Piratage du Crédit Mutuel Arkéa : vos placements sont-ils vraiment à l'abri ?

Mercredi 4 novembre 2026, le Crédit Mutuel Arkéa, banque de plus de cinq millions de clients, a reconnu avoir subi une cyberattaque qui a permis des opérations frauduleuses. Le détournement est estimé, à titre provisoire, à environ 100 millions d'euros. La banque affirme que les avoirs de ses clients n'ont pas été touchés. Des clients ont pourtant constaté que certains virements ne passaient plus.

Cet écart entre perdre son argent et ne plus pouvoir s'en servir est le vrai sujet de cet article.

Que s'est-il passé au Crédit Mutuel Arkéa le 4 novembre 2026 ?

Le Crédit Mutuel Arkéa, qui réunit les fédérations du Crédit Mutuel de Bretagne et du Sud-Ouest ainsi que des filiales comme Fortuneo et Suravenir, a confirmé le 4 novembre 2026 avoir été visé par une cyberattaque. La banque évalue provisoirement le détournement à environ 100 millions d'euros, un chiffre repris par franceinfo et l'AFP. D'autres médias avancent 118 millions d'euros, et l'enquêteur ZachXBT évoque 133 millions de dollars de cryptomonnaies.

Le parquet de Paris a ouvert une enquête après une plainte du groupe. Crédit Mutuel Arkéa indique que l'incident est maîtrisé, qu'une partie des fonds a pu être bloquée et que d'autres démarches sont en cours pour récupérer le reste. L'origine de l'attaque, la nature exacte des fonds et le mode opératoire n'ont pas été détaillés. Les clients du CIC et des autres caisses de Crédit Mutuel ne relèvent pas de ce groupe.

Les clients ont-ils perdu de l'argent après le piratage ?

Selon le groupe, non : l'incident n'a aucune conséquence sur les avoirs de ses clients, mais l'exécution de certains virements a été différée, des opérations ayant été suspendues par précaution. Des clients ont signalé ne pas pouvoir effectuer de virements depuis leur application.

L'actualité mélange souvent trois risques distincts. La perte : l'argent a disparu, ce que rien ne démontre ici pour les clients. Le blocage : l'argent existe mais n'est plus accessible pendant un temps, ce qui s'est produit. La fraude : un tiers obtient du client lui-même une opération, souvent en profitant de l'actualité.

Un placement peut résister à la perte et pourtant poser problème en cas de blocage, si l'épargnant a besoin de liquidités à une date précise, par exemple pour une signature chez le notaire.

Que couvrent réellement le FGDR et le FGAP en cas de défaillance ?

Aucune garantie française ne ressemble à une assurance contre le piratage. Le Fonds de garantie des dépôts et de résolution (FGDR) couvre les dépôts bancaires jusqu'à 100 000 euros par déposant et par établissement. Il gère aussi la garantie des titres, plafonnée à 70 000 euros par client et par établissement, qui ne joue que si les titres ont disparu et que l'établissement ne peut plus les restituer.

Les contrats d'assurance vie relèvent du Fonds de garantie des assurances de personnes (FGAP), à hauteur de 70 000 euros par assuré et par assureur, 90 000 euros pour certaines rentes. Ces fonds interviennent après constat de défaillance par l'Autorité de contrôle prudentiel et de résolution (ACPR), jamais pour compenser une baisse de valeur.

Les plafonds sont réels : au-delà, la part excédentaire n'est pas couverte. C'est la limite concrète de la protection, davantage que la menace d'un piratage. Les montants sont à recouper sur fgdr.fr et fgap.fr.

Qui rembourse si un piratage touche votre propre compte ?

Pour une opération de paiement que vous n'avez pas autorisée, le Code monétaire et financier (articles L. 133-18 et suivants) prévoit un remboursement rapide par la banque, dans des conditions légales qui écartent notamment la fraude ou la négligence grave du client.

Le cas du faux conseiller bancaire est différent : le client valide lui-même un virement vers un compte frauduleux, et le remboursement n'est plus automatique, il dépend des circonstances. Après un piratage très médiatisé, les escrocs en profitent. Un appel affirmant que votre épargne est menacée et qu'il faut la transférer vers un compte sécurisé est une fraude : aucun conseiller légitime ne demande de valider un virement pour protéger vos économies. Le bon réflexe consiste à raccrocher et à rappeler votre agence par son numéro habituel.

Ce qui compte ici, c'est le consentement. Ce que vous autorisez, même sous pression, se récupère bien plus difficilement que ce qu'un pirate prend à votre insu.

Un actif tangible peut-il être piraté ?

Un pirate peut vider un portefeuille de cryptomonnaies ou perturber l'application d'une banque ; il ne peut pas effacer un immeuble ni un champ. La propriété immobilière repose sur un acte authentique reçu par un notaire et sur la publicité foncière, pas sur une ligne affichée dans une application.

Ce qui reste piratable, c'est tout ce qui entoure l'achat et la vente : un faux RIB glissé dans un échange avec l'étude notariale, l'usurpation d'identité d'un vendeur, un faux conseiller qui intercepte un projet. Les Notaires de France signalent une hausse des fraudes au virement qui visent particulièrement les projets immobiliers, et rappellent qu'aucun notaire ne demande de virement vers une banque étrangère.

Le risque ne disparaît donc pas avec un actif physique : il se déplace du détenteur vers le moment de la transaction. Un acquéreur prudent confirme par téléphone, sur un numéro connu, tout changement de coordonnées bancaires avant de virer des fonds.

Immobilier et terres agricoles : quelles contreparties quand on sort de l'écran ?

Un actif tangible n'est pas un placement sans défaut. Sa première contrepartie est la liquidité : vendre un bien ou un terrain demande des mois, alors qu'un virement se compte en jours. Pour les terres agricoles, le rendement locatif brut moyen est resté inférieur à 3 % selon les données de la Safer publiées pour 2023, le fermage est encadré par un indice national, et le droit de préemption de la Safer s'applique à la plupart des ventes. Les prix varient fortement d'une région à l'autre.

L'immobilier locatif ajoute vacance, travaux, fiscalité et gestion. Ces contraintes expliquent pourquoi les actifs tangibles se pensent comme une composante d'un patrimoine, pas comme un abri total. Leur atout est ailleurs : leur valeur ne dépend d'aucun serveur et ne s'interrompt pas avec une panne informatique, mais elle dépend du marché, de la fiscalité et de la localisation.

Faut-il vendre tous ses placements dématérialisés après un piratage bancaire ?

Rien dans les faits publiés à ce jour n'impose une vente en urgence. Vendre a un coût certain : fiscalité sur les plus-values, antériorité fiscale d'un contrat d'assurance vie en cas de rachat, frais, risque de céder au mauvais moment. Les liquidités laissées sur un compte bancaire restent elles-mêmes une inscription informatique chez un établissement : elles n'échappent donc pas à cette logique de risque.

La question utile est autre : combien de points de défaillance concentre mon patrimoine ? Trois vérifications valent pour n'importe quel placement. Qui détient l'actif, moi ou l'établissement ? Qui peut en bloquer l'accès, et en combien de temps cet accès revient-il ? Quel montant dépasse les plafonds du FGDR ou du FGAP dans un même établissement ? Un patrimoine réparti entre plusieurs établissements, avec une réserve de liquidités accessible par un second canal, réduit surtout le risque de blocage.

Que faire dans les jours qui suivent un piratage bancaire médiatisé ?

Quatre réflexes limitent l'exposition à la fraude qui suit généralement ce type d'actualité :

• Ne communiquer aucun code et ne valider aucun virement demandé par téléphone ou par message, même si l'interlocuteur cite l'actualité.
• Se connecter uniquement par l'application ou le site officiel de sa banque, jamais par un lien reçu par SMS ou par e-mail.
• Consulter régulièrement ses relevés et activer les alertes de sa banque.
• En cas d'achat immobilier en cours, confirmer par téléphone tout RIB reçu par e-mail, sur un numéro connu indépendamment du message.

Ce que le piratage du Crédit Mutuel Arkéa ne prouve pas encore

L'enquête du parquet de Paris vient de s'ouvrir. À ce stade, les circonstances, la nature des actifs détournés, le point d'entrée des attaquants et les montants récupérables ne sont pas établis, et les estimations publiées divergent d'un média à l'autre. Rien ne permet d'en déduire une faille généralisée du système bancaire français, ni un risque pour les dépôts des clients, que la banque dit intacts.

Le règlement européen DORA impose aux établissements financiers de gérer et de notifier les incidents informatiques majeurs, mais son application dépend de la qualification précise des faits. Un point est en revanche acquis : l'accès à son argent peut être interrompu sans que sa propriété soit en cause. C'est une raison suffisante de savoir où se trouve son patrimoine, sans en tirer de prédiction de crise.