Le 4 novembre 2026, dans un communiqué repris le jour même par Le Télégramme et par Capital, Crédit Mutuel Arkéa a confirmé avoir subi une attaque ayant permis des opérations frauduleuses et a indiqué que l’incident était maîtrisé. Selon le même communiqué, l’incident est sans conséquence financière pour les clients et certaines transactions ont été suspendues temporairement, par mesure de précaution, pour sécuriser les opérations et prévenir tout nouveau mouvement frauduleux. Les montants de 133 millions de dollars, soit 118 millions d’euros, cités par la presse le 4 novembre 2026 proviennent des estimations d’un enquêteur spécialisé dans le traçage de fonds sur les blockchains : le communiqué cité par la presse ne les confirme pas. À la date de rédaction, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale et seul le juge décide. Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable et ne décrivent pas la situation de Crédit Mutuel Arkéa, sur laquelle l’article ne formule aucun constat. Pour une entreprise cliente d’un établissement touché par une attaque, la question utile n’est pas le montant global relayé par la presse, mais la qualification de chaque opération qui touche son propre compte : opération non autorisée, opération autorisée sous l’effet d’une tromperie, ou simple retard d’exécution. Chaque qualification ouvre un régime différent, avec ses délais, sa charge de la preuve et ses pièces.

I. Cyberattaque Crédit Mutuel aujourd’hui : qualifier l’opération avant de réclamer le remboursement

A. Piratage ou opération autorisée sous tromperie : le consentement décide du régime

Le droit des services de paiement ne connaît pas une catégorie unique de « fraude bancaire ». Il distingue d’abord selon que le payeur a consenti ou non à l’opération. L’article L. 133-6 du code monétaire et financier dispose : « Une opération de paiement est autorisée si le payeur a donné son consentement à son exécution. » Cette phrase, en apparence simple, tranche la plupart des litiges. Si aucun consentement n’a été donné sous la forme convenue avec le prestataire, l’opération relève du régime de remboursement des opérations non autorisées. Si le consentement a été donné, même par un salarié trompé par un faux dirigeant, un faux fournisseur ou un faux conseiller bancaire, le remboursement automatique ne joue plus : le débat se déplace vers la vigilance de la banque, l’exécution conforme à l’identifiant unique et la réparation du préjudice selon le droit commun des contrats.

Dans le premier cas, celui de l’opération non autorisée signalée dans les formes, l’article L. 133-18 du code monétaire et financier impose au prestataire de services de paiement du payeur de rembourser « le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », sauf raisons sérieuses de soupçonner une fraude de l’utilisateur, communiquées par écrit à la Banque de France. Le même texte ajoute que, le cas échéant, le prestataire « rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu ». Pour un trésorier, la conséquence pratique est nette : la demande de recrédit doit identifier chaque débit contesté, un par un, avec sa date, son montant et son bénéficiaire, et affirmer sans ambiguïté l’absence de consentement. Une réclamation globale qui se borne à évoquer une cyberattaque médiatisée ne met pas le prestataire en mesure d’exécuter cette obligation.

La charge de la preuve donne sa force à ce régime, à condition de le mettre en œuvre proprement. Aux termes de l’article L. 133-23 du code monétaire et financier, lorsque l’utilisateur nie avoir autorisé une opération exécutée, « il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre ». Le même article précise surtout que « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ». Autrement dit, l’enregistrement d’une validation par code, par application mobile ou par boîtier d’authentification ne clôt pas le débat à lui seul : le prestataire doit fournir des éléments sur l’authentification, sur l’enregistrement et, s’il invoque une faute du client, sur la fraude ou la négligence grave qu’il lui reproche. L’entreprise a donc intérêt à demander très tôt, par écrit, les journaux d’authentification de l’opération contestée : horodatage, canal utilisé, identifiant du poste ou de l’appareil, modalités d’enrôlement du bénéficiaire et historique des validations.

Le second cas, celui du consentement trompé, est le piège classique des entreprises. Un comptable reçoit un courriel qui imite l’adresse du dirigeant, un faux RIB de fournisseur ou un appel d’un prétendu service fraude, puis saisit lui-même le virement avec ses moyens d’authentification habituels. Le tribunal des activités économiques de Paris a eu à connaître d’un tel schéma, dit de « fraude au président », pour deux virements d’un montant total de 190 018 euros exécutés par la comptable d’une société au moyen de l’outil de banque en ligne professionnelle mis à sa disposition. Après avoir constaté que la salariée disposait d’une habilitation pour enregistrer des IBAN et émettre des virements dans la zone euro, dans des limites de montants définies au contrat, le tribunal a débouté la société de l’intégralité de ses demandes contre sa banque (TAE Paris, chambre 1-10, 24 octobre 2025, n° 2023008361). L’enseignement, pour un dirigeant, ne porte pas sur l’existence de la tromperie, qui n’était pas contestée, mais sur la cartographie des habilitations : qui, dans l’entreprise, peut créer un bénéficiaire, qui peut valider seul un virement, jusqu’à quel plafond, et avec quel second regard. C’est cette cartographie, versée au débat par la banque sous forme d’avenants et de journaux informatiques, qui a décidé de la qualification.

La frontière entre les deux régimes se joue donc sur des faits précis, et non sur l’étiquette que les parties collent sur l’incident. Trois questions permettent de trier un dossier dès le premier jour. Premièrement, l’ordre a-t-il été saisi et authentifié depuis les accès légitimes de l’entreprise, par une personne habilitée, ou bien aucun utilisateur connu ne reconnaît la saisie ? Deuxièmement, le bénéficiaire figurait-il déjà dans la liste des bénéficiaires de confiance, ou a-t-il été créé dans les heures qui précèdent le débit, et par qui ? Troisièmement, l’entreprise a-t-elle reçu, avant le débit, un appel, un courriel ou un message qui l’a conduite à valider l’opération ou à modifier ses données de sécurité ? Les réponses orientent immédiatement la stratégie : remboursement de l’opération non autorisée, recherche de la responsabilité de la banque pour défaut de vigilance, ou action contre l’auteur de l’escroquerie et son assureur éventuel. Confondre ces trois voies fait perdre un temps que la trésorerie ne récupère pas.

B. Virement d’entreprise suspendu ou mal exécuté : délais d’exécution, blocage et signalement sans tarder

Une cyberattaque contre un établissement produit aussi un second type de dommage, plus silencieux : des virements légitimes qui ne partent pas, ou qui partent en retard, pendant la période de sécurisation. Le communiqué cité par la presse le 4 novembre 2026 évoque précisément une suspension temporaire de certaines transactions. Pour une entreprise, un salaire, un acompte fournisseur ou une échéance fiscale retardés peuvent coûter plus cher qu’un débit frauduleux isolé. Encore faut-il mesurer ce retard par rapport au délai que le code impose au prestataire. L’article L. 133-13 du code monétaire et financier prévoit que « Le montant de l’opération de paiement est crédité sur le compte du prestataire de services de paiement du bénéficiaire au plus tard à la fin du premier jour ouvrable suivant le moment de réception de l’ordre de paiement ». Ce délai d’exécution, posé par le texte que la phrase précédente cite, sert de point de comparaison : un ordre reçu et accepté qui n’est toujours pas crédité chez le prestataire du bénéficiaire après ce terme appelle une réclamation datée, qui conserve la preuve du moment de réception de l’ordre, de son acceptation et du préjudice né du retard, pénalités fournisseur, intérêts ou perte d’un escompte.

Le retard ne se confond toutefois pas avec un droit automatique à indemnisation. En droit commun, l’article 1231-1 du code civil condamne le débiteur au paiement de dommages et intérêts « soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure ». Or l’article 1218 du code civil définit la force majeure contractuelle comme « un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées », et précise que « Si l’empêchement est temporaire, l’exécution de l’obligation est suspendue à moins que le retard qui en résulterait ne justifie la résolution du contrat ». Une entreprise qui réclame réparation d’un retard survenu pendant une période de sécurisation annoncée doit donc documenter autre chose que le seul désagrément : la date exacte de son ordre, l’absence d’information préalable sur son compte, la durée réelle du blocage la concernant, les solutions de substitution qu’elle a tentées et le chiffrage du surcoût. À l’inverse, une suspension brève, annoncée et suivie d’une reprise, relève d’abord de la gestion de trésorerie : prévenir le fournisseur par écrit, conserver la preuve de l’ordre émis et négocier un report sans pénalités valent mieux qu’une mise en demeure précipitée.

Le signalement, lui, ne souffre aucun délai de réflexion. L’article L. 133-17 du code monétaire et financier dispose que l’utilisateur qui a connaissance « de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées » en informe « sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci ». Ce « sans tarder », posé par le texte cité dans la phrase précédente, a une fonction très concrète : il coupe l’accès du fraudeur et il fige la chronologie dont le juge aura besoin. Le même réflexe commande de préserver ses propres données de sécurité, obligation que l’article L. 133-16 du code monétaire et financier formule ainsi : dès réception d’un instrument de paiement, l’utilisateur « prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées ». Dans une entreprise, cette mesure raisonnable prend la forme d’une procédure écrite : aucun partage d’identifiants entre salariés, aucun code transmis par téléphone, aucune validation sur la seule foi d’un courriel, même signé du nom du dirigeant.

Reste le délai de contestation, et c’est ici que le régime des entreprises s’écarte le plus nettement de celui des particuliers. L’article L. 133-24 du code monétaire et financier prévoit que l’utilisateur « signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion », sauf défaut d’information du prestataire sur l’opération. Mais le même article ajoute aussitôt : « Sauf dans les cas où l’utilisateur est une personne physique agissant pour des besoins non professionnels, les parties peuvent convenir d’un délai distinct de celui prévu au présent article. » Pour une société, le délai utile ne se lit donc pas seulement dans le code : il se lit dans sa convention de compte et dans les conditions de sa banque en ligne professionnelle, qui peuvent retenir un délai de contestation plus court. Le premier geste d’un directeur financier, après le blocage, consiste à ouvrir ces deux documents et à noter le délai contractuel qui s’applique à son entreprise, puis à signaler chaque opération contestée par un canal qui laisse une trace datée. Attendre le rapprochement bancaire de fin de mois pour découvrir un débit suspect, c’est prendre le risque de discuter ensuite de forclusion avant même de discuter du fond.

II. Cyberattaque banque : obtenir le recrédit, prouver le préjudice d’exploitation et éviter la seconde fraude

A. Remboursement, négligence grave et vigilance de la banque : ce que le juge compare, pièce par pièce

Lorsque le prestataire refuse le remboursement d’une opération présentée comme non autorisée, son argument central tient presque toujours en deux mots : négligence grave. L’article L. 133-19 du code monétaire et financier prévoit en effet, à son paragraphe IV, que « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 ». Le débat ne porte donc pas sur la réalité de la fraude subie, mais sur le comportement de l’utilisateur avant le débit : a-t-il divulgué ses données de sécurité, validé une opération qu’il ne comprenait pas, ignoré les alertes affichées par son prestataire, ou tardé à faire bloquer son instrument ? C’est une appréciation de fait, dossier par dossier, et les entreprises y sont jugées sur leurs procédures internes autant que sur la faute d’un salarié isolé.

Un jugement récent montre la méthode du juge, dans un sens qui protège d’abord la victime avant de sanctionner, le cas échéant, son imprudence. Le tribunal judiciaire de Paris rappelle que « La victime de phishing ne peut se voir reprocher une négligence grave au sens de l’article L.133-19 IV du code monétaire et financier en l’absence d’autres éléments caractérisant une imprudence ou un manquement intentionnel à ses obligations de sécurité » et que « Il incombe dès lors à la banque de rapporter la preuve de tels éléments qui sont soumis au juge dans le cadre d’une appréciation circonstanciée et objective du comportement du client » (TJ Paris, 9e chambre, 3e section, 10 septembre 2026, RG n° 25/10000). Dans cette affaire, la demanderesse a néanmoins été déboutée : le tribunal a relevé qu’elle avait, sur les instructions d’un tiers dont elle n’avait pas vérifié la qualité, ajouté deux bénéficiaires, authentifié trois virements externes, modifié son mot de passe de banque en ligne à la demande de ce tiers et le lui avait communiqué. La leçon pour une entreprise est double. D’une part, le seul fait d’avoir été trompé par un message frauduleux ne suffit pas à établir la négligence grave. D’autre part, l’accumulation de validations demandées par un inconnu, sans aucune vérification par un canal indépendant, peut la caractériser. Entre ces deux pôles, tout se joue sur des traces : captures des messages reçus, numéros appelants, heures des appels, alertes effectivement affichées à l’écran et procédure interne suivie ou méconnue.

Le remboursement tardif, lui, a un prix que le code chiffre à l’avance. En cas de manquement du prestataire à son obligation de rembourser une opération non autorisée dans le délai prévu, l’article L. 133-18 du code monétaire et financier prévoit que les sommes dues produisent « intérêt au taux légal majoré de cinq points », puis, « Au-delà de sept jours de retard », intérêt au taux légal majoré de dix points et, « Au-delà de trente jours de retard », intérêt au taux légal majoré de quinze points. Ces majorations, posées par le texte cité dans la phrase précédente, donnent à la réclamation écrite et datée une valeur très concrète : c’est elle qui fait courir les délais et qui permettra, le moment venu, de calculer les intérêts sans discussion sur le point de départ. Une entreprise qui conteste un débit a donc intérêt à joindre à son signalement la copie de sa plainte, le détail des opérations et une demande expresse de recrédit, puis à conserver l’accusé de réception de son prestataire.

Reste l’hypothèse où l’opération a bien été autorisée par un salarié trompé, mais où la banque aurait dû voir ce que le client ne voyait pas. La cour d’appel de Paris a rappelé le principe avec netteté : en présence d’un ordre exécuté conformément à l’identifiant unique fourni par l’utilisateur, « le prestataire de services de paiement n’est pas tenu de procéder à des vérifications particulières sur la nature ou le destinataire d’un virement, sur la licéité ou l’opportunité de l’opération correspondante », et « Sauf disposition légale contraire, la banque est tenue à une obligation de non-ingérence dans les affaires de son client » (CA Paris, pôle 5, chambre 6, 9 septembre 2026, RG n° 25/10372). La même décision admet cependant la limite de ce principe lorsque l’opération recèle une anomalie apparente, matérielle ou intellectuelle, tenant aux documents fournis, à la nature de l’opération ou au fonctionnement du compte ; dans l’affaire jugée, où des salariés de la banque avaient eux-mêmes enregistré le RIB frauduleux et rédigé les ordres de virement, la cour a condamné l’établissement à payer 30 000 euros de dommages et intérêts en réparation du préjudice financier de son client. Pour une entreprise, invoquer la vigilance suppose donc de désigner une anomalie précise et visible par la banque au moment de l’opération : RIB incohérent transmis à l’agence, bénéficiaire sans rapport avec l’activité, montant sans commune mesure avec le fonctionnement habituel du compte, enchaînement inhabituel d’opérations vers un même compte nouveau. Une affirmation générale selon laquelle la banque « aurait dû se méfier » ne suffit pas, et les litiges de ce type gagnent à être préparés comme un contentieux commercial documenté, opération par opération, plutôt que comme une réclamation de principe.

En parallèle de ces discussions de responsabilité, une mesure technique mérite d’être demandée dès le premier appel : le rappel des fonds auprès du prestataire du bénéficiaire, lorsque le virement vient d’être exécuté. Son efficacité dépend de la vitesse de la demande et de la situation du compte destinataire, et elle ne garantit aucun retour intégral. Elle peut néanmoins rapporter une partie des sommes avant tout procès. Le tribunal de commerce de Poitiers en rapporte un exemple récent : saisi par une entreprise victime d’une escroquerie par usurpation du numéro de sa banque, il relève que les ordres n’avaient pas pu être annulés, mais que la banque avait engagé une opération de rappel qui avait permis le recrédit d’une somme de 2 479,83 euros, avant que le litige ne se poursuive sur le solde (Tribunal de commerce de Poitiers, 15 juin 2026, n° 2024004638). Le trésorier qui découvre un virement frauduleux a donc trois demandes distinctes à formuler dans le même écrit : le blocage de l’instrument et des accès, le rappel des fonds pour chaque virement encore traçable, et le remboursement au titre de l’opération non autorisée. Les confondre en une seule phrase expose à ce qu’aucune des trois ne soit traitée comme elle doit l’être.

B. Plainte, traçabilité des fonds convertis et gouvernance interne : sécuriser la trésorerie sans créer un second risque

Le volet pénal ne remplace pas la réclamation bancaire, mais il la complète et il fige des preuves que le temps efface vite. Sur le terrain des atteintes aux systèmes informatiques, l’article 323-1 du code pénal punit de trois ans d’emprisonnement et de 100 000 euros d’amende « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données », peines portées à cinq ans d’emprisonnement et 150 000 euros d’amende lorsqu’il en résulte une suppression ou une modification de données ou une altération du fonctionnement du système. Sur le terrain de la tromperie, l’article 313-1 du code pénal définit l’escroquerie comme le fait, notamment « par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds ». Ces qualifications appartiennent au procureur et au juge, non à la victime ; en revanche, la plainte de l’entreprise doit livrer, dès le dépôt, les éléments qui permettront de les discuter : relevés de compte annotés, références des virements, IBAN destinataires, courriels et en-têtes techniques, journaux de connexion à la banque en ligne, identités des salariés intervenus et chronologie minute par minute. Une plainte déposée plusieurs semaines après les faits, sans ces pièces, arrive lorsque les fonds ont déjà changé plusieurs fois de compte.

La presse du 4 novembre 2026 rapporte que, dans l’affaire qui motive les recherches du jour, les fonds auraient été acheminés vers des plateformes d’échange puis convertis en crypto-actifs. Cette séquence, rapportée par la presse et non confirmée dans le communiqué cité plus haut, illustre un point de méthode général : plus la conversion des fonds est rapide, plus la fenêtre d’intervention des enquêteurs et des intermédiaires se referme vite. Pour l’entreprise victime, l’utilité de la plainte rapide tient aussi à cela : elle donne aux services d’enquête une base pour demander aux prestataires concernés la conservation, voire le gel, des avoirs encore présents sur les comptes destinataires, sans qu’aucun résultat puisse être promis à l’avance. Il faut écrire ce point avec la même prudence que le reste de l’article : à la date de rédaction, aucune décision de justice publiée ne constate le parcours des fonds évoqué par la presse, aucune responsabilité pénale n’est établie, et seule une décision de justice pourra qualifier les faits. L’entreprise qui communique, en interne comme envers ses partenaires, gagne à reprendre cette discipline : décrire ses propres opérations, dater ses signalements, et s’abstenir de toute affirmation sur l’origine ou l’ampleur globale de l’attaque qui touche son établissement.

Le risque le plus immédiat, après une première fraude, est souvent la seconde. Les jours qui suivent un incident bancaire médiatisé voient circuler de faux messages de « sécurisation de compte », de faux conseillers qui demandent de valider une annulation, et de fausses pages de connexion qui imitent celles de l’établissement. La règle de gouvernance à diffuser dans l’entreprise tient en quelques interdictions simples, qui rejoignent l’obligation de préserver ses données de sécurité déjà citée : ne jamais valider une opération pour l’annuler, ne jamais communiquer un code reçu par message à un interlocuteur qui appelle, ne jamais installer un logiciel de prise en main à distance à la demande d’un prétendu service technique, et toujours rappeler sa banque au numéro figurant sur la convention de compte, jamais à celui affiché par l’appelant. Ces consignes doivent être écrites, affichées près des postes qui saisissent les paiements et rappelées aux intérimaires comme aux dirigeants, car la fraude au président vise précisément les moments où la chaîne habituelle de validation est absente ou pressée.

Au-delà de l’incident, trois réformes internes réduisent durablement l’exposition d’une entreprise, et elles se déduisent directement des décisions citées dans cet article. La première est la séparation des rôles : la personne qui crée un bénéficiaire ne doit pas être celle qui valide le premier virement vers ce bénéficiaire, et tout changement de coordonnées bancaires d’un fournisseur doit donner lieu à un contre-appel au numéro déjà connu de l’entreprise, consigné dans le dossier de paiement. La seconde est le plafonnement réel des habilitations : des plafonds par opération et par jour, alignés sur les besoins effectifs de chaque utilisateur, transforment une compromission en perte limitée au lieu d’une perte d’exploitation. La troisième est la revue des accès : suppression des comptes des salariés partis, inventaire des boîtiers et applications d’authentification en circulation, et journal des habilitations signé par le dirigeant. Si, enfin, l’incident a pu exposer des données à caractère personnel de salariés, de clients ou de fournisseurs, l’entreprise doit saisir sans attendre son délégué à la protection des données ou son conseil pour déterminer, au regard du règlement (UE) 2016/679 du 27 avril 2016 et des faits réellement établis sur ses propres systèmes, les notifications et informations qui lui incombent en propre : ce sont ses traitements, et non l’incident de son établissement bancaire, qui commandent cette analyse. Documenter ces décisions, même lorsqu’elles concluent à l’absence de violation sur le périmètre de l’entreprise, protège le dirigeant bien mieux qu’un silence prolongé.

Conclusion

Face à une cyberattaque qui touche son établissement bancaire, une entreprise ne gagne rien à commenter les montants globaux relayés par la presse : elle gagne à qualifier, une à une, les opérations qui touchent son compte. Sans consentement donné sous la forme convenue, elle peut exiger le remboursement de l’opération non autorisée et le rétablissement de son compte, en signalant le débit sans tarder, dans le délai que sa convention peut avoir fixé pour les professionnels, et en demandant au prestataire la preuve de l’authentification qu’il invoque. Lorsque le consentement a été trompé, le procès se déplace sur la négligence grave de l’utilisateur et sur la vigilance de la banque en présence d’une anomalie apparente, deux questions qui se tranchent sur des pièces : habilitations, journaux, alertes, contre-appels et délais de réaction. Le virement légitime retardé pendant une période de sécurisation relève, lui, d’une réclamation mesurée au délai d’exécution du code et d’un préjudice chiffré, sans confondre suspension annoncée et inexécution fautive. Dans tous les cas, la plainte rapide, le rappel des fonds demandé immédiatement et la séparation stricte entre saisie et validation des paiements protègent mieux la trésorerie qu’aucune déclaration de principe. À la date de rédaction, aucune responsabilité n’est établie dans les faits rapportés par la presse, les contrats signés priment sur toute analyse générale, et seul le juge décide, au vu des pièces de chaque dossier.