Une banque française, Crédit Mutuel Arkéa, a été victime d’un braquage numérique d’une ampleur inédite. Selon son président, Julien Carmona, l’établissement a perdu environ 100 millions d’euros, soit près de 110 millions de dollars, dans une fraude sophistiquée probablement assistée par intelligence artificielle. Cette somme représente environ un quart des bénéfices trimestriels de la banque.
Un braquage « d’un genre nouveau »
Dans une interview accordée à l’AFP, Julien Carmona a qualifié cette attaque de « braquage d’un genre nouveau ». Il a déclaré que Crédit Mutuel Arkéa a le « douteux honneur d’être la première banque française, et je crois la première banque européenne, à être la cible d’une attaque frauduleuse réussie » de ce type. Le dirigeant a souligné le caractère « sans précédent en termes de sophistication et de technicité » de l’opération.
Les pirates ont réussi à créer de faux IBAN, y compris ceux de Fortuneo, une banque en ligne appartenant au groupe, pour déclencher des ordres de paiement depuis le compte propre de Crédit Mutuel Arkéa vers des parties externes en utilisant des systèmes de paiement instantané. Ces systèmes, par définition, ont moins de contrôles que les virements classiques, ce qui a facilité la fraude.
Un accès privilégié via un prestataire compromis
Selon les informations rapportées, le groupe de hackers a utilisé un prestataire de services compromis pour obtenir un accès privilégié, contournant ainsi les restrictions normalement en place pour empêcher ce type d’attaque. Interrogé par Les Echos sur la raison pour laquelle le nom du prestataire n’a pas été révélé, Carmona a expliqué : « C’est une décision collective des banques. Cette information n’est pas d’intérêt public et pourrait nuire à la sécurité du secteur bancaire. Des prestataires similaires pourraient alors être ciblés. »
L’attaque a débuté le dimanche 1er novembre. Les hackers ont tout mis en œuvre pour contourner les contrôles et faire apparaître ces transferts illégitimes comme légitimes. Ils ont ensuite transféré les fonds vers des banques européennes légitimes, avant de les convertir en cryptomonnaies sur des plateformes d’échange.
Une détection tardive malgré des signaux
La fraude n’a été repérée que le mardi 3 novembre, lorsque l’accès au système d’information de la banque a été coupé. Mais à ce moment-là, les dégâts étaient déjà faits. La banque a depuis fait appel à des spécialistes des cryptomonnaies, qui auraient repéré des transactions anormales dès le dimanche et le lundi. Cependant, comme l’a précisé Carmona, « à ce moment-là, eux-mêmes, et personne à ma connaissance, n’ont fait le lien avec Crédit Mutuel Arkéa ».
Le président de la banque a décrit l’organisation criminelle comme « un groupe très bien organisé, très bien équipé » et « très probablement aidé par une intelligence artificielle avancée ». Le rôle exact de l’IA dans cette attaque n’est pas encore clair, mais elle est particulièrement efficace pour analyser des données et a démontré son utilité dans le codage au cours de l’année écoulée.
Un contexte de cyberattaques assistées par IA
Cette affaire s’inscrit dans un contexte plus large de cyberattaques de plus en plus sophistiquées. Il y a quelques mois, un gang de cybercriminels avait utilisé l’IA pour cibler 60 entreprises en Corée du Sud. Cependant, dans ce cas, le gang n’avait réussi à extorquer que 210 dollars de rançon avant d’être arrêté. L’attaque contre Crédit Mutuel Arkéa montre une escalade significative dans l’ampleur et l’audace des opérations.
L’utilisation de l’IA dans la fraude bancaire pourrait devenir un défi majeur pour les institutions financières. Les capacités d’analyse de données et de génération de contenu de l’IA permettent aux criminels de créer des faux documents et des schémas de fraude plus convaincants, rendant la détection plus difficile.
Quelles conséquences pour les clients ?
Julien Carmona a tenu à rassurer les clients de Fortuneo : bien que les IBAN de Fortuneo aient été utilisés, « le système de Fortuneo, et donc ses clients, n’ont pas été affectés ». La fraude a visé les fonds propres de la banque, et non les comptes des clients. Néanmoins, cet incident soulève des questions sur la sécurité des systèmes de paiement instantané et la nécessité de renforcer les contrôles.
Cette affaire pourrait inciter les régulateurs et les banques à revoir leurs protocoles de sécurité, en particulier pour les virements instantanés, qui offrent moins de possibilités de rappel en cas de fraude. La collaboration entre les banques et les autorités sera cruciale pour prévenir de futures attaques de ce type.