Fortuneo piratée : 118 millions d'euros détournés vers des comptes crypto
Le Crédit Mutuel Arkéa a annoncé mercredi avoir subi une attaque informatique visant sa banque en ligne. Plus de 118 millions d'euros ont été détournés vers des comptes de cryptomonnaies ouvertes sous de fausses identités.
L'attaque informatique d'Arkéa révélée
Le Crédit Mutuel Arkéa a confirmé mercredi 4 novembre avoir été victime d'une cyberattaque ayant permis des opérations frauduleuses. Selon Actu17, plus de 133 millions de dollars (environ 118 millions d'euros) ont été détournés de Fortuneo, la banque en ligne du groupe basé au Relecq-Kerhuon (Finistère).
Le groupe assure que l'incident est désormais maîtrisé et sans conséquence financière pour ses clients. Dès la détection, les équipes ont suspendu temporairement certaines transactions pour sécuriser les opérations. La Banque de France a été informée, et selon Le Figaro, les pirates auraient ciblé les fonds propres de Fortuneo et non l'argent des déposants.
Comment le détournement a fonctionné
Les fraudeurs ont exploité une vulnérabilité pour émettre des virements depuis Fortuneo en inscrivant eux-mêmes le nom du bénéficiaire. Les fonds ont ensuite été envoyés vers des comptes ouverts sous de fausses identités sur des plateformes d'échange de cryptomonnaies, notamment Kraken.
Ces plateformes n'ont pas été piratées. Les fraudeurs ont créé les comptes, puis les ont alimentés avec les virements frauduleux, contournant les vérifications de concordance entre l'émetteur du virement et le propriétaire du compte. Kraken a confirmé que ses systèmes de sécurité n'avaient pas été compromis.
Le parcours des fonds
Une fois sur les plateformes d'échange, l'argent fiat a été converti en stablecoins puis retiré vers des portefeuilles externes. Les premiers retraits ont commencé le 1er novembre, avec 12 millions de dollars transférés depuis OKX à 12h25 UTC, suivis 44 minutes plus tard par des retraits depuis Kraken. Les opérations se sont poursuivies pendant plusieurs jours.
D'après les sources citées par Actu17, l'enquêteur américain ZachXBT, connu pour remonter la trace des fonds sur les blockchains, a d'abord signalé une perte de 106 millions de dollars avant de relever son estimation au-delà de 133 millions en découvrant des retraits supplémentaires.
Deux hypothèses sur l'origine de l'attaque
L'origine exacte de la vulnérabilité reste à déterminer. Une source intégrée au milieu des hackers avance deux hypothèses : une compromission invisible des systèmes de paiement de la banque pendant plusieurs jours, ou plus probablement une faille humaine en interne. Cette dernière pourrait correspondre à une variante de l'arnaque au président montée par un réseau francophone.
Kraken aurait commencé à geler les fonds dans la nuit de lundi à mardi. Face à ces blocages, le réseau frauduleux se serait ensuite rabattu sur d'autres plateformes pour poursuivre le blanchiment des fonds.
La révélation publique
L'affaire a été révélée par ZachXBT via Telegram lundi, avant que le nom de la banque française soit publiquement confirmé entre mardi et mercredi. Le spécialiste en blockchain a ajusté ses estimations au fur et à mesure de la découverte de nouveaux retraits. Les montants initialement évoqués pourraient selon les sources être beaucoup plus importants que les 118 millions d'euros confirmés.
Source: Actu17