Les 4 et 5 novembre 2026, le secteur bancaire français a été confronté à la divulgation d’un incident financier majeur touchant le groupe Crédit Mutuel Arkéa. Selon les informations publiées le 4 novembre 2026 par ZATAZ, qui mentionne également la filiale en ligne Fortuneo, puis confirmées le 5 novembre 2026 par UnderNews avec l’analyse de Benoit Grunemwald d’ESET, le groupe bancaire a subi une cyberattaque doublée d’une opération de fraude sophistiquée portant sur plus de 100 millions d’euros, soit environ 133 millions de dollars. La particularité opérationnelle de ce détournement réside dans la vélocité de blanchiment : dès la sortie des flux du circuit bancaire traditionnel, les attaquants ont converti les sommes dérobées en actifs numériques et en stablecoins indexés sur le dollar, notamment en USDT et en USDC, afin de neutraliser les mécanismes classiques de rappel de fonds interbancaires.
À quelques heures d’intervalle, entre le 30 octobre et le 3 novembre 2026, UnderNews a détaillé les ressorts techniques du piratage historique de 6,3 milliards de dollars ayant frappé la plateforme d’échange Binance. L’investigation conduite par Assaf Morag, directeur de la recherche sur les menaces chez l’éditeur Flare, a mis en évidence la présence sur le dark web et sur des canaux spécialisés de 219 journaux d’infection issus de logiciels voleurs d’identifiants (infostealers) provenant de machines liées à l’entreprise. Ces 219 fichiers compromis contenaient les secrets d’authentification et les jetons de session de 74 noms d’utilisateurs distincts appartenant aux équipes de la plateforme. La juxtaposition de la fraude de plus de 100 millions d’euros chez Crédit Mutuel Arkéa et de l’exploitation de ces 74 identités internes chez Binance illustre la convergence entre l’intrusion par vol de sessions collaborateurs et l’exfiltration monétaire instantanée.
Lorsqu’une organisation subissait par le passé une fraude au président ou une compromission de sa chaîne de paiement, la cellule de crise disposait généralement d’une fenêtre de 24 à 72 heures pour activer les procédures de rappel de fonds (recall) auprès des banques correspondantes. Les contrôles de conformité anti-blanchiment rattachés aux réseaux SWIFT et SEPA ralentissaient le décaissement final vers des juridictions tierces. L’incident confirmé début novembre 2026 par Crédit Mutuel Arkéa démontre que cette fenêtre de tir a pratiquement disparu face à des groupes structurés.
En convertissant plus de 100 millions d’euros en stablecoins tels que l’USDC ou l’USDT dès le franchissement du premier rebond bancaire, les opérateurs de l’attaque ont changé la nature juridique et technique de la créance. Une fois les fonds transformés en jetons numériques sur une blockchain publique, les ordres de rappel interbancaires deviennent inopérants. Même si les émetteurs centralisés de certains stablecoins disposent de fonctions techniques de gel d’adresses sur réquisition judiciaire, les attaquants utilisent des protocoles d’échange décentralisés (DEX) et des ponts inter-chaînes automatisés pour disperser les liquidités en quelques minutes vers des actifs impossibles à censurer.
Comme l’a souligné Benoit Grunemwald d’ESET le 5 novembre 2026 dans les colonnes d’UnderNews, ce type d’opération hybride mêle intrusion informatique préalable, connaissance fine des procédures internes de validation financière et ingénierie de blanchiment industriel. Pour les directions générales et financières des ETI comme des établissements régulés, le risque ne se limite plus au blocage par rançongiciel : l’accès furtif aux outils de trésorerie ou de compensation permet désormais une ponction directe du bilan sans chiffrement préalable des serveurs.
L’analyse post-incident du piratage de 6,3 milliards de dollars chez Binance éclaire la manière dont les attaquants acquièrent les privilèges nécessaires à de telles manœuvres. Les travaux d’Assaf Morag chez Flare, relayés par UnderNews les 2 et 3 novembre 2026, révèlent que les identifiants de 74 collaborateurs de l’entreprise circulaient au sein de 219 journaux d’infostealers avant l’attaque. Ces logiciels malveillants, distribués via de fausses mises à jour, des extensions de navigateur piégées ou des dépôts de code compromis, siphonnent silencieusement le contenu des navigateurs web sur les postes professionnels ou personnels non gérés.
Un journal d’infostealer ne contient pas seulement des couples d’identifiants et de mots de passe enregistrés. Il archive l’intégralité des cookies de session actifs, les jetons d’accès OAuth, l’historique de navigation interne et les certificats locaux. Lorsqu’un collaborateur s’authentifie sur une console d’administration cloud ou un portail financier interne avec une validation multifacteur (MFA) classique, le serveur délivre un jeton de session temporaire stocké dans le navigateur. En achetant le journal d’infection sur un marché clandestin pour quelques dizaines d’euros, l’attaquant injecte ce cookie dans son propre navigateur et reprend la session ouverte sans jamais déclencher de nouvelle demande MFA sur le téléphone du salarié.
Cette vulnérabilité de l’environnement d’exécution local se double d’un risque permanent sur la chaîne d’approvisionnement logicielle. Le 2 novembre 2026, UnderNews a ainsi rapporté la compromission de la plateforme Polymarket, où les attaquants ont injecté un script tiers malveillant directement dans l’interface web pour vider les portefeuilles des utilisateurs connectés. Qu’il passe par un infostealer installé sur le poste d’un administrateur ou par un composant JavaScript tiers corrompu, l’objectif reste identique : intercepter la session authentifiée au plus près du navigateur pour émettre des transactions légitimes aux yeux des serveurs centraux.
Pour les banques, les compagnies d’assurance, les sociétés de gestion et leurs prestataires technologiques critiques, ces incidents surviennent dans un cadre réglementaire européen particulièrement strict. Le règlement DORA (Digital Operational Resilience Act), pleinement applicable au secteur financier, impose une détection rapide des activités anormales, une maîtrise des risques liés aux tiers TIC et une notification formelle des incidents majeurs aux autorités de supervision comme l’ACPR et la BCE.
La découverte de 219 compromissions par infostealers touchant 74 comptes d’une même organisation révèle un défaut structurel d’hygiène des terminaux (BYOD, postes d’administrateurs non isolés, absence de révocation automatique des sessions). De même, la capacité d’un groupe criminel à faire sortir plus de 100 millions d’euros vers des plateformes de conversion crypto interroge l’efficacité des plafonds de décaissement automatisés et la ségrégation entre les environnements bureautiques et les systèmes d’ordonnancement bancaire.
La protection contre le détournement massif de fonds et l’exploitation des journaux d’infostealers exige une refonte des contrôles techniques entre le poste de travail et le cœur transactionnel. Les DSI et RSSI, en lien étroit avec les directions financières, doivent déployer les barrières suivantes :
L’attaque d’un prestataire de l’EFS ayant affecté 3 sites et l’extension à 7 pays européens du piratage d’automates frigorifiques exposent la vulnérabilité critique de la chaîne du froid.
1-3 Rue d’Enghien
75010, Paris
France
Recevez les actualités du site Cyberdian.
