Le 4 novembre 2026, le Crédit Mutuel Arkéa a reconnu une cyberattaque d’ampleur. Sur France Info, Mohammed Boumediane, fondateur et PDG de Ziwit (entreprise française spécialisée dans la cybersécurité offensive, c’est-à-dire l’art de simuler des attaques pour trouver les failles), a livré son analyse. Pour rappel, il a été nommé au Conseil National du Numérique le 30 mai 2018 par le Premier ministre de l’époque, et Ziwit se présente comme le n°1 européen de la cybersécurité offensive.
Ce qui s’est passé chez Arkéa
Le groupe (Crédit Mutuel de Bretagne, du Sud-Ouest, Fortuneo, Suravenir) a reconnu des opérations frauduleuses. La banque évoque une estimation provisoire de l’ordre de 100 millions d’euros, d’autres médias avancent 118 millions. Une enquête est ouverte. Selon la banque, les attaquants sont passés par la plateforme d’un de ses prestataires, puis ont atteint Arkéa directement. Côté clients, la banque assure que leurs avoirs ne sont pas touchés, seulement certains virements exécutés en différé.
L’affaire a d’abord été révélée par des enquêteurs de la blockchain (le registre public où s’inscrivent les transactions en cryptomonnaies). Selon l’analyse publiée par IT-Connect, les fonds ont été convertis en cryptos pour être blanchis, via un réseau de “mules” (des complices qui prêtent des comptes ouverts avec de fausses identités). Une partie a transité par des ponts inter-chaînes, des services d’échange instantané et du Monero (une cryptomonnaie conçue pour être intraçable). Détail qui inquiète: d’après l’analyse de Bitquery, certains portefeuilles destinataires étaient actifs depuis mai, ce qui laisse penser à une opération préparée de longue date.
M. Boumediane confirme la méthode de dispersion : l’argent a été découpé en petits morceaux sur plusieurs comptes hébergés par des plateformes de cryptomonnaies, de façon à rendre son identification et son gel quasi impossibles. Il va plus loin sur l’avenir : selon lui, le risque que les comptes de plusieurs centaines de milliers de clients soient siphonnés est réel et doit être pris au sérieux. Il décrit les assaillants comme “une super-intelligence” capable de contourner tous les contrôles.
Attention : c’est l’analyse d’un expert, pas un constat de la banque. Arkéa n’a pas communiqué sur le mode opératoire et, à ce jour, aucune source consultée ne démontre que l’IA a servi à cette attaque précise. L’expression “super-intelligence” est aussi une image forte, qui ne désigne pas une technologie identifiée.
Pourquoi l’IA change la donne
Au printemps, Anthropic a annoncé retarder la sortie de son modèle Mythos, car il avait repéré des milliers de vulnérabilités “zero-day” (des failles inconnues de leurs propres concepteurs, donc sans correctif). Le modèle a d’abord été partagé avec des spécialistes de cybersécurité et des géants comme Amazon, Google, Apple et Microsoft pour qu’ils colmatent les brèches avant tout le monde. Le problème de fond, résumé par un chercheur de l’ISF (Forum sur la sécurité de l’information), c’est que l’IA abaisse le coût de détection d’une faille et permet de démultiplier les tentatives, y compris pour des pirates de moindre calibre.
Et ce n’est plus l’apanage des modèles les plus protégés. Le 4 novembre, Mozilla a dévoilé sa parade au “patch gap” (le délai entre la publication d’un correctif et son installation chez les utilisateurs, fenêtre pendant laquelle un pirate peut étudier le correctif pour retrouver la faille). Une étude d’Epoch AI montre qu’un modèle ouvert, GLM 5.3, a permis de compromettre 6 versions de Firefox à partir de correctifs publics pas encore livrés, pour environ 1 000 dollars par version et 12 heures de travail de l’IA pour la tentative la plus rapide. Les chercheurs précisent qu’aucun garde-fou d’un fournisseur ne s’est déclenché.
Ce qui va probablement se passer
Ce qui suit est de la prospective, c’est-à-dire des tendances plausibles déductibles de ces faits, pas des certitudes.
1. Plus d’attaques, moins chères. Quand trouver une faille coûte quelques centaines d’euros de calcul au lieu de semaines de travail d’un expert, le nombre d’attaquants capables explose.
2. Les prestataires, maillon faible. Arkéa a été touchée par un prestataire. Le même schéma touche la santé : un prestataire de l’EFS (Établissement français du sang) a vu des congélateurs de plasma réglés à 110 °C. Plus la chaîne de sous-traitants est longue, plus la surface d’attaque l’est aussi.
3. Une course de vitesse permanente. Les éditeurs corrigent plus vite (Mozilla publie désormais des versions majeures toutes les deux semaines), mais chaque correctif publié trahit la faille qu’il répare. Les défenseurs devront ruser, comme Mozilla qui veut décaler la publication de certains correctifs pour ne jamais livrer deux pièces du puzzle en même temps.
4. L’argent volé deviendra plus dur à suivre. Mules, fausses identités, cryptos, Monero : le blanchiment s’industrialise aussi.
5. Le citoyen en première ligne. Chaque grande affaire alimente les arnaques au faux conseiller bancaire. Un appel “du service fraude” qui vous demande de valider une opération etc.
6. Le risque, un jour, pour les comptes des clients. Dans cette affaire, ce sont les fonds de la banque qui auraient été visés, pas ceux des clients. Mais M. Boumediane juge que le scénario d’un siphonnage de masse de comptes particuliers ne peut plus être écarté. C’est son avis d’expert, et c’est un scénario, pas un fait.
Et nous, là-dedans ?
Il y a évidemment un paradoxe : les mêmes outils servent à attaquer et à défendre. Mozilla traque ses propres failles avec des modèles d’IA, et Bank of America a recruté 1 000 prestataires pour corriger les failles mises en évidence par Mythos. La question n’est donc pas “pour ou contre l’IA”, mais “qui va (aller) plus vite, et avec quels garde-fous”.
Cet article a été élaboré en collaboration avec Claude, une intelligence artificielle. Je m’en sers pour documenter mes sujets, poser des questions, orienter l’angle, vérifier les sources, et je tiens à nommer explicitement cette participation. Ne me croyez pas sur parole, ni l’IA. 🤔 Cette page peut se tromper