"La plus grosse attaque informatique sur un acteur bancaire en France": comment les banques peuvent-elles éviter une cyberattaque comme au Crédit Mutuel Arkéa?

La cyberattaque qui a touché la banque Crédit Mutuel Arkéa, pour un préjudice qui pourrait dépasser 100 millions d'euros, pose de nombreuses questions sur la manière dont les pirates ont opéré, et sur la manière d'éviter de nouvelles attaques. La banque a dénoncé une "attaque sophistiquée venant de l'extérieur", et a assuré qu'il n'y a pas eu d'erreur humaine en interne. Les attaquants ont "utilisé le compte propre de Crédit Mutuel Arkéa pour réaliser des transactions vers d'autres acteurs bancaires, qui leur ont ensuite potentiellement permis de convertir cet argent en cryptomonnaie via des plateformes spécialisées.

Ils ne sont donc pas passés par des comptes de clients de ses fédérations ni de ses filiales", a indiqué la banque. "L'opération se fait en trois temps", a détaillé à l'AFP Mathieu Françon, avocat du cabinet Bersay: "on détourne de la monnaie traditionnelle", "on la transforme en crypto", puis "on anonymise cette crypto". Passer de la deuxième à la troisième étape est "très facile en raison des lacunes de la réglementation, on n'encadre pas les outils qui permettent d'anonymiser la crypto aujourd'hui".

Braquage 2. 0 Interrogée sur les sommes dérobées (118 millions d'euros d'après certains médias), Arkéa a répondu qu'elle ne confirmait pas ces informations mais en validait "l'ordre de grandeur". Après ce "braquage 2.

0", c'est "une course contre la montre qui est engagée" pour retrouver les sommes volées, affirme Antoine Hautin, secrétaire général d'Almond, cabinet de conseil en cybersécurité. "En fonction du niveau de sophistication, de maturité, des attaquants, ce sera plus compliqué de remonter le fil", ajoute-t-il. On peut essayer de "chercher à tracer les flux financiers", car le numérique "laisse des traces", mais "l'avantage des crypto-monnaies, c'est que ça rend plus difficile la traçabilité des sommes qui ont été exfiltrées", souligne l'expert.

L'attaque n'ayant pas été revendiquée à ce jour, il n'est pas possible de savoir qui est responsable du vol. "L'absence de revendication pourrait faire pencher la balance envers une attaque purement crapuleuse qui sert à extorquer de l'argent", selon M. Hautin.

Mesures à prendre pour le monde bancaire "Concernant le Crédit Mutuel Arkéa, on serait sur une opération qui se serait étalée sur plusieurs heures, voire plusieurs jours. La temporalité de l'attaque soulève des questions", poursuit M. Hautin du cabinet de conseil en cybersécurité Almond.

Pour lui, il faut maintenant "essayer de comprendre ce qui s'est passé, vérifier s'il y a un enjeu autour du fournisseur mis en cause: alimente-t-il plusieurs banques ? ". Le Crédit Mutuel avait en effet indiqué mercredi que "les attaquants sont passés par la plateforme d'un de nos prestataires".