Cyberattaque d’Arkéa : le risque des prestataires pour les banques suisses

Le 4 novembre, Crédit Mutuel Arkéa a révélé un casse informatique de l’ordre de 100 millions d’euros. D’après son communiqué, les pirates ont effectué des virements depuis un compte appartenant à la banque vers d’autres établissements. Les 118 millions évoqués dans la presse ne sont pas confirmés, mais une partie des fonds a été bloquée pour éviter de nouveaux transferts illicites. Les spécialistes interrogés sur ce casse numérique estiment que les voleurs ont probablement converti leur butin en cryptomonnaies difficilement traçables.

La banque assure que les avoirs de ses clients n’ont pas été touchés, malgré des virements retardés. Le vrai embarras est ailleurs : les assaillants sont passés par la plateforme d’un prestataire extérieur. Le groupe écarte une intrusion par sa filiale Fortuneo, sans identifier ce fournisseur ni expliquer comment les fraudeurs ont pu émettre des ordres de paiement. Voilà une externalisation qui mérite un sérieux audit.

Le procédé, rare, n’a pourtant rien d’inédit. En 2016, la banque centrale du Bangladesh s’est fait dérober 81 millions de dollars après l’émission de faux ordres de paiement via son accès au réseau SWIFT. Dès 2013, le réseau criminel Carbanak-Cobalt a infiltré les systèmes de dizaines de banques, détourné des fonds et fait distribuer du liquide par des distributeurs automatiques. Pertes estimées : près d’un milliard d’euros.

En Suisse, plusieurs précédents concernent les comptes des clients, plutôt que les fonds propres des banques. Entre 2016 et 2018, de faux techniciens ont pris le contrôle des ordinateurs de sociétés helvétiques pour ordonner plus de cinq millions de francs de virements : le Tribunal pénal fédéral a condamné un participant à quatre ans de prison en 2025, par un jugement alors non définitif. En 2025, le Ministère public de la Confédération a également détaillé une campagne d’hameçonnage à 2,4 millions de francs contre des clients de banques suisses. Les arnaques aux faux banquiers déjà relevées par Les Observateurs exploitent, elles, surtout la confiance des victimes.

Reste l’angle mort des fournisseurs. Dans son monitorage des risques 2024, la FINMA relevait que 65 % des banques suisses externalisaient au moins une partie du trafic des paiements et 90 % au moins une partie d’une fonction critique. Dans son bilan publié en avril 2026, elle constatait que près de la moitié des cyberattaques signalées en 2025 visaient des prestataires ou sous-traitants, avec des conséquences directes pour les établissements. La surveillance de certaines fonctions externalisées reste insuffisante. On peut confier ses outils à un tiers, mais on ne devrait pas lui abandonner les clés du coffre.