Cyberattaque au Crédit Mutuel Arkéa : vos comptes sont-ils touchés, et que faire en cas de paiement ou de retrait frauduleux ?

Mis à jour le 5 novembre 2026

Crédit Mutuel Arkéa, le groupe bancaire breton qui réunit notamment le Crédit Mutuel de Bretagne (CMB), le Crédit Mutuel du Sud-Ouest (CMSO) et la banque en ligne Fortuneo, a annoncé le mercredi 4 novembre 2026 avoir été victime d'une cyberattaque. Si vous êtes client, voici ce que l'on sait, ce que cela change pour vous, et les bons réflexes si vous découvrez un paiement, un retrait ou un virement que vous n'avez pas fait.

Ce que l'on sait de la cyberattaque

• Le montant : environ 100 millions d'euros selon une estimation provisoire du groupe. Le quotidien Le Télégramme évoque 133 millions de dollars (environ 118 millions d'euros) ; la banque n'a pas confirmé ce chiffre mais en a validé l'ordre de grandeur.
• Le mode opératoire : selon la banque, les attaquants sont passés par la plateforme d'un de ses prestataires, puis ont utilisé le compte propre de la banque pour envoyer des fonds vers d'autres établissements, avant de les convertir en cryptomonnaies. Le prestataire n'a pas été nommé. La banque écarte une erreur humaine et parle d'une « attaque sophistiquée venant de l'extérieur ».
• Fortuneo : la banque affirme qu'aucune « entrée » ne s'est faite par Fortuneo, contrairement à ce qu'avait écrit une partie de la presse.
• La situation : l'attaque est « maintenant circonscrite » selon le groupe. Certaines transactions ont été suspendues par précaution, puis la quasi-totalité des opérations a repris. Une partie des fonds a pu être bloquée et des démarches sont en cours pour récupérer le reste.
• L'enquête : la section cybercriminalité du parquet de Paris a ouvert une enquête après une plainte de la banque, pour atteinte à un système de traitement automatisé de données en bande organisée. Elle est confiée à l'Office anticybercriminalité (OFAC). L'attaque n'a pas été revendiquée.

Le groupe assure que ces montants ne remettent pas en cause sa solidité financière. Ces informations sont celles disponibles au 5 novembre 2026 et peuvent évoluer.

Clients CMB, Crédit Mutuel du Sud-Ouest ou Fortuneo : vos comptes sont-ils touchés ?

D'après Crédit Mutuel Arkéa, non : les comptes des clients des fédérations et des filiales n'ont pas été utilisés par les pirates, et l'incident « n'entraîne aucune conséquence » sur les avoirs. La banque ne signale pas non plus de vol de données clients.

Seule conséquence annoncée : certains virements ont été exécutés en retard. Si vous attendiez un virement ou si vous en avez émis un autour du 4 novembre :

• vérifiez son statut dans votre application ou votre espace client ;
• ne refaites pas le virement tant que vous n'êtes pas sûr que le premier a été annulé : un virement retardé peut encore partir, et vous paieriez deux fois ;
• en cas de doute, posez la question à votre conseiller par la messagerie sécurisée de votre espace client.

Attention aux arnaques qui suivent la cyberattaque

La banque appelle elle-même à la vigilance : des tentatives d'hameçonnage (phishing) sont possibles. Après une affaire médiatisée, les escrocs se servent de l'actualité pour paraître crédibles. Les scénarios les plus courants :

• un SMS ou un e-mail « suite à la cyberattaque, vérifiez votre compte » avec un lien vers une fausse page de connexion ;
• un appel d'un faux conseiller ou d'un faux « service sécurité » qui vous annonce des opérations suspectes et vous demande de valider une opération dans votre application pour « l'annuler », de donner un code reçu par SMS, ou de virer votre argent vers un « compte sécurisé » ;
• une demande de remettre votre carte à un coursier « pour la remplacer ».

Votre banque ne vous demandera jamais vos codes, ni de valider une opération pour en annuler une autre, ni de déplacer votre argent vers un autre compte. En cas de doute, raccrochez et rappelez vous-même votre banque au numéro habituel. Notre guide détaille ce type de fraude : faux conseiller bancaire : reconnaître l'arnaque et se faire rembourser.

Vous constatez un paiement frauduleux par carte : que faire ?

Qu'il ait ou non un lien avec cette affaire, un paiement que vous n'avez pas fait doit être traité tout de suite.

1. Faites opposition immédiatement : dans votre application (rubrique carte), ou par téléphone. Pour le Crédit Mutuel de Bretagne et Fortuneo, le centre d'opposition est le 02 98 28 42 28, 24h/24 et 7j/7 (+33 2 98 28 42 28 depuis l'étranger). Clients du Crédit Mutuel du Sud-Ouest : utilisez l'application ou le numéro indiqué au dos de votre carte. Après l'opposition, plus aucune opération frauduleuse n'est à votre charge.
2. Signalez la fraude : si votre carte est toujours en votre possession et que les achats ont été faits à distance, déclarez-les sur Perceval, la plateforme officielle de signalement. Si la carte a été volée, portez plainte.
3. Contestez par écrit chaque opération auprès de votre banque (messagerie de l'espace client ou lettre recommandée), en joignant le récépissé de signalement ou de plainte. Vous avez 13 mois à compter de la date de débit.
4. Exigez le remboursement : la banque doit rembourser au plus tard à la fin du premier jour ouvrable suivant votre signalement, frais compris. Pour un paiement à distance fait avec les données de votre carte, il ne reste rien à votre charge.

Tout le détail (franchise, négligence grave, recours) : fraude à la carte bancaire : obtenir le remboursement.

Vous constatez un retrait frauduleux au distributeur

Un retrait d'espèces que vous n'avez pas fait suppose en général que votre carte ou ses données ont été utilisées physiquement : carte perdue ou volée, ou carte copiée (contrefaçon). Les réflexes :

• faites opposition sans attendre, même si vous pensez avoir encore votre carte ;
• portez plainte au commissariat ou à la gendarmerie, puis contestez le retrait par écrit auprès de votre banque ;
• ce qui reste à votre charge : au maximum 50 € pour les retraits faits avec votre code avant l'opposition en cas de perte ou de vol ; 0 € si votre carte a été contrefaite alors qu'elle était en votre possession, et 0 € pour tout ce qui suit l'opposition. La banque ne peut refuser de rembourser que si elle prouve une négligence grave de votre part (code noté sur la carte, par exemple).

Voir aussi : carte bancaire volée : les démarches.

Un virement que vous n'avez pas ordonné

Un virement inconnu au débit de votre compte peut signaler un accès frauduleux à votre espace client. Changez immédiatement votre mot de passe, prévenez votre banque, et contestez l'opération par écrit : un virement non autorisé se conteste dans les mêmes délais qu'un paiement par carte. Voir compte bancaire piraté : que faire et peut-on faire opposition à un virement déjà effectué ?

En résumé