Piratage du Crédit Mutuel Arkéa : votre argent est-il touché ?

Non, selon la banque : les quelque 118 millions d'euros détournés début novembre 2026 sont sortis du compte propre du Crédit Mutuel Arkéa, pas des comptes de ses clients. Et si une opération frauduleuse apparaissait sur votre compte, la loi impose à votre banque de vous rembourser au plus tard à la fin du jour ouvrable suivant.

Dans son communiqué du 4 novembre 2026, le groupe breton affirme que l'attaque « n'entraîne aucune conséquence sur leurs avoirs » et a seulement provoqué « une exécution différée de certaines opérations de virement ». Ses précisions publiées le même jour vont plus loin : les attaquants « ne sont donc pas passés par des comptes de clients ». La quasi-totalité des opérations a repris dans la matinée du 4 novembre.

L'essentiel : clients du Crédit Mutuel de Bretagne, du Crédit Mutuel du Sud-Ouest ou de Fortuneo, vous n'avez rien à faire dans l'immédiat, sinon vérifier vos relevés et redoubler de méfiance face aux faux SMS et faux appels « de votre banque ». C'est là que se situe désormais le vrai risque.

Ce qui s'est passé du 1er au 4 novembre 2026

L'affaire a été révélée par un enquêteur indépendant, avant toute communication de la banque. Voici la chronologie reconstituée à partir des communiqués d'Arkéa et de la presse.

  • 1er novembre : d'importants retraits en cryptomonnaies stables (USDC et USDT) démarrent sur plusieurs plateformes d'échange, dont Kraken, Crypto.com et OKX, selon les traceurs de transactions cités par la presse.
  • 2 novembre : l'enquêteur ZachXBT signale qu'une « entité européenne » non nommée a perdu plus de 106 millions de dollars.
  • 3 novembre : il porte l'estimation à plus de 133 millions de dollars, soit environ 118 millions d'euros, et désigne le Crédit Mutuel Arkéa.
  • 4 novembre : Arkéa confirme avoir été « victime d'une attaque ayant permis la réalisation d'opérations frauduleuses ». Le parquet de Paris, saisi d'une plainte, ouvre une enquête pour atteinte à un système de traitement automatisé de données en bande organisée, confiée à l'Office anticybercriminalité.

Le montant exact reste incertain. L'AFP évoque environ 100 millions d'euros selon une estimation provisoire, ZachXBT 118 millions d'euros. Arkéa indique ne pas confirmer ce chiffre et « valider l'ordre de grandeur », en précisant qu'une partie des fonds a pu être bloquée. Selon la banque, les pirates ont utilisé la plateforme d'un de ses prestataires pour émettre des virements depuis le compte du groupe vers d'autres banques, avant conversion en cryptomonnaies. Arkéa dément toute entrée par Fortuneo, contrairement à ce qu'ont rapporté plusieurs médias.

Quelles banques font partie du groupe Arkéa ?

Le nom « Crédit Mutuel » prête à confusion. Le Crédit Mutuel Arkéa est un groupe régional autonome, distinct du Crédit Mutuel Alliance Fédérale qui détient le CIC. Les deux groupes n'ont ni financement croisé ni participation au capital l'un de l'autre, selon la présentation financière d'Arkéa.

Groupe Crédit Mutuel Arkéa (victime de l'attaque)Hors groupe Arkéa (non concerné à ce stade)
Crédit Mutuel de Bretagne (CMB)Crédit Mutuel Alliance Fédérale (caisses des autres fédérations)
Crédit Mutuel du Sud-Ouest (CMSO)CIC
Fortuneo et Keytrade Bank (Arkéa Direct Bank)Banques en ligne d'autres groupes
Arkéa Banque Privée, Arkéa Banque Entreprises et Institutionnels
Suravenir (assurance-vie), Arkéa Asset Management, Arkéa REIM (SCPI)

Le groupe revendiquait 5,8 millions de clients et 203,8 milliards d'euros d'encours d'épargne au 30 juin 2026. Suravenir assure de nombreux contrats d'assurance-vie distribués en ligne, ce qui étend le cercle des épargnants qui se posent des questions bien au-delà de la Bretagne.

118 millions d'euros, est-ce grave pour la solidité de la banque ?

La perte est spectaculaire mais reste absorbable. Arkéa a dégagé un résultat net part du groupe de 450 millions d'euros en 2025 et de 230 millions d'euros au premier semestre 2026. Ses capitaux propres part du groupe atteignaient 10,6 milliards d'euros au 30 juin 2026, avec un ratio de solvabilité CET1 de 18,1 %.

Rapportés à ces chiffres, 118 millions d'euros représentent environ 26 % du bénéfice annuel 2025, la moitié du bénéfice semestriel, mais seulement 1,1 % des fonds propres. Avant même toute récupération des fonds bloqués, la banque reste donc très au-dessus des exigences prudentielles. Arkéa l'écrit : les montants « ne sont en tout état de cause pas de nature à remettre en cause la solidité et la santé financière du Groupe ». Pour vous, l'effet le plus probable se lira dans les comptes annuels 2026, pas sur vos comptes.

Si une opération frauduleuse apparaît sur votre compte : vos droits

Même si aucun client n'a été débité selon Arkéa, il est utile de connaître vos droits, valables dans toutes les banques. Le Code monétaire et financier protège fortement la victime d'une opération qu'elle n'a pas autorisée.

  1. Remboursement rapide : la banque rembourse « immédiatement » et au plus tard à la fin du premier jour ouvrable suivant le signalement (article L133-18). Elle ne peut refuser que si elle a de bonnes raisons de soupçonner une fraude de votre part, et doit alors les communiquer par écrit à la Banque de France.
  2. Franchise limitée : au maximum 50 € restent à votre charge, et rien du tout si l'opération a été faite sans authentification forte (article L133-19). Vous perdez cette protection seulement en cas de négligence grave ou d'agissement frauduleux.
  3. Charge de la preuve : c'est la banque qui doit prouver que l'opération a été authentifiée ; l'enregistrement de l'opération ne suffit pas nécessairement à démontrer votre négligence (article L133-23).
  4. Délai pour réclamer : 13 mois après la date de débit (article L133-24).

La Cour de justice de l'Union européenne a renforcé ce cadre dans un arrêt du 15 octobre 2026 : même en cas de négligence grave supposée, la banque doit d'abord rembourser, puis prouver la faute devant un juge. Attention, cette protection ne couvre pas un virement que vous avez vous-même ordonné, par exemple sous la pression d'un faux conseiller.

Ce que couvrent les fonds de garantie, exemple chiffré

Les fonds de garantie ne jouent qu'en cas de faillite d'un établissement, pas en cas de piratage. Ils restent le filet de sécurité ultime. Le Fonds de garantie des dépôts et de résolution (FGDR) couvre 100 000 € par déposant et par établissement de crédit, plus un plafond séparé de 100 000 € pour le Livret A, le LDDS et le LEP. Vos titres bénéficient d'une garantie de 70 000 €, et le Fonds de garantie des assurances de personnes couvre 70 000 € par assuré et par assureur pour l'assurance-vie.

Point clé chez Arkéa : Fortuneo et Keytrade Bank sont des marques d'Arkéa Direct Bank, un établissement de crédit distinct du Crédit Mutuel Arkéa, qui porte l'agrément des caisses du CMB et du CMSO. Prenons une épargnante qui détient :

  • 45 000 € sur ses comptes et livrets bancaires au Crédit Mutuel de Bretagne ;
  • 22 950 € sur son Livret A et 12 000 € sur son LDDS, dans la même caisse ;
  • 70 000 € sur un compte et un livret Fortuneo ;
  • 60 000 € en ETF dans un PEA Fortuneo ;
  • 90 000 € sur une assurance-vie assurée par Suravenir.

Dans le scénario extrême d'une défaillance, ses 45 000 € au CMB sont couverts (moins de 100 000 €), ses 34 950 € de livrets réglementés aussi (plafond séparé), ses 70 000 € chez Fortuneo également, car ils relèvent d'un autre établissement. Ses ETF sont conservés à son nom et la garantie des titres de 70 000 € couvre ses 60 000 €. Seule son assurance-vie dépasse le plafond : 20 000 € sur 90 000 € ne seraient pas garantis par le fonds. Au total, 279 950 € sur 299 950 € sont protégés, soit 93 %.

L'essentiel : au-delà de 100 000 € de dépôts ou de 70 000 € d'assurance-vie chez un même établissement, répartir votre épargne a un sens, piratage ou non. En dessous, le changement de banque n'apporte aucune protection supplémentaire.

Le vrai risque pour vous : les faux messages qui suivent l'attaque

Arkéa met lui-même en garde ses clients : les tentatives d'hameçonnage se multiplient après ce type d'affaire médiatisée. Les escrocs profitent de l'inquiétude pour se faire passer pour votre conseiller et vous faire « sécuriser » votre compte.

  • Ne communiquez jamais un code reçu par SMS, un mot de passe ou un numéro de carte, même à un interlocuteur qui connaît votre nom et votre agence. Aucun conseiller ne vous les demandera.
  • Ne validez dans votre application aucune opération que vous n'avez pas initiée.
  • Raccrochez et rappelez votre agence au numéro habituel, jamais à celui donné par l'appelant.
  • Transférez les SMS suspects au 33700 et signalez une fraude à la carte sur la plateforme Perceval.
  • En cas de débit inconnu, faites opposition puis demandez le remboursement par écrit : la banque ne peut pas exiger un dépôt de plainte préalable.

Faut-il quitter Fortuneo ou votre caisse du Crédit Mutuel ?

Rien dans les informations disponibles au 5 novembre 2026 ne le justifie : les avoirs des clients ne sont pas touchés et la solidité du groupe n'est pas en cause. Un départ précipité peut même vous coûter. Transférer un PEA prend souvent plusieurs semaines, coûte jusqu'à 150 € de frais et interrompt vos versements programmés, comme nous l'expliquons dans notre guide pour transférer son PEA. Quant à l'antériorité fiscale de votre PEA, elle est conservée lors d'un transfert, conformément aux règles rappelées dans notre guide complet du PEA.

Le coût d'opportunité d'une pause de versements se mesure facilement. Deux mois sans investir 300 € sur un plan qui rapporterait 6 % par an représentent 600 € non investis, qui auraient pu valoir environ 1 924 € au bout de 20 ans, calcul que vous pouvez refaire dans notre simulateur d'intérêts composés. Mieux vaut suivre l'enquête, conserver vos relevés et réagir seulement si un fait nouveau touche les clients.

Sources et avertissement

Article éditorial à visée informative, ne constitue pas un conseil en investissement ni un conseil juridique. Les informations sur l'attaque sont celles disponibles le 5 novembre 2026 ; le montant définitif et les circonstances seront établis par l'enquête judiciaire. L'exemple de répartition est illustratif.