Cyberattaque Crédit Mutuel Arkéa : la vague d'arnaques à anticiper

Après la cyberattaque contre Crédit Mutuel Arkéa annoncée le 4 novembre 2026, la banque a mis en garde ses clients. Elle signale des tentatives d'hameçonnage usurpant son identité. C'est un schéma courant : une attaque médiatisée sert de prétexte à des escrocs sans lien avec elle. Conseillers et salariés doivent s'y préparer.

Cet article rappelle ce que l'on sait de l'attaque, sans extrapoler. Il explique pourquoi une telle actualité nourrit les arnaques et quoi faire à chaque poste. Il est daté du 5 novembre 2026 : l'enquête est en cours et les chiffres bougent.

Que sait-on de la cyberattaque contre Crédit Mutuel Arkéa ?

Selon l'AFP, reprise par Boursorama le 4 novembre 2026, le groupe a annoncé avoir été victime d'une cyberattaque et avoir porté plainte le matin même. Franceinfo a détaillé l'affaire le 5 novembre.

Sur le montant, la banque ne valide qu'un ordre de grandeur de « plusieurs dizaines de millions d'euros », en cours d'évaluation. L'AFP évoque près de 100 millions d'euros en estimation provisoire. Des spécialistes avancent un chiffre plus élevé, qui n'est pas confirmé.

Sur le mode opératoire, la banque décrit une attaque sophistiquée venue de l'extérieur, passée par la plateforme d'un de ses prestataires. Les attaquants auraient utilisé le compte propre de la banque pour des transactions vers d'autres établissements, puis converti les fonds en cryptomonnaie. La banque écarte l'erreur humaine.

Pour les clients, la banque indique qu'il n'y a pas de conséquence sur leurs avoirs, avec quelques virements différés. Le parquet de Paris, section cybercriminalité, a ouvert une enquête confiée à l'Office anticybercriminalité (OFAC).

Ce qui est confirmé s'arrête là. Rien dans ces informations ne désigne une technique d'ingénierie sociale contre les équipes de la banque, et cet article ne le suggère pas.

Pourquoi une cyberattaque médiatisée déclenche-t-elle des arnaques ?

Une actualité de cette ampleur crée trois conditions favorables aux escrocs. Elles tiennent à la psychologie, pas à la technique.

• Une attention maximale. Les clients lisent les nouvelles et s'inquiètent pour leur argent. Un message sur la sécurité de leur compte est attendu.
• Un prétexte tout trouvé. « Suite à l'incident, nous contrôlons les comptes » est crédible, car l'incident est réel et connu.
• Une confusion volontaire. Les victimes ne distinguent pas l'attaque contre la banque et la fraude qui les vise. Elles pensent répondre à un service officiel.

Les escrocs n'ont pas besoin d'avoir participé à l'attaque, ni d'avoir la moindre donnée de la banque. Ils s'appuient sur le titre de presse du jour. La banque l'a d'ailleurs pressenti en prévenant ses clients des tentatives d'hameçonnage à son nom.

Quelles formes peuvent prendre ces arnaques ?

Les formes sont connues et se combinent : SMS ou courriel annonçant un compte « bloqué », lien vers une fausse page de connexion. S'y ajoute l'appel d'un prétendu conseiller ou du « service sécurité » qui demande de valider des opérations. L'article sur le mode opératoire du faux conseiller bancaire détaille ce dernier cas, étape par étape.

Le rapport d'activité 2025 de Cybermalveillance.gouv.fr donne l'ampleur du phénomène : plus de 500 000 demandes d'assistance, en hausse d'environ 20 % sur un an. Selon ce rapport, la fraude au faux conseiller bancaire a continué de progresser de 159 %, et l'usurpation de numéro de téléphone de 517 %.

Ces chiffres précèdent l'attaque contre Arkéa et décrivent la tendance générale. Ils montrent que le terrain est déjà très actif avant toute actualité, et qu'une cyberattaque médiatisée n'a qu'à le saisir.

Que doivent faire les conseillers bancaires ?

Les conseillers sont en première ligne : leurs clients vont appeler, inquiets, ou ont été appelés par de faux services. Leur rôle est de rassurer sans donner de prise.

1. Ne jamais demander de code ni de mot de passe par téléphone. Selon Cybermalveillance.gouv.fr, un vrai conseiller ne le fait pas. Le dire explicitement aux clients.
2. Annoncer le canal officiel : application, agence, numéro figurant au dos de la carte.
3. Proposer de rappeler le client sur le numéro enregistré, jamais sur celui qu'il cite.
4. Écouter le récit complet d'un client qui pense avoir été appelé, et noter les détails pour le signalement.
5. Escalader aussitôt toute opération douteuse, sans attendre la fin de l'entretien.

Une phrase utile : « Je ne vous demanderai jamais de code, ni par téléphone ni par message. Si on vous le demande, raccrochez et rappelez-nous par l'application ou l'agence. »

Quels signaux montrent qu'un message exploite l'actualité ?

Un message opportuniste a des traits récurrents. Les repérer à l'avance évite de dépendre du réflexe du moment.

• Il cite l'incident récent comme raison de sa demande.
• Il fixe un délai court : « sous une heure », « avant la fin de la journée ».
• Il demande une action immédiate : cliquer, rappeler un numéro, valider une opération.
• Il fournit lui-même le numéro à rappeler ou le lien à ouvrir.
• Il demande de ne pas en parler, ou de ne pas contacter l'agence habituelle.

Aucun de ces traits ne suffit seul. Leur combinaison, avec l'actualité en toile de fond, doit déclencher le contre-appel.

Que dire à un client inquiet, concrètement ?

Un client qui appelle après avoir lu la presse veut être rassuré et orienté. Une réponse en trois temps fonctionne bien.

1. Reconnaître l'inquiétude : « Je comprends que cette actualité vous inquiète. »
2. Donner le fait confirmé : ce que la banque a publiquement indiqué, rien de plus. Ne pas spéculer sur les causes ni sur les montants.
3. Donner la règle : « Nous ne vous demanderons jamais de code. En cas de doute, passez par l'application ou l'agence. »

La discipline du « fait confirmé » est essentielle. Une rumeur répétée par un conseiller devient une information officielle aux yeux du client, et peut être reprise par un escroc.

Que doivent faire les autres salariés ?

Dans une banque comme ailleurs, tout salarié peut recevoir un appel qui exploite l'actualité : un prétendu prestataire, un faux contrôle interne, un appel « du siège » sur des vérifications exceptionnelles.

• Considérer qu'une actualité forte augmente la probabilité d'un appel opportuniste, et le dire en équipe.
• Appliquer sans exception le contre-appel par un canal indépendant pour toute demande inhabituelle.
• Refuser toute demande de contournement de procédure au nom d'une « situation exceptionnelle ».
• Signaler les appels, même ratés, avec la grille des informations à retenir.

Ce dernier point est le plus précieux : plusieurs signalements rapprochés permettent à l'équipe sécurité de reconnaître une campagne en cours.

Que doit faire une équipe sécurité dans les premiers jours ?

Quand une actualité de ce type paraît, les premières heures décident de la suite. Une équipe sécurité peut agir sur quatre points sans attendre un incident interne.

• Rappeler par un message court la règle du contre-appel et le canal de signalement.
• Prévenir les équipes en contact avec le public : accueil, support, conseillers, comptabilité.
• Recueillir et rapprocher les signalements, pour repérer une campagne.
• Vérifier que les procédures de validation des virements et de réinitialisation sont appliquées sans exception.

Le message adressé aux salariés doit rester factuel : ce qui est confirmé, la règle, le canal. Il n'a pas besoin d'être alarmiste pour être entendu.

Comment se préparer avant la prochaine actualité ?

Les arnaques opportunistes reviennent à chaque grande affaire. Les équipes qui ont déjà prononcé leurs phrases de refus et pratiqué le contre-appel réagissent mieux que celles qui relisent un document ce jour-là.

La mise en situation orale s'y prête. Dans un jeu de rôle, un conseiller ou un salarié reçoit l'appel d'un persona. Celui-ci se présente comme le service sécurité « après l'incident », presse et culpabilise. Il doit vérifier, refuser, puis signaler. Un formateur écrit le scénario à partir des appels que son organisation a réellement reçus, avec Face Up. Le débriefing indique ce qui a été dit, ce qui aurait dû l'être, et le plan d'action. L'apprenant rejoue ensuite autant que nécessaire.

Pour replacer cela dans une démarche complète, voir le guide sur la sensibilisation cybersécurité et le vishing.

Questions fréquentes

L'attaque contre Arkéa était-elle une attaque par téléphone ?

Rien ne l'indique. La banque décrit une attaque externe sophistiquée passée par la plateforme d'un prestataire, et écarte l'erreur humaine. Les arnaques évoquées ici sont distinctes : elles visent les clients et salariés d'autres structures en profitant de l'actualité.

Que faire si l'on reçoit un message au nom d'une banque après une attaque ?

Ne pas cliquer, ne pas rappeler le numéro du message, et contacter sa banque par l'application ou l'agence. Selon Cybermalveillance.gouv.fr, ne validez jamais une opération dont vous n'êtes pas à l'origine.

Les clients doivent-ils s'inquiéter pour leurs avoirs ?

Selon la banque, l'attaque n'a pas eu de conséquence sur les avoirs des clients, avec quelques virements différés. Le point de vigilance concerne les messages et appels qui exploitent l'affaire.

Vous voulez entraîner conseillers et salariés à tenir leurs réflexes quand l'actualité s'en mêle ? Réservez une démonstration de Face Up.