Le Cr\u00e9dit Mutuel Ark\u00e9a a confirm\u00e9 une cyberattaque ayant permis des op\u00e9rations frauduleuses sur ses propres comptes. Le montant de 118 millions d\u2019euros, soit environ 133 millions de dollars, circule dans les analyses publiques. La banque en valide l\u2019ordre de grandeur, tout en pr\u00e9cisant que l\u2019\u00e9valuation reste en cours. Une partie des fonds a pu \u00eatre bloqu\u00e9e et des d\u00e9marches de r\u00e9cup\u00e9ration se poursuivent : le montant \u00e9voqu\u00e9 ne correspond donc pas n\u00e9cessairement \u00e0 une perte d\u00e9finitive.<\/p>\n
Selon l\u2019\u00e9tablissement, les attaquants sont pass\u00e9s par la plateforme d\u2019un prestataire pour atteindre Ark\u00e9a directement. La banque d\u00e9ment une entr\u00e9e par Fortuneo et indique que les comptes clients n\u2019ont pas servi \u00e0 r\u00e9aliser ces op\u00e9rations. Certaines transactions ont \u00e9t\u00e9 temporairement suspendues pour s\u00e9curiser la reprise.<\/p>\n
L\u2019enqu\u00eateur blockchain ZachXBT a signal\u00e9 l\u2019affaire avant l\u2019annonce publique de la banque. Ses analyses, relay\u00e9es par la presse sp\u00e9cialis\u00e9e, d\u00e9crivent des mouvements via des stablecoins comme l\u2019USDC et l\u2019USDT, puis des \u00e9changes vers d\u2019autres actifs, dont le Monero. Les services UniswapX et Kyrrex apparaissent dans les circuits rapport\u00e9s. Ces observations restent \u00e0 distinguer de ce que la banque confirme sur l\u2019intrusion initiale.<\/p>\n
Les mouvements visibles sur une blockchain peuvent permettre de suivre une partie du parcours. Les conversions, les services interm\u00e9diaires et le passage entre plusieurs r\u00e9seaux compliquent ensuite la reconstitution. Voir une transaction ne suffit pas \u00e0 identifier la personne qui la contr\u00f4le. Il faut aussi d\u00e9terminer quels interm\u00e9diaires peuvent encore bloquer des fonds et dans quelles conditions.<\/p>\n
ZachXBT estime qu\u2019un signalement plus rapide aurait permis de geler plus de 30 millions de dollars. C\u2019est une appr\u00e9ciation de l\u2019enqu\u00eateur, et non une somme dont Ark\u00e9a reconna\u00eet avoir emp\u00each\u00e9 la r\u00e9cup\u00e9ration. La banque affirme avoir pr\u00e9venu les instances comp\u00e9tentes apr\u00e8s d\u00e9tection. Sa communication publique ne donne pas une chronologie suffisante pour trancher ce d\u00e9saccord.<\/p>\n
Le cadre DORA lie les obligations de notification \u00e0 la prise de connaissance de l\u2019incident et \u00e0 sa qualification. La date d\u2019un communiqu\u00e9 de presse ne prouve donc pas celle d\u2019un signalement r\u00e9glementaire. Pour les clients, Ark\u00e9a indique que les avoirs ne sont pas affect\u00e9s et appelle \u00e0 la vigilance face \u00e0 l\u2019hame\u00e7onnage. Un message pr\u00e9tendant aider \u00e0 v\u00e9rifier un compte apr\u00e8s cette attaque ne justifie jamais de transmettre un mot de passe ou un code de validation.<\/p>\n
Sources : Cr\u00e9dit Mutuel Ark\u00e9a<\/a> \u00b7 EUR-Lex<\/a>.<\/p>\nSources<\/h2>\n