Une banque piratée doit-elle rendre public le montant volé, même si ses clients ne perdent rien ?

Le contexte

Le mercredi 4 novembre, le Crédit Mutuel Arkéa a annoncé avoir subi une attaque informatique ayant permis « la réalisation d'opérations frauduleuses », rapporte Brut. La banque juge l'incident « aujourd'hui maîtrisé » et assure qu'il n'a « aucune conséquence financière » pour ses clients. Le groupe réunit notamment le Crédit Mutuel de Bretagne et Fortuneo, précise le Journal du Geek.

Arkéa n'a donné ni montant ni méthode. Selon Le Télégramme, cité par Brut, 133 millions de dollars, soit 118 millions d'euros, ont été détournés, un chiffre que la banque n'a pas confirmé. Les fonds, des cryptomonnaies stables (USDC et USDT), ont été retirés de plusieurs comptes ouverts sur des plateformes d'échange. Environ 63 millions de dollars ont été échangés contre de l'ether, et une partie a ensuite été convertie en Monero, selon le Journal du Geek.

Révélée par un enquêteur indépendant

La fraude a été rendue publique par ZachXBT, un enquêteur spécialisé dans le traçage de fonds sur la blockchain, qui a nommé la banque dans la nuit du 3 au 4 novembre. Il accuse Arkéa d'avoir étouffé l'affaire et estime que plus de 30 millions de dollars auraient pu être gelés avec un signalement plus rapide, selon le Journal du Geek. Selon Le Télégramme, cité par Brut, la banque a informé la Banque de France. Sollicitée par l'AFP, celle-ci n'a pas fait de commentaire.

Les arguments pour

• Garder le silence peut coûter des fonds qu'on aurait pu bloquer L'enquêteur ZachXBT accuse la banque d'avoir étouffé l'affaire et estime que plus de 30 millions de dollars auraient pu être gelés avec un signalement plus rapide. Tether a gelé environ 1,14 million de dollars en USDT, rapporte le Journal du Geek.
• Les clients ont le droit de savoir ce qui arrive à leur banque Le groupe comptait 5,64 millions de clients fin 2025, selon le Journal du Geek. La banque leur assure qu'ils ne perdent rien, mais n'a donné ni le montant ni la méthode de l'attaque, rapporte Brut. Le chiffre de 118 millions d'euros vient de la presse.

Les arguments contre

• Les autorités de contrôle sont déjà prévenues Selon Le Télégramme, cité par Brut, Arkéa a informé la Banque de France. Un règlement européen impose en outre de signaler un incident informatique majeur aux autorités dans les 24 heures, rappelle le Journal du Geek.
• Si les clients ne perdent rien, un chiffre public peut surtout inquiéter La banque assure que l'incident, « aujourd'hui maîtrisé », n'a « aucune conséquence financière » pour ses clients, rapporte Brut. Pour eux, le montant ne change donc rien, et le publier pourrait les inquiéter sans les protéger davantage.

Sources

• Crédit Mutuel Arkéa victime d'une cyberattaque ayant permis des « opérations frauduleuses », Brut (2026)
• Une grande banque française piratée : jusqu'à 118 millions d'euros partis en cryptomonnaies !, Journal du Geek (2026)