Votre agence web a un accès administrateur à votre site. Votre infogéreur se connecte à distance à vos serveurs. Votre logiciel de facturation est relié à votre banque. Vous leur faites confiance, et c'est normal. Mais si l'un d'eux se fait pirater, l'attaquant arrive chez vous avec une clé qui ouvre la porte.
C'est exactement le scénario qui vient de toucher une grande banque française. Crédit Mutuel Arkéa a été attaqué en passant par la plateforme d'un de ses prestataires. Le montant évoqué est de l'ordre de 100 à 118 millions d'euros. Voici ce qui est confirmé, ce qui ne l'est pas, et surtout ce qu'une PME peut faire dès cette semaine.
Ce que l'on sait de l'attaque contre Crédit Mutuel Arkéa
Crédit Mutuel Arkéa est un grand groupe bancaire coopératif. Il compte plus de 5,8 millions de sociétaires et 211,5 milliards d'euros d'actifs, selon BleepingComputer.
L'affaire a d'abord été signalée le 2 novembre par ZachXBT, enquêteur spécialisé dans les fraudes sur la blockchain. Selon lui, jusqu'à 118 millions d'euros (133 millions de dollars) auraient été volés puis retirés en stablecoins USDC et USDT. Il affirmait aussi que 30 millions de dollars avaient déjà été blanchis le 3 novembre.
La banque a communiqué le 4 novembre. Dans sa foire aux questions officielle, elle donne plusieurs éléments clés :
les attaquants sont passés par la plateforme d'un de ses prestataires et ont atteint la banque directement ;
ils ont utilisé le compte propre de la banque, pas les comptes des clients, pour faire des virements vers d'autres banques ;
l'argent a ensuite pu être converti en cryptomonnaie via des plateformes spécialisées ;
aucune entrée ne s'est faite par Fortuneo, contrairement à ce qui a circulé dans la presse ;
la banque écarte une erreur humaine en interne et parle d'une attaque sophistiquée venue de l'extérieur.
Arkéa ne confirme pas le chiffre de 118 millions d'euros. Elle valide seulement « l'ordre de grandeur ». Une partie des fonds a été bloquée et d'autres actions sont en cours pour les récupérer. Par précaution, certaines transactions ont été suspendues. La quasi-totalité des opérations a repris dans la matinée du 4 novembre.
Selon la dépêche AFP reprise par Boursorama, la banque a parlé d'une estimation provisoire de l'ordre de 100 millions d'euros. La section cybercriminalité du parquet de Paris a ouvert une enquête après une plainte de la banque. Elle a été confiée à l'Office anticybercriminalité (OFAC).
Ce qui reste inconnu
À la date de cet article, le nom du prestataire n'a pas été rendu public. La méthode exacte des attaquants n'est pas connue non plus. La banque indique travailler avec les autorités pour établir l'origine de l'attaque et son mode opératoire. Le montant définitif n'est pas encore arrêté.
Si vous êtes client d'Arkéa ou de Fortuneo : la banque indique que vos avoirs ne sont pas touchés. En revanche, elle alerte sur un risque accru d'hameçonnage (phishing). Ne communiquez aucune information sensible par téléphone ou par e-mail, et vérifiez tout message suspect en appelant directement votre conseiller.
Comment une attaque passe par un prestataire
On parle d'attaque par la chaîne d'approvisionnement, ou par un tiers. L'idée est simple : au lieu d'attaquer une cible bien protégée, le pirate attaque un fournisseur moins protégé qui a déjà un accès légitime.
Voici les scénarios classiques. Ce sont des exemples généraux, pas la description de l'affaire Arkéa :
le compte d'un technicien du prestataire est volé (mot de passe réutilisé, hameçonnage) ;
l'outil de prise en main à distance de l'infogéreur est compromis, et avec lui tous ses clients ;
une clé d'API (un identifiant qui permet à deux logiciels de se parler) est dérobée chez un éditeur ;
une mise à jour logicielle piégée est diffusée à tous les clients d'un fournisseur.
Dans tous ces cas, vos systèmes voient arriver une connexion « normale ». C'est ce qui rend ces attaques difficiles à repérer. Pour une PME, les tiers concernés sont nombreux : agence web, infogéreur, éditeur de logiciel, expert-comptable, freelance.
Action 1 : faire l'inventaire des accès donnés aux tiers
Le guide de l'ANSSI pour les TPE/PME recommande d'inventorier les accès et les liaisons avec l'extérieur, y compris vers les prestataires. Le but est de vérifier qu'aucun accès inutile ne subsiste, par exemple celui d'un ancien prestataire.
Un simple tableur suffit. Pour chaque tiers, notez :
le nom du prestataire et la personne de contact ;
les outils auxquels il accède (site, hébergement, messagerie, banque, réseaux sociaux, serveurs) ;
le type d'accès (compte nominatif, compte partagé, clé d'API, accès à distance) ;
le niveau de droits (lecture, modification, administrateur) ;
la date de la dernière vérification.
Supprimez tout de suite les accès des prestataires avec qui vous ne travaillez plus.
Actions 2 et 3 : moindre privilège et double authentification obligatoire
Le moindre privilège consiste à donner à chacun uniquement les droits nécessaires à sa mission, et seulement pour la durée nécessaire. Votre agence qui rédige vos articles n'a pas besoin d'un compte administrateur.
Concrètement :
un compte nominatif par intervenant, jamais de mot de passe partagé ;
des droits limités par défaut, élargis seulement pour une intervention précise ;
des accès temporaires pour les missions ponctuelles, retirés à la fin.
Ensuite, rendez la double authentification obligatoire pour tous les comptes des tiers. Le mot de passe ne suffit plus : il faut aussi un code ou une validation sur un second appareil. L'ANSSI recommande d'activer cette protection dès qu'un service la propose. Pour choisir une application adaptée, consultez notre guide sur les meilleures applications de double authentification.
Action 4 : journaliser pour voir ce qui se passe
La journalisation, c'est garder une trace des connexions et des actions : qui s'est connecté, quand, depuis où, et qu'a-t-il fait. La plupart des outils le proposent déjà : il suffit de l'activer et de regarder.
Cherchez les signaux faibles : une connexion à 3 heures du matin, un pays inhabituel, un nouvel administrateur créé, un changement de coordonnées bancaires. Activez les alertes par e-mail quand elles existent. Et conservez ces journaux : en cas d'attaque, l'ANSSI rappelle qu'ils seront très utiles aux enquêteurs.
Actions 5 et 6 : des clauses de sécurité et un plan de coupure d'urgence
Le contrat est votre levier. L'ANSSI conseille par exemple d'exiger dans les contrats de sous-traitance que le prestataire applique les mises à jour. Vous pouvez aller plus loin et demander :
la double authentification sur tous les accès à vos systèmes ;
l'obligation de vous prévenir rapidement en cas d'incident chez lui, avec un délai écrit ;
la liste des personnes qui interviennent, et l'accord préalable avant de sous-traiter à son tour ;
la suppression de tous les accès et la restitution de vos données en fin de contrat.
Préparez enfin une procédure de coupure d'urgence. Arkéa a suspendu certaines transactions par précaution dès la détection : c'est ce réflexe qu'il faut anticiper. Sur une page, notez qui décide, comment désactiver chaque compte de tiers, révoquer les clés d'API, changer les mots de passe et couper les accès à distance. Ajoutez les numéros utiles, dont la plateforme Cybermalveillance.gouv.fr. Testez cette procédure une fois par an.
Si vous travaillez avec une agence pour votre site, vous pouvez aussi voir comment je gère les accès lors de la mise en ligne d'un site client. Et si vous voulez de l'aide pour faire cet audit, contactez-moi.
Questions fréquentes
Les clients d'Arkéa ou de Fortuneo ont-ils perdu de l'argent ?
Selon la banque, non. Les attaquants ont utilisé le compte propre d'Arkéa, pas ceux des clients. L'incident a seulement retardé certains virements. Restez toutefois vigilant face aux tentatives d'hameçonnage.
Quel prestataire a été piraté ?
Ce n'est pas connu publiquement à ce jour. La banque indique seulement que les attaquants sont passés par la plateforme d'un de ses prestataires. L'enquête est en cours.
Je suis une petite structure avec deux ou trois prestataires. Par où commencer ?
Commencez par l'inventaire des accès et la suppression des accès inutiles. Activez ensuite la double authentification partout où c'est possible. Ce sont deux actions simples, qui réduisent déjà nettement votre exposition.
Sources : BleepingComputer, FAQ de Crédit Mutuel Arkéa, dépêche AFP sur Boursorama et guide ANSSI « La cybersécurité pour les TPE/PME en 13 questions », consultés le 8 novembre 2026.
