serait sur une opération qui se serait étalée sur plusieurs heures, voire plusieurs jours. La temporalité de l'attaque soulève des questions", poursuit M. Hautin du cabinet de conseil en cybersécurité Almond.
Pour lui, il faut maintenant "essayer de comprendre ce qui s'est passé, vérifier s'il y a un enjeu autour du fournisseur mis en cause: alimente-t-il plusieurs banques ?". Le Crédit Mutuel avait en effet indiqué mercredi que "les attaquants sont passés par la plateforme d'un de nos prestataires".
La question à se poser est celle "d'un éventuel risque systémique" et donc "identifier si le mécanisme de l'attaque peut être dupliqué sur d'autres banques".
Quelles conséquences pour le secteur à plus long terme ?
"Nous sommes face à la plus grosse attaque informatique sur un acteur bancaire" en France, souligne Guillaume Seligmann, également avocat du cabinet Bersay.
"Les effets induits sur l'ensemble de cette industrie en raison de la très forte corrélation entre eux sont susceptibles d'avoir un impact réellement désastreux", assure-t-il.
Il recommande la "mutualisation" des moyens de lutte contre les cyberattaques par tous les acteurs financiers, et la fin du travail en "silo".
"Il commence à y avoir des réponses concertées à l'échelle de l'ensemble de l'industrie (ndr: bancaire) par le biais de la mutualisation des moyens et des standards (...) pour pouvoir répondre à cette exigence de sécurité, de contrôle des opérations, de suivi, etc. comme cela s'est fait dans le domaine de la lutte contre le blanchiment et le financement du terrorisme, avec de grands succès".
Par la suite, il faudrait "imaginer un plus fort contrôle", au moment de la conversion entre monnaie et crypto, comme "un délai de latence, le temps de s'assurer que certaines transactions ne sont pas fraudeuses", souligne pour sa part Mathieu Françon.
- © 2026 AFP
0 Commentaires