Piratage bancaire : votre argent est-il vraiment à l’abri en France ?
Par Mattis Meichler du Cryptoast
Comment les pirates contournent-ils la sécurité des banques ?
Début novembre, des pirates ont dérobé plus de 100 millions d’euros au Crédit Mutuel Arkéa, sans toucher aux dépôts de ses clients. Une partie des fonds détournés a depuis été récupérée.
L’attaque, menée via un prestataire externe, révèle une vulnérabilité plus générale, selon Anis Haboubi, expert en cybersécurité interrogé par Cryptoast.
« Avec l’essor de l’open banking et du cloud, les banques multiplient les connexions informatiques avec des sociétés extérieures, parfois dotées de droits étendus. Les systèmes historiques sont encore là, les nouvelles couches cloud/API sont ajoutées par-dessus avec des prestataires. Cette hybridation multiplie les points d’entrée et les chemins de confiance », explique Anis Haboubi.
L’un des aspects les plus inquiétants de l’affaire du Crédit Mutuel Arkéa est le fait que des virements aussi importants aient pu échapper aux contrôles.
Les pirates peuvent ainsi détourner des accès légitimes, une technique appelée living-off-the-land. Son utilisation précise chez Arkéa reste néanmoins à confirmer.
Les comptes bancaires des Français sont-ils protégés ?
Une opération bancaire non autorisée doit en principe être remboursée par la banque, sauf exceptions légales, notamment en cas de fraude ou de négligence grave du client.
Si l’établissement devient incapable de restituer les dépôts, le Fonds de garantie des dépôts et de résolution (FGDR) intervient. Il couvre jusqu’à 100 000 euros par déposant et par banque, généralement sous sept jours ouvrables.
Le Livret A, le LDDS et le LEP bénéficient d’une garantie distincte de l’État, également plafonnée à 100 000 euros.
Une cyberattaque ne déclenche donc pas automatiquement cette garantie. En revanche, répartir son épargne entre plusieurs établissements permet de bénéficier de plafonds distincts.
La blockchain peut-elle changer le rapport de force ?
Dans l’affaire Arkéa, la traçabilité des transactions crypto a facilité le suivi des fonds suspects et le blocage d’une partie des avoirs.
Cette transparence ne garantit toutefois pas la récupération des fonds, notamment lorsque les pirates utilisent des outils destinés à brouiller leur provenance.
Depuis janvier 2025, le règlement européen DORA impose aux banques de renforcer leur cybersécurité et la surveillance de leurs prestataires. Mais Anis Haboubi le juge insuffisant. « DORA impose des exigences, pas une réduction structurelle de la surface d’attaque créée par l’Open Banking et les tiers », explique l’expert.
Ce dernier préconise d’isoler davantage les interfaces de paiement, de limiter les accès des prestataires et d’imposer des plafonds stricts aux virements, y compris sur les comptes propres des banques.
Il redoute une « cyberpandémie », une succession d’attaques contre les institutions financières. Un scénario encore hypothétique.
Source : https://cryptoast.fr/piratage-banque-comptes-vides-cyberattaque-protection-epargne/