Piratage du Crédit Mutuel Arkéa : clients du Crédit Mutuel de Bretagne, du Sud-Ouest et de Fortuneo, comment vous protéger des escroqueries bancaires qui vont suivre ?

Le 4 novembre 2026, le groupe bancaire Crédit Mutuel Arkéa a annoncé avoir été victime d’une importante cyberattaque ayant permis la réalisation de virements frauduleux pour un montant estimé à environ 100 millions d’euros.

Si la banque assure que les avoirs de ses clients n’ont pas été touchés, cette attaque soulève une autre inquiétude : le risque de tentatives de phishing, d’appels de faux conseillers bancaires et d’escroqueries aux virements visant les clients du Crédit Mutuel de Bretagne, du Crédit Mutuel du Sud-Ouest et de Fortuneo.

Comment reconnaître ces escroqueries ? Que faire lorsqu’un fraudeur se fait passer pour votre banque ? Et surtout, dans quelles conditions votre établissement bancaire doit-il vous rembourser en cas de fraude ?

Le cabinet COINTET AVOCAT, qui intervient en droit bancaire et dans les litiges liés aux opérations de paiement frauduleuses, fait le point sur les risques et les droits des particuliers.

Ce qui s’est passé : une cyberattaque d’environ 100 millions d’euros

Le mercredi 4 novembre 2026, le groupe Crédit Mutuel Arkéa, auquel appartiennent notamment le Crédit Mutuel de Bretagne, le Crédit Mutuel du Sud-Ouest et la banque en ligne Fortuneo, a reconnu avoir été victime d’une cyberattaque ayant permis la réalisation d’opérations frauduleuses.

Dans un premier communiqué officiel du 4 novembre 2026, le groupe indique avoir immédiatement pris des mesures pour contenir l’incident, notamment en suspendant temporairement certaines transactions.

Dans un second communiqué publié le même jour, la banque précise que les attaquants ont utilisé un compte appartenant directement au Crédit Mutuel Arkéa pour effectuer des transactions vers d’autres établissements bancaires.

Les fonds auraient ensuite pu être convertis en cryptomonnaies par l’intermédiaire de plateformes spécialisées.

Selon les premières informations disponibles, le préjudice serait de l’ordre de 100 millions d’euros. Certains médias ont évoqué un montant supérieur, pouvant atteindre 118 millions d’euros, mais le Crédit Mutuel Arkéa n’a pas confirmé ce chiffre précis.

La banque indique qu’une partie des fonds a pu être bloquée et que des démarches sont engagées pour récupérer les sommes restantes.

Les clients du Crédit Mutuel et de Fortuneo ont-ils été touchés ?

Le Crédit Mutuel Arkéa affirme que les comptes de ses clients n’ont pas servi à réaliser les opérations frauduleuses.

Le groupe a également démenti les premières informations selon lesquelles les attaquants seraient passés par Fortuneo.

Selon ses explications, l’attaque aurait été menée à partir de la plateforme d’un prestataire extérieur, permettant aux cybercriminels d’atteindre directement le groupe bancaire.

Pour les clients du Crédit Mutuel de Bretagne, du Crédit Mutuel du Sud-Ouest et de Fortuneo, les conséquences immédiates se seraient limitées à des retards dans l’exécution de certains virements.

Le groupe affirme que les avoirs des particuliers n’ont subi aucune conséquence financière directe.

Le parquet de Paris a ouvert une enquête, confiée à l’Office anticybercriminalité (OFAC), afin de déterminer les circonstances exactes de cette attaque.

À la date du 5 novembre 2026, aucune compromission des données personnelles des clients n’avait été officiellement confirmée.

Cette précision est importante : il ne faut pas confondre la cyberattaque subie par la banque avec une éventuelle fraude ultérieure visant individuellement ses clients.

Le vrai danger pour les clients : les escroqueries bancaires qui peuvent suivre

Une cyberattaque très médiatisée peut constituer une occasion pour les escrocs de multiplier les tentatives de fraude.

Même lorsqu’ils n’ont aucun lien avec les pirates responsables de l’attaque initiale, des fraudeurs peuvent exploiter l’inquiétude des clients, le nom de la banque et l’actualité pour rendre leurs messages plus crédibles.

Le Crédit Mutuel Arkéa a lui-même appelé ses clients à la vigilance face au risque de nouvelles tentatives d’hameçonnage.

Plusieurs scénarios doivent particulièrement retenir l’attention.

Le faux conseiller bancaire : une fraude particulièrement trompeuse

Vous recevez un appel d’une personne se présentant comme un conseiller du Crédit Mutuel de Bretagne, du Crédit Mutuel du Sud-Ouest ou de Fortuneo.

Votre interlocuteur vous annonce que votre compte bancaire serait exposé à la suite de la cyberattaque et qu’il faut intervenir immédiatement pour protéger votre argent.

Il peut notamment vous demander :

• De confirmer vos identifiants bancaires ;
• De communiquer un code reçu par SMS ;
• De valider une notification sur votre application bancaire ;
• D’autoriser un virement présenté comme une opération de sécurisation ;
• De transférer votre épargne vers un prétendu compte protégé.

Dans certains cas, le numéro affiché sur votre téléphone correspond réellement à celui de votre agence bancaire.

Cette technique, appelée spoofing téléphonique ou usurpation de numéro, permet à un escroc de faire apparaître un numéro qui n’est pas celui depuis lequel il appelle réellement.

Le fait qu’un appel affiche le numéro officiel de votre banque ne garantit donc pas l’identité de votre interlocuteur.

Le phishing : de faux SMS et emails aux couleurs de votre banque

Le phishing bancaire, également appelé hameçonnage, consiste à envoyer un message frauduleux imitant une communication officielle.

Après une cyberattaque, les fraudeurs peuvent utiliser des formulations alarmistes :

• « Votre compte Fortuneo doit être sécurisé après la cyberattaque » ;
• « Vérification obligatoire de votre accès bancaire » ;
• « Une opération suspecte a été détectée » ;
• « Confirmez votre identité pour éviter la suspension de votre compte ».

Ces messages contiennent généralement un lien vers un faux site bancaire destiné à récupérer vos identifiants, mots de passe, numéros de carte ou codes de validation.

Ne cliquez pas sur un lien reçu dans un message suspect. Pour consulter votre compte, ouvrez directement l’application officielle de votre banque ou saisissez vous-même son adresse dans votre navigateur.

Le faux compte sécurisé et les virements de protection

Certains escrocs prétendent que l’argent présent sur votre compte bancaire doit être transféré d’urgence vers un autre compte pour éviter un détournement.

Ils peuvent présenter cette opération comme une mesure exceptionnelle mise en place après la cyberattaque.

Une banque ne demande pas à ses clients de transférer leur argent vers un compte inconnu pour le mettre en sécurité.

Si un interlocuteur vous invite à effectuer un tel virement, interrompez immédiatement la conversation et contactez votre banque par ses canaux habituels.

La fausse indemnisation après une cyberattaque

Un autre scénario consiste à proposer une prétendue indemnisation destinée aux clients affectés par l’incident.

Le message peut demander de communiquer des informations bancaires ou de régler des frais pour recevoir un remboursement.

Il peut également inviter à saisir un code de validation ou à confirmer une opération dans l’application bancaire.

Aucune demande de remboursement ne justifie de communiquer vos codes confidentiels à un interlocuteur inconnu.

Victime d’une escroquerie bancaire : votre banque doit-elle vous rembourser ?

Lorsqu’un particulier est victime d’une fraude bancaire, la question du remboursement des sommes détournées est souvent au cœur du litige.

Le Code monétaire et financier prévoit un régime protecteur pour les opérations de paiement non autorisées.

Il faut cependant distinguer les opérations réalisées sans le consentement du client des virements que celui-ci a lui-même ordonnés sous l’influence d’un escroc.

1. Le remboursement immédiat est le principe pour une opération non autorisée

L’article L. 133-18 du Code monétaire et financier prévoit qu’en cas d’opération de paiement non autorisée, le prestataire de services de paiement doit en principe rembourser immédiatement le montant de l’opération.

Ce remboursement doit intervenir au plus tard à la fin du premier jour ouvrable suivant la prise de connaissance de l’opération ou sa notification, sous réserve des exceptions prévues par la loi.

La banque peut notamment différer le remboursement lorsqu’elle a de bonnes raisons de soupçonner une fraude de l’utilisateur et qu’elle communique ces raisons par écrit à la Banque de France.

Le simple fait que l’opération ait été réalisée au moyen des identifiants bancaires du client ne suffit pas à établir qu’il l’a autorisée.

Un virement frauduleux peut donc ouvrir droit à remboursement même lorsque les dispositifs de sécurité habituels ont été utilisés.

2. La banque doit démontrer la négligence grave qu’elle invoque

L’article L. 133-19 du Code monétaire et financier prévoit les conditions dans lesquelles le payeur peut supporter certaines pertes liées à une opération de paiement non autorisée.

La banque peut notamment invoquer une négligence grave du client dans la conservation de ses dispositifs de sécurité personnalisés.

Mais cette négligence ne se présume pas.

L’article L. 133-23 du Code monétaire et financier précise que l’utilisation de l’instrument de paiement, telle qu’enregistrée par la banque, ne suffit pas nécessairement à prouver que l’opération a été autorisée ou que le client a commis une négligence grave.

La seule utilisation d’une authentification forte ne permet donc pas, à elle seule, de justifier un refus de remboursement.

Les circonstances de la fraude doivent être examinées précisément : nature des messages reçus, manœuvres de l’escroc, informations dont il disposait et comportement du client.

3. Le spoofing bancaire peut être déterminant dans l’appréciation de la négligence grave

La Cour de cassation a eu l’occasion de se prononcer sur des escroqueries reposant sur l’usurpation du numéro de téléphone d’un établissement bancaire.

Dans un arrêt du 23 octobre 2024 (Cass. com., n° 23-16.267), elle a pris en considération les circonstances particulièrement trompeuses d’une fraude au faux conseiller bancaire.

Le fait que l’appel paraisse provenir du véritable numéro de la banque et que l’escroc dispose d’informations crédibles peut contribuer à expliquer pourquoi la victime a accordé sa confiance à son interlocuteur.

Une victime de spoofing bancaire n’est donc pas automatiquement responsable des opérations frauduleuses réalisées à son détriment.

Cette jurisprudence ne signifie pas que toutes les victimes de faux conseillers obtiennent systématiquement un remboursement. Chaque situation doit être appréciée au regard des faits et des règles applicables.

4. Vous disposez en principe de 13 mois pour signaler une opération non autorisée

L’article L. 133-24 du Code monétaire et financier impose au client de signaler sans tarder les opérations non autorisées ou mal exécutées.

Pour les opérations relevant de ce régime, le délai maximal est en principe de 13 mois suivant la date du débit, sous réserve des exceptions légales, notamment pour certaines opérations internationales.

Il ne faut cependant pas attendre l’expiration de ce délai pour agir.

Un signalement rapide augmente les possibilités de blocage des opérations et de récupération des fonds.

5. Un virement effectué par la victime elle-même peut aussi donner lieu à un recours

Certaines escroqueries présentent une difficulté particulière : la victime a elle-même donné l’ordre de virement, persuadée par le fraudeur qu’elle devait protéger son argent.

Dans ce cas, le régime de remboursement des opérations non autorisées ne s’applique pas nécessairement.

Il peut néanmoins être possible de rechercher la responsabilité de la banque lorsqu’un manquement à ses obligations est établi.

Le débat porte alors notamment sur le devoir de vigilance de l’établissement bancaire face à des opérations présentant des anomalies apparentes.

Plusieurs éléments peuvent être examinés :

• Le montant inhabituel du virement ;
• La répétition d’opérations importantes sur une courte période ;
• Les caractéristiques du compte bénéficiaire ;
• L’existence d’anomalies apparentes dans l’opération ;
• Les alertes ou vérifications éventuellement réalisées par la banque.

La responsabilité de l’établissement ne peut toutefois pas être déduite du seul fait qu’une escroquerie a eu lieu.

Pour approfondir ce sujet, consultez notre article : Fraude au président : la banque peut-elle refuser le remboursement d’un virement frauduleux ?

Les bons réflexes si vous êtes victime d’une escroquerie bancaire

Lorsqu’un virement frauduleux, une fraude à la carte bancaire ou une usurpation d’identité bancaire est découvert, la rapidité de réaction est essentielle.

Voici les cinq démarches à entreprendre.

1. Prévenez immédiatement votre banque

Contactez votre établissement bancaire par ses canaux officiels afin de signaler la fraude.

Selon la situation, demandez :

• La mise en opposition de votre carte bancaire ;
• La sécurisation de vos accès en ligne ;
• Le changement de vos identifiants et mots de passe ;
• Le blocage des opérations encore en attente ;
• Une demande de rappel des fonds lorsqu’un virement frauduleux a déjà été exécuté.

Une demande de rappel de fonds ne garantit pas leur récupération, mais elle doit être envisagée rapidement lorsque les circonstances le permettent.

2. Contestez les opérations frauduleuses par écrit

Adressez une réclamation écrite à votre banque en identifiant précisément les opérations contestées.

Pour une opération de paiement non autorisée, vous pouvez notamment invoquer les articles L. 133-18 et L. 133-23 du Code monétaire et financier.

Indiquez les dates, les montants, les références des opérations et les circonstances de la fraude.

Conservez une preuve de votre réclamation. Un courrier recommandé avec accusé de réception peut être utile, notamment lorsqu’un litige est déjà engagé.

3. Déposez plainte et effectuez les signalements adaptés

Vous pouvez déposer plainte auprès d’un commissariat ou d’une brigade de gendarmerie.

Selon la nature de la fraude, des dispositifs officiels de signalement peuvent également être utilisés :

• Service-Public.fr pour identifier les démarches adaptées à votre situation ;
• Perceval, pour certaines fraudes à la carte bancaire ;
• Cybermalveillance.gouv.fr, pour obtenir des conseils et de l’assistance face à une cyberescroquerie.

La plateforme THESEE peut également être utilisée lorsque les faits correspondent aux catégories d’escroqueries en ligne prises en charge.

Le dépôt de plainte ne doit pas retarder le signalement de la fraude à votre banque.

4. Conservez toutes les preuves de l’escroquerie

Il est essentiel de conserver les éléments permettant de reconstituer le déroulement de la fraude :

• Captures d’écran des SMS et emails reçus ;
• Historique des appels téléphoniques ;
• Numéros utilisés par les fraudeurs ;
• Messages reçus dans l’application bancaire ;
• Relevés de compte et justificatifs des virements ;
• Courriers et réponses de votre banque ;
• Récépissé du dépôt de plainte.

Ces éléments peuvent être déterminants pour démontrer le caractère trompeur de l’escroquerie et contester une accusation de négligence grave.

5. Ne considérez pas un premier refus de remboursement comme définitif

Les établissements bancaires peuvent refuser une demande de remboursement en invoquant notamment :

• Une authentification forte réalisée depuis le téléphone du client ;
• La communication d’un code confidentiel ;
• Une prétendue négligence grave ;
• Le fait que le client aurait lui-même validé l’opération.

Ces arguments doivent être examinés juridiquement et ne suffisent pas nécessairement à justifier le refus.

Une analyse des circonstances de la fraude, des preuves détenues par la banque et de la jurisprudence applicable peut permettre de déterminer si le remboursement est juridiquement exigible.

Banque qui refuse de rembourser : pourquoi consulter un avocat en droit bancaire ?

Lorsqu’une banque refuse de rembourser une opération frauduleuse, le particulier peut se retrouver dans une situation financière difficile, parfois après avoir perdu plusieurs milliers ou dizaines de milliers d’euros.

Le courrier de refus invoque fréquemment la négligence grave du client ou l’utilisation de ses dispositifs d’authentification.

Pourtant, la jurisprudence impose une appréciation précise des circonstances de chaque fraude.

Un avocat en droit bancaire peut notamment :

• Analyser les circonstances de l’escroquerie et déterminer le régime juridique applicable ;
• Vérifier les preuves produites par la banque pour justifier son refus ;
• Contester une accusation de négligence grave lorsqu’elle n’est pas suffisamment établie ;
• Examiner les éventuels manquements de l’établissement bancaire à ses obligations ;
• Adresser une mise en demeure demandant le remboursement des sommes détournées ;
• Engager, si nécessaire, une procédure judiciaire afin de solliciter le remboursement et, lorsque les conditions sont réunies, des dommages-intérêts.

Le cabinet COINTET AVOCAT, situé au 18 rue de Tilsitt à Paris 17e, défend depuis plus de 13 ans les particuliers face aux établissements bancaires.

Maître Alice Flore COINTET intervient notamment dans les litiges relatifs aux escroqueries bancaires, faux conseillers, fraudes par phishing, spoofing téléphonique, virements frauduleux et paiements par carte non autorisés.

Le cabinet accompagne les particuliers à Paris, en Île-de-France, en Provence-Alpes-Côte d’Azur et partout en France, notamment les clients du Crédit Mutuel de Bretagne, du Crédit Mutuel du Sud-Ouest et de Fortuneo.

Pour découvrir les autres domaines d’intervention du cabinet, consultez notre page consacrée au droit bancaire et au crédit à la consommation.

Vous êtes victime d’une escroquerie bancaire ou votre banque refuse de vous rembourser ?

Bénéficiez d’un premier échange téléphonique gratuit de 10 minutes, du lundi au vendredi de 10 h à 20 h, au 01.83.64.69.78 ou par email à info@cointet-avocat-paris.fr.

FAQ : piratage Crédit Mutuel Arkéa et escroqueries bancaires

Mon argent a-t-il été volé lors du piratage du Crédit Mutuel Arkéa ?

Selon les communiqués officiels du 4 novembre 2026, les fonds détournés provenaient d’un compte appartenant au groupe Crédit Mutuel Arkéa et non des comptes de ses clients. La banque affirme que les avoirs des particuliers n’ont pas été affectés. Certaines opérations de virement ont toutefois subi des retards temporaires.

Les clients Fortuneo sont-ils concernés par la cyberattaque ?

Fortuneo appartient au groupe Crédit Mutuel Arkéa, mais la banque affirme que les attaquants ne sont pas passés par Fortuneo et que les comptes clients n’ont pas été utilisés dans les opérations frauduleuses.

Les clients Fortuneo doivent néanmoins rester vigilants face aux tentatives de phishing ou aux appels frauduleux utilisant l’actualité de cette cyberattaque comme prétexte.

Un faux conseiller bancaire m’a fait valider un virement : ma banque doit-elle me rembourser ?

Le remboursement dépend notamment de la qualification de l’opération et des circonstances de la fraude.

Lorsqu’une opération est juridiquement non autorisée, le Code monétaire et financier prévoit en principe son remboursement, sous réserve des exceptions légales.

La banque ne peut pas déduire automatiquement une négligence grave de la seule utilisation des identifiants ou d’un dispositif d’authentification forte.

En revanche, lorsqu’un client a lui-même ordonné un virement sous l’influence d’un escroc, les fondements juridiques du recours peuvent être différents.

Le spoofing bancaire peut-il permettre d’obtenir un remboursement ?

Oui, les circonstances d’une fraude par usurpation du numéro de téléphone de la banque peuvent être prises en compte par les juridictions.

La Cour de cassation a notamment rappelé que la crédibilité de la manœuvre frauduleuse devait être examinée pour apprécier le comportement du client.

Il n’existe toutefois pas de remboursement automatique pour toutes les victimes de spoofing.

Dans quel délai faut-il contester un virement frauduleux ?

Une opération de paiement non autorisée doit être signalée sans tarder.

Le délai maximal est en principe de 13 mois à compter du débit, conformément à l’article L. 133-24 du Code monétaire et financier, sous réserve des exceptions prévues par la loi.

Il est recommandé de prévenir immédiatement la banque afin de limiter les conséquences financières de la fraude.

Ma banque refuse de me rembourser : que faire ?

Demandez une explication écrite et détaillée du refus, conservez l’ensemble des justificatifs et faites examiner votre dossier.

Un refus fondé sur la négligence grave ou sur une authentification forte peut être contesté lorsque les éléments invoqués par la banque ne permettent pas de justifier légalement sa décision.

Une mise en demeure, une médiation bancaire ou une procédure judiciaire peuvent être envisagées selon les circonstances.

Sources juridiques et informations officielles

• Crédit Mutuel Arkéa – Communiqué officiel du 4 novembre 2026 annonçant la cyberattaque.
• Crédit Mutuel Arkéa – Informations complémentaires du 4 novembre 2026.
• Code monétaire et financier – Articles L. 133-18, L. 133-19, L. 133-23 et L. 133-24.
• Cour de cassation – Chambre commerciale, 23 octobre 2024, n° 23-16.267.
• Cybermalveillance.gouv.fr – Prévention et assistance aux victimes de cybermalveillance.

Article d’information juridique rédigé à partir des informations disponibles au 5 novembre 2026. Les circonstances exactes de la cyberattaque et le montant définitif des pertes peuvent évoluer au cours de l’enquête.