Cyberaanval Crédit Mutuel Arkéa: de golf van oplichting voorbereid

Na de cyberaanval op Crédit Mutuel Arkéa, aangekondigd op 4 november 2026, heeft de bank haar klanten gewaarschuwd. Ze meldt pogingen tot phishing in haar naam. Dat is een gangbaar patroon: een mediaprominente aanval dient als voorwendsel voor oplichters die er niets mee te maken hebben. Adviseurs en medewerkers moeten zich erop voorbereiden.

Dit artikel zet op een rij wat we weten over de aanval, zonder te extrapoleren. Het legt uit waarom zo'n nieuwsfeit oplichting voedt en wat je op elke functie moet doen. Het is gedateerd op 5 november 2026: het onderzoek loopt en de cijfers veranderen.

Wat weten we over de cyberaanval op Crédit Mutuel Arkéa?

Volgens AFP, overgenomen door Boursorama op 4 november 2026, maakte de groep bekend slachtoffer te zijn van een cyberaanval en dezelfde ochtend aangifte te hebben gedaan. Franceinfo werkte de zaak op 5 november verder uit.

Over het bedrag bevestigt de bank alleen een orde van grootte van ‘enkele tientallen miljoenen euro's’, die nog wordt ingeschat. AFP noemt bijna 100 miljoen euro als voorlopige schatting. Specialisten noemen een hoger bedrag, dat niet is bevestigd.

Over de werkwijze beschrijft de bank een geavanceerde aanval van buitenaf, via het platform van een van haar dienstverleners. De aanvallers zouden de eigen rekening van de bank hebben gebruikt voor transacties naar andere instellingen en de fondsen daarna in cryptovaluta hebben omgezet. De bank sluit menselijke fouten uit.

Voor klanten geeft de bank aan dat er geen gevolgen zijn voor hun tegoeden, met enkele uitgestelde overboekingen. Het parket van Parijs, afdeling cybercriminaliteit, heeft een onderzoek geopend dat is toevertrouwd aan het Office anticybercriminalité (OFAC).

Wat bevestigd is, houdt hier op. Niets in die informatie wijst op een social-engineeringtechniek tegen de teams van de bank, en dit artikel suggereert dat ook niet.

Waarom lokt een mediaprominente cyberaanval oplichting uit?

Een nieuwsfeit van deze omvang schept drie gunstige omstandigheden voor oplichters. Ze liggen in de psychologie, niet in de techniek.

• Maximale aandacht. Klanten lezen het nieuws en maken zich zorgen om hun geld. Een bericht over de veiligheid van hun rekening wordt verwacht.
• Een kant-en-klaar voorwendsel. ‘Naar aanleiding van het incident controleren we de rekeningen’ is geloofwaardig, want het incident is echt en bekend.
• Opzettelijke verwarring. Slachtoffers maken geen onderscheid tussen de aanval op de bank en de fraude die op hen mikt. Ze denken te antwoorden aan een officiële dienst.

Oplichters hoeven niet aan de aanval te hebben meegedaan en hebben geen enkel gegeven van de bank nodig. Ze leunen op de krantenkop van de dag. De bank voelde dat ook aan door klanten te waarschuwen voor phishingpogingen in haar naam.

Welke vormen kan deze oplichting aannemen?

De vormen zijn bekend en worden gecombineerd: sms of e-mail die een ‘geblokkeerde’ rekening meldt, een link naar een valse inlogpagina. Daar komt het telefoontje bij van een zogenaamde adviseur of van de ‘veiligheidsdienst’ die vraagt transacties goed te keuren. Het artikel over de werkwijze van de nep-bankmedewerker beschrijft dat laatste geval stap voor stap.

Het jaarverslag 2025 van Cybermalveillance.gouv.fr, de Franse overheidsdienst voor cyberhulp, geeft de omvang van het fenomeen: meer dan 500.000 hulpaanvragen, ongeveer 20 % meer dan een jaar eerder. Volgens dat rapport bleef de fraude met nep-bankmedewerkers stijgen, met 159 %, en het vervalsen van telefoonnummers met 517 %.

Deze cijfers gaan aan de aanval op Arkéa vooraf en beschrijven de algemene trend. Ze tonen dat het terrein al erg actief is vóór elk nieuwsfeit en dat een mediaprominente cyberaanval er alleen op hoeft in te spelen.

Wat moeten bankadviseurs doen?

Adviseurs staan in de frontlinie: hun klanten gaan bellen, ongerust, of zijn gebeld door valse diensten. Hun rol is geruststellen zonder houvast te geven.

1. Nooit telefonisch om een code of wachtwoord vragen. Volgens Cybermalveillance.gouv.fr doet een echte adviseur dat niet. Zeg dat expliciet tegen klanten.
2. Het officiële kanaal noemen: app, kantoor, het nummer op de achterkant van de kaart.
3. Aanbieden de klant terug te bellen op het geregistreerde nummer, nooit op het nummer dat hij noemt.
4. Het volledige verhaal aanhoren van een klant die denkt gebeld te zijn, en de details noteren voor de melding.
5. Meteen escaleren bij elke twijfelachtige transactie, zonder het einde van het gesprek af te wachten.

Een bruikbare zin: ‘Ik vraag u nooit om een code, niet telefonisch en niet per bericht. Als iemand het u vraagt, hang dan op en bel ons via de app of het kantoor.’

Welke signalen tonen dat een bericht op het nieuws inspeelt?

Een opportunistisch bericht heeft terugkerende kenmerken. Als je ze vooraf herkent, hoef je niet op de reflex van het moment te vertrouwen.

• Het noemt het recente incident als reden voor het verzoek.
• Het stelt een korte termijn: ‘binnen een uur’, ‘voor het einde van de dag’.
• Het vraagt om een onmiddellijke handeling: klikken, een nummer terugbellen, een transactie goedkeuren.
• Het geeft zelf het nummer om terug te bellen of de link om te openen.
• Het vraagt er niet over te praten of het gebruikelijke kantoor niet te bellen.

Geen van deze kenmerken volstaat op zich. De combinatie, met het nieuws op de achtergrond, moet het terugbellen in gang zetten.

Wat zeg je concreet tegen een ongeruste klant?

Een klant die belt nadat hij de pers heeft gelezen, wil gerustgesteld en wegwijs gemaakt worden. Een antwoord in drie stappen werkt goed.

1. De zorg erkennen: ‘Ik begrijp dat dit nieuws u zorgen baart.’
2. Het bevestigde feit geven: wat de bank openbaar heeft gemeld, niets meer. Niet speculeren over oorzaken of bedragen.
3. De regel geven: ‘Wij vragen u nooit om een code. Bij twijfel gaat u via de app of het kantoor.’

De discipline van het ‘bevestigde feit’ is essentieel. Een gerucht dat een adviseur herhaalt, wordt voor de klant officiële informatie en kan door een oplichter worden overgenomen.

Wat moeten andere medewerkers doen?

In een bank zoals elders kan elke medewerker een telefoontje krijgen dat op het nieuws inspeelt: een zogenaamde dienstverlener, een valse interne controle, een telefoontje ‘vanuit het hoofdkantoor’ over uitzonderlijke verificaties.

• Beseffen dat een groot nieuwsfeit de kans op een opportunistisch telefoontje vergroot, en dat in het team zeggen.
• Het terugbellen via een onafhankelijk kanaal zonder uitzondering toepassen bij elk ongebruikelijk verzoek.
• Elk verzoek om een procedure te omzeilen weigeren in naam van een ‘uitzonderlijke situatie’.
• Telefoontjes melden, ook mislukte, met het overzicht van wat je moet onthouden.

Dit laatste punt is het waardevolst: meerdere meldingen kort na elkaar laten het securityteam een lopende campagne herkennen.

Wat moet een securityteam de eerste dagen doen?

Als zo'n nieuwsfeit verschijnt, bepalen de eerste uren het vervolg. Een securityteam kan op vier punten handelen zonder op een intern incident te wachten.

• Met een kort bericht de terugbelregel en het meldkanaal in herinnering brengen.
• De teams met publiekscontact waarschuwen: onthaal, support, adviseurs, boekhouding.
• Meldingen verzamelen en naast elkaar leggen om een campagne te herkennen.
• Controleren dat de procedures voor het goedkeuren van overboekingen en voor resets zonder uitzondering worden toegepast.

Het bericht aan medewerkers moet feitelijk blijven: wat bevestigd is, de regel, het kanaal. Het hoeft niet alarmerend te zijn om gehoord te worden.

Hoe bereid je je voor op het volgende nieuwsfeit?

Opportunistische oplichting keert terug bij elke grote zaak. Teams die hun weigeringszinnen al hebben uitgesproken en het terugbellen hebben geoefend, reageren beter dan teams die die dag een document herlezen.

Een mondelinge oefensituatie leent zich daarvoor. In een rollenspel krijgt een adviseur of medewerker het telefoontje van een persona. Die stelt zich voor als de veiligheidsdienst ‘na het incident’, dringt aan en wekt schuldgevoel. De deelnemer moet controleren, weigeren en daarna melden. Met Face Up schrijft een trainer het scenario op basis van de telefoontjes die zijn organisatie echt heeft ontvangen. De debriefing geeft aan wat er is gezegd, wat gezegd had moeten worden en het actieplan. De deelnemer speelt daarna zo vaak opnieuw als nodig is.

Om dit in een volledige aanpak te plaatsen, zie de gids over security awareness en vishing.

Veelgestelde vragen

Was de aanval op Arkéa een aanval per telefoon?

Niets wijst daarop. De bank beschrijft een geavanceerde externe aanval via het platform van een dienstverlener en sluit menselijke fouten uit. De hier genoemde oplichting staat daar los van: ze richt zich op klanten en medewerkers van andere organisaties en profiteert van het nieuws.

Wat doe je als je na een aanval een bericht in naam van een bank ontvangt?

Niet klikken, het nummer uit het bericht niet terugbellen en contact opnemen met je bank via de app of het kantoor. Volgens Cybermalveillance.gouv.fr keur je nooit een transactie goed die je niet zelf hebt gestart.

Moeten klanten zich zorgen maken over hun tegoeden?

Volgens de bank heeft de aanval geen gevolgen gehad voor de tegoeden van klanten, met enkele uitgestelde overboekingen. Het aandachtspunt zijn de berichten en telefoontjes die op de zaak inspelen.

Wil je adviseurs en medewerkers trainen om hun reflexen vast te houden als het nieuws zich ermee bemoeit? Boek een demo van Face Up.