Le 4 novembre 2026, le Crédit Mutuel Arkéa a publié à Brest un communiqué d’informations complémentaires sur l’attaque dont il indique avoir été victime : selon ce texte, les attaquants ont utilisé le compte propre du groupe pour réaliser des transactions vers d’autres acteurs bancaires, qui leur ont ensuite « potentiellement permis » de convertir ces sommes en cryptomonnaie sur des plateformes spécialisées, en passant par la plateforme d’un prestataire. Le groupe précise que les comptes des clients de ses fédérations et filiales n’ont pas été utilisés, que l’incident n’a aucune conséquence sur leurs avoirs, qu’il est maîtrisé et que les autorités de supervision ont été informées. Il ne confirme pas le chiffre de 118 millions d’euros avancé dans la presse, en valide l’ordre de grandeur, indique qu’une partie des fonds a pu être bloquée, que d’autres actions sont en cours pour les recouvrer, que ses équipes travaillent avec les autorités judiciaires et policières, et que les montants en jeu ne remettent pas en cause sa solidité financière.
Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable et ne décrivent pas la situation du Crédit Mutuel Arkéa, sur laquelle l’article ne formule aucun constat. À la date de rédaction, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale et seul le juge décide.
La question pratique concerne toute entreprise dont le compte a été débité par des ordres frauduleux, émis à la faveur d’une intrusion chez un prestataire : comment geler l’argent pendant qu’il circule, puis comment le récupérer. Le droit français offre des outils rapides, enfermés dans des délais courts : la plainte et la saisie des comptes de réception (I), puis la restitution et les actions civiles (II).
I. Virement frauduleux après une cyberattaque : comment bloquer les fonds dans les premières heures ?
Dans une fraude de ce type, l’argent quitte le compte de l’entreprise en quelques minutes, transite par des comptes ouverts dans d’autres banques, puis peut être converti en cryptoactifs, ce qui rend son suivi plus difficile à chaque étape. Deux leviers peuvent être actionnés en parallèle : la voie pénale, qui permet de rendre les sommes indisponibles par une saisie, et la voie bancaire, qui repose sur les règles des services de paiement et sur la coopération entre établissements. Les deux voies ne se remplacent pas : la première dépend du parquet et du juge, la seconde dépend de règles contractuelles et de l’accord de tiers.
A. Porter plainte et obtenir la saisie des comptes de réception en dix jours
La plainte est la porte d’entrée de la saisie pénale, et elle doit décrire précisément l’infraction. L’intrusion elle-même relève de l’article 323-1 du code pénal, selon lequel « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende » ; le même texte porte la peine à cinq ans d’emprisonnement et 150 000 € d’amende lorsqu’il en est résulté une suppression ou une modification de données, ou une altération du fonctionnement du système. La chambre criminelle a confirmé une condamnation pour maintien frauduleux à l’égard d’une personne qui « s’est maintenu dans un système de traitement automatisé après avoir découvert que celui-ci était protégé » et avait soustrait des données, dans un arrêt du 20 mai 2015 (n° 14-81.336) : la notion couvre donc aussi la présence prolongée dans un système, et pas seulement l’entrée.
Lorsque des ordres de paiement ont été injectés dans une chaîne informatique, la plainte peut également viser l’article 323-3 du code pénal, qui réprime « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé » de cinq ans d’emprisonnement et de 150 000 € d’amende. Si les faits ont été commis en bande organisée, l’article 323-4-1 prévoit que « la peine est portée à dix ans d’emprisonnement et à 300 000 € d’amende ». La qualification retenue appartient au parquet puis au juge ; la victime n’a pas à la trancher, mais une description technique précise aide les enquêteurs à choisir les bons fondements.
Les titulaires des comptes qui ont reçu les fonds, puis ceux qui les ont convertis, sont souvent des intermédiaires. Leur rôle peut entrer dans la définition large du blanchiment posée par l’article 324-1 du code pénal, qui vise aussi « le fait d’apporter un concours à une opération de placement, de dissimulation ou de conversion du produit direct ou indirect d’un crime ou d’un délit », puni de cinq ans d’emprisonnement et de 375 000 euros d’amende. Le mot « conversion » figure dans le texte : la transformation de sommes d’origine frauduleuse en cryptoactifs peut donc être examinée sous cet angle, sous réserve de la démonstration des éléments de l’infraction, et notamment de la connaissance de l’origine des fonds.
Pour l’entreprise assurée, la plainte a une seconde fonction, financière celle-là. Selon l’article L. 12-10-1 du code des assurances, le versement d’une indemnité au titre d’une clause couvrant les atteintes aux systèmes de traitement automatisé de données « est subordonné au dépôt d’une plainte de la victime auprès des autorités compétentes au plus tard soixante-douze heures après la connaissance de l’atteinte par la victime ». Le même article précise qu’il s’applique uniquement aux personnes morales et aux personnes physiques dans le cadre de leur activité professionnelle. Selon ce texte, le délai court donc à partir de la connaissance de l’atteinte par la victime, et non à partir de la fin de l’enquête interne : la direction a intérêt à documenter la date et l’heure auxquelles l’intrusion a été découverte.
Une fois la plainte déposée, la mesure décisive est la saisie des sommes encore présentes sur les comptes de réception. L’article 706-154 du code de procédure pénale permet à l’officier de police judiciaire d’être autorisé, par tout moyen, par le procureur de la République ou le juge d’instruction, à saisir « une somme d’argent versée sur un compte ouvert auprès d’un établissement habilité par la loi à tenir des comptes de dépôts, de paiement ou de crypto-actifs » ; le texte vise les crypto-actifs mentionnés à l’article L. 54-10-1 du code monétaire et financier. Selon la même disposition, le juge des libertés et de la détention, saisi par le procureur, ou le juge d’instruction « se prononce par ordonnance motivée sur le maintien ou la mainlevée de la saisie dans un délai de dix jours à compter de sa réalisation ». Légifrance indique que cette version est en vigueur depuis le 30 décembre 2024 et signale une abrogation différée au 1er janvier 2029, dans le cadre de la refonte du code de procédure pénale.
Le point de départ de ces dix jours a été précisé par la chambre criminelle dans un arrêt du 1er avril 2020 (n° 19-85.770), rendu sur le même mécanisme : « la date de la notification de la décision de saisie par l’officier de police judiciaire à l’établissement tenant le compte objet de la mesure, qui entraîne l’indisponibilité immédiate de la somme d’argent versée sur le compte, constitue le point de départ du délai de dix jours », peu important la date de consignation des fonds auprès de l’Agence de gestion et de recouvrement des avoirs saisis et confisqués. Dans cette affaire, l’ordonnance de maintien était intervenue après l’expiration du délai ainsi calculé ; la Cour a constaté que la saisie de plus de 550 000 euros avait cessé de produire ses effets. Pour la victime, la leçon est concrète : une saisie mal suivie peut tomber, et l’argent redevient disponible pour le titulaire du compte.
Le 9 avril 2026 (n° 25-86.535), la chambre criminelle a refusé de transmettre au Conseil constitutionnel une question prioritaire de constitutionnalité visant l’article 706-154 dans sa rédaction issue de l’ordonnance du 15 octobre 2024. Elle relève que cette saisie est opérée par un officier de police judiciaire « afin de garantir le caractère effectif de la mesure compte tenu de la volatilité des biens qui en sont l’objet », et que le magistrat du siège qui la maintient doit s’assurer du caractère confiscable des fonds au regard de l’article 131-21 du code pénal. Elle ajoute que l’ordonnance est notifiée au titulaire du compte et aux tiers connus ayant des droits sur ce compte, qui peuvent la déférer à la chambre de l’instruction dans un délai de dix jours à compter de sa notification, ce que prévoit aussi l’article 706-154 lui-même.
La saisie ne suppose pas une mise en examen préalable. Dans un arrêt du 6 novembre 2024 (n° 23-84.265), la chambre criminelle a jugé que la saisie d’une somme d’argent versée sur un compte « n’est subordonnée ni à la mise en examen de son propriétaire ou titulaire, ni davantage à l’existence d’un risque de dissipation des biens », mais que la juridiction doit apprécier l’existence d’indices de commission d’une infraction de nature à justifier la mesure. C’est donc à la plainte et aux pièces jointes de fournir ces indices dès le départ : chronologie horodatée des ordres, liste des comptes bénéficiaires avec leur identifiant bancaire et l’établissement teneur, montants, adresses de portefeuilles et identifiants de transactions lorsque des cryptoactifs sont en cause, journaux techniques et premier rapport d’incident du prestataire.
Quand la saisie atteint un compte, l’article 706-154 précise qu’« elle s’applique indifféremment à l’ensemble des sommes inscrites au crédit de ce compte ou à l’ensemble des crypto-actifs détenus au moment de la saisie », à concurrence, le cas échéant, du montant indiqué dans la décision. Les cryptoactifs déjà convertis ne sont donc pas hors d’atteinte lorsqu’ils sont détenus auprès d’un établissement visé par ce texte. Le 15 février 2023 (n° 22-81.326), la chambre criminelle a rejeté le pourvoi formé contre un arrêt qui avait confirmé la saisie de bitcoins détenus sur un compte ouvert auprès d’une plateforme d’échange, que la chambre de l’instruction avait regardés comme l’objet ou le produit d’une infraction de blanchiment susceptible d’être reprochée à leur détenteur. Pour les autres biens ou droits incorporels, l’article 706-153 du code de procédure pénale confie la décision au juge des libertés et de la détention, saisi par requête du procureur, ou au juge d’instruction.
Ces mesures restent entre les mains des magistrats : l’entreprise ne peut pas elle-même ordonner une saisie pénale. Elle peut en revanche faciliter la décision en déposant une plainte complète et rapide, en signalant immédiatement aux enquêteurs les établissements destinataires et en tenant à jour la liste des fonds déjà bloqués par les banques. Dans les dossiers d’intrusion qui touchent des systèmes d’information, l’accompagnement d’un avocat en droit de la cybersécurité aide à traduire les constats techniques en éléments utilisables par l’enquête.
B. Rappel de fonds et contre-passation : ce que les banques peuvent faire, et ce qu’elles ne peuvent pas faire seules
Parallèlement à la plainte, l’entreprise alerte sa propre banque. Si les ordres ont été émis sans son consentement, le régime des opérations non autorisées du code monétaire et financier s’applique. L’article L. 133-7 dispose que le consentement est donné sous la forme convenue entre le payeur et son prestataire et que, « En l’absence d’un tel consentement, l’opération ou la série d’opérations de paiement est réputée non autorisée ». Lorsque l’opération est non autorisée et signalée dans les conditions légales, l’article L. 133-18 impose au prestataire du payeur de rembourser le montant immédiatement après en avoir pris connaissance, et « au plus tard à la fin du premier jour ouvrable suivant », sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur et communique ces raisons par écrit à la Banque de France.
Pour une entreprise, la lecture de la convention de compte est indispensable, car plusieurs règles protectrices sont aménageables entre professionnels. L’article L. 133-24 fixe un signalement sans tarder et au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion, mais il ajoute que, sauf si l’utilisateur est une personne physique agissant pour des besoins non professionnels, « les parties peuvent convenir d’un délai distinct de celui prévu au présent article ». L’article L. 133-2 autorise de même, hors utilisateur consommateur, des dérogations contractuelles à plusieurs dispositions, dont l’article L. 133-23 sur la preuve de l’authentification et l’article L. 133-19 sur la répartition des pertes. Une entreprise ne peut donc pas raisonner sur les seuls textes : le délai de contestation et la charge de la preuve peuvent avoir été modifiés par son contrat de banque à distance ou par ses conditions générales.
La question la plus délicate, dans une intrusion passée par un prestataire, est de savoir si les ordres ont été donnés « sous la forme convenue ». Lorsque l’entreprise avait autorisé ce prestataire à transmettre ses ordres par un canal déterminé, l’établissement teneur de compte peut soutenir que l’ordre est arrivé par la voie prévue et avec les éléments d’authentification attendus ; l’entreprise peut répondre qu’elle n’a jamais consenti à ces opérations. Aucune réponse générale n’existe : elle dépend du contrat, du canal utilisé et des journaux techniques. Il faut aussi savoir que la Cour de cassation enferme ce débat dans le code monétaire et financier. Dans un arrêt du 15 janvier 2025 (n° 23-15.437), elle a jugé que, lorsque la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération non autorisée ou mal exécutée, « seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier », à l’exclusion de tout régime alternatif de droit national.
Ce même arrêt éclaire une variante fréquente : l’attaquant ne déclenche pas lui-même les virements, il remplace l’identifiant bancaire du bénéficiaire dans un fichier ou un message que la victime transmet ensuite. Dans l’affaire jugée, un tiers avait pris le contrôle de la messagerie des payeurs pour substituer son identifiant unique à celui du vendeur, et la Cour a appliqué l’article L. 133-21, qui exclut alors la responsabilité de la banque pour la mauvaise exécution. Ce texte organise toutefois une démarche de récupération : le prestataire du payeur « s’efforce de récupérer les fonds engagés dans l’opération de paiement », le prestataire du bénéficiaire lui communique toutes les informations utiles et, à défaut de récupération, le payeur peut obtenir sur demande les informations détenues pour documenter son recours en justice. Ces informations sont précieuses pour identifier les titulaires des comptes destinataires.
Reste le retour des fonds par la banque qui les a reçus, souvent appelé « rappel de fonds ». Il n’est pas automatique. Dans un arrêt du 24 novembre 2021 (n° 20-10.044), la chambre commerciale a jugé que, sauf stipulations contractuelles contraires, lorsque le montant d’un virement a été remboursé au payeur, même en raison d’une fraude, le prestataire du bénéficiaire qui a déjà crédité le compte de son client « ne peut contre-passer l’opération sur le compte de celui-ci sans son autorisation, quand bien même il aurait lui-même restitué le montant du virement au prestataire de services de paiement du payeur ». Autrement dit, une fois les fonds inscrits sur le compte du bénéficiaire, leur retour dépend de l’accord de ce titulaire ou d’une clause de sa convention de compte. Un titulaire qui a prêté son compte à une fraude ne donnera pas cet accord : c’est précisément ce qui rend la saisie pénale indispensable.
Les banques réceptrices ont enfin leurs propres obligations de lutte contre le blanchiment. L’article L. 561-6 du code monétaire et financier leur impose une vigilance constante et un examen attentif des opérations, et l’article L. 561-15 les oblige à déclarer au service de renseignement financier les sommes dont elles savent, soupçonnent ou ont de bonnes raisons de soupçonner qu’elles proviennent d’une infraction punie de plus d’un an d’emprisonnement ; le même texte prévoit que les tentatives d’opérations font aussi l’objet d’une déclaration. La victime ne peut toutefois pas transformer ces obligations en créance de réparation. Dans un arrêt du 4 mars 2026 (n° 24-19.588), publié au Bulletin, la chambre commerciale rappelle que l’obligation de vigilance a pour seule finalité la lutte contre le blanchiment et le financement du terrorisme, et qu’en conséquence « la victime d’agissements frauduleux ne peut se prévaloir de leur inobservation pour réclamer des dommages et intérêts à l’organisme financier ». Signaler sans délai les comptes destinataires aux établissements concernés reste utile, car cela alimente leurs propres dispositifs, mais il ne faut pas fonder une action en responsabilité sur ce seul terrain.
II. Fonds détournés : comment obtenir leur restitution et contre qui agir ?
Une fois les fonds gelés, l’enjeu se déplace : il s’agit de faire revenir l’argent saisi vers l’entreprise et, pour la part qui n’a pas pu être bloquée, de trouver un débiteur solvable. Deux terrains se combinent ici encore : le procès pénal, qui organise la restitution et l’indemnisation de la partie civile, et les actions civiles dirigées contre ceux qui détiennent les fonds ou contre les intervenants dont la responsabilité peut être recherchée.
A. Restitution des sommes saisies : partie civile, classement sans suite et AGRASC
Pendant une information judiciaire, l’article 99 du code de procédure pénale confie la restitution au juge d’instruction, qui statue d’office ou sur requête, notamment de la partie civile ou de toute personne qui prétend avoir droit sur l’objet. Il peut aussi, avec l’accord du procureur, « décider d’office de restituer ou de faire restituer à la victime de l’infraction les objets placés sous main de justice dont la propriété n’est pas contestée ». Le même article écarte la restitution lorsqu’elle ferait obstacle à la manifestation de la vérité ou à la sauvegarde des droits des parties, lorsque le bien est l’instrument ou le produit de l’infraction, ou lorsqu’il présente un danger. Avec de la monnaie qui a transité par plusieurs comptes, puis parfois par des cryptoactifs, la preuve que les sommes saisies correspondent bien aux fonds de l’entreprise devient la question centrale : d’où l’importance de la traçabilité réunie dès la plainte.
En l’absence d’information judiciaire, l’article 41-4 donne compétence au procureur pour décider de la restitution lorsque la propriété n’en est pas sérieusement contestée. Ce texte ouvre un recours contre une décision de non-restitution devant le premier président de la cour d’appel ou le conseiller désigné par lui, dans le délai d’un mois suivant sa notification ; il prévoit aussi que, si la restitution n’a pas été demandée ou décidée dans un délai de six mois à compter de la décision de classement ou de la décision par laquelle la dernière juridiction saisie a épuisé sa compétence, les objets non restitués deviennent propriété de l’État, sous réserve des droits des tiers. Ces délais imposent un suivi actif du dossier par l’entreprise.
Le classement sans suite n’est pas neutre pour la victime. Dans un arrêt du 1er février 2023 (n° 22-80.461), publié au Bulletin, la chambre criminelle a jugé que, lorsque la procédure a été classée et qu’aucune juridiction n’a été saisie, « la restitution ne peut être refusée au motif que le bien est le produit ou l’instrument de l’infraction, dès lors qu’en l’état dudit classement, aucune juridiction de jugement n’est susceptible de constater l’existence de cette infraction ». Dans cette affaire, c’est la personne chez qui la somme avait été saisie qui en a obtenu la restitution. Transposé à une fraude au virement, le risque est clair : si l’enquête s’arrête, le titulaire d’un compte de réception peut réclamer les sommes saisies entre ses mains, et l’entreprise devra alors faire valoir ses propres droits sur ces fonds.
Pour éviter que le dossier ne s’éteigne, l’entreprise peut se constituer partie civile devant le juge d’instruction. L’article 85 du code de procédure pénale subordonne la recevabilité de cette plainte à la justification que le procureur a fait connaître qu’il n’engagera pas lui-même de poursuites, ou « qu’un délai de trois mois s’est écoulé depuis qu’elle a déposé plainte devant ce magistrat », contre récépissé ou par lettre recommandée avec demande d’avis de réception, ou depuis qu’elle lui a adressé copie de sa plainte déposée devant un service de police judiciaire. Pour une société commerciale, le même article ajoute une exigence propre : lorsque la plainte avec constitution de partie civile est formée par une personne morale à but lucratif, « elle n’est recevable qu’à condition que la personne morale justifie de ses ressources en joignant son bilan et son compte de résultat ». Le dossier doit donc être préparé avec la direction financière, et pas seulement avec l’équipe informatique.
Si l’affaire aboutit à une condamnation, l’entreprise partie civile qui a obtenu une décision définitive lui allouant des dommages et intérêts, et qui n’a pas été indemnisée par les autres voies prévues par la loi, peut demander à l’Agence de gestion et de recouvrement des avoirs saisis et confisqués d’être payée sur les fonds ou la valeur des biens confisqués de son débiteur. L’article 706-164 du code de procédure pénale précise que cette demande doit, « à peine de forclusion, être adressée par lettre recommandée à l’agence dans un délai de six mois à compter du jour où la décision mentionnée au premier alinéa du présent article a acquis un caractère définitif ». En cas de pluralité de créanciers et d’insuffisance d’actif, le texte prévoit un paiement au prix de la course : le calendrier de la demande compte autant que son contenu.
B. Actions civiles : contre le bénéficiaire des fonds, la banque réceptrice ou le prestataire ?
La première cible civile est celle qui détient l’argent. L’article 1302-1 du code civil pose une règle simple : « Celui qui reçoit par erreur ou sciemment ce qui ne lui est pas dû doit le restituer à celui de qui il l’a indûment reçu. » Le titulaire d’un compte crédité par un virement frauduleux, qui n’avait aucune créance contre l’entreprise, peut donc être assigné en restitution, à condition d’être identifié, ce que permettent souvent les informations bancaires évoquées plus haut ou les pièces de la procédure pénale. Pour éviter que les fonds disparaissent pendant l’instance, l’article L. 511-1 du code des procédures civiles d’exécution prévoit que « Toute personne dont la créance paraît fondée en son principe peut solliciter du juge l’autorisation de pratiquer une mesure conservatoire sur les biens de son débiteur », sans commandement préalable, si elle justifie de circonstances susceptibles d’en menacer le recouvrement. La mesure prend la forme d’une saisie conservatoire ou d’une sûreté judiciaire.
La deuxième cible envisagée est la banque qui a reçu les fonds, sur le fondement de la responsabilité délictuelle de l’article 1240 du code civil, puisque l’entreprise victime n’est pas sa cliente. La jurisprudence de 2026 place la barre haut. Dans un arrêt du 14 janvier 2026 (n° 24-19.102), publié au Bulletin, la chambre commerciale rappelle que la banque, tenue à une obligation de non-ingérence dans les affaires de son client, « n’a pas à procéder à des investigations sur l’origine et l’importance des fonds versés sur ses comptes ni même à l’interroger sur l’existence de mouvements de grande ampleur dès lors que ces opérations ont une apparence de régularité et qu’aucun indice de falsification ne peut être décelé ». La société victime avait obtenu en appel la condamnation de la banque réceptrice, au vu de 58 virements reçus en treize mois, pour plus de 260 000 euros, sur le compte d’une salariée qui gagnait environ 1 900 euros nets par mois. La Cour a cassé cette condamnation, faute de motifs caractérisant des anomalies apparentes aisément décelables ayant affecté les virements eux-mêmes.
Combiné avec l’arrêt du 4 mars 2026 sur les obligations de vigilance, cet arrêt signifie qu’une action contre la banque réceptrice suppose de démontrer, sur les opérations elles-mêmes, une anomalie que la banque pouvait déceler sans s’ingérer dans les affaires de son client ; les éléments retenus par la cour d’appel, tenant notamment au volume des fonds rapporté aux revenus de la titulaire du compte, ont été jugés impropres à caractériser une telle anomalie. Une analyse des pièces bancaires obtenues pendant l’enquête permet de vérifier si ce terrain est praticable avant d’engager des frais. Les questions de contentieux bancaire se jouent ici sur la qualité de la preuve plus que sur l’importance du préjudice.
La troisième cible possible est le prestataire par lequel l’intrusion est passée. Entre l’entreprise et ce prestataire, le cadre est contractuel : l’article 1231-1 du code civil dispose que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Tout dépend alors de ce que le contrat mettait à la charge du prestataire en matière de sécurité, des clauses qui limitent ou plafonnent sa responsabilité, et de la preuve d’un manquement en lien avec le dommage. L’existence d’une attaque extérieure n’établit à elle seule ni un manquement du prestataire ni l’absence de manquement : c’est l’expertise technique qui le dira. Dans les secteurs régulés, comme la banque et l’assurance, les contrats conclus avec les fournisseurs de services informatiques comportent en outre des clauses imposées par la réglementation européenne sur la résilience opérationnelle numérique, qu’il faut relire avant toute réclamation.
L’ordre des démarches compte autant que leur choix. Les actions contre la banque réceptrice ou contre le prestataire prennent du temps et supposent une instruction technique et financière ; elles ne doivent pas retarder la plainte, la saisie et la constitution de partie civile, qui conditionnent la récupération des fonds encore localisables. Un travail coordonné avec un avocat en droit des affaires à Paris permet de mener ces fronts sans contradiction, par exemple en évitant qu’une déclaration faite à l’assureur, au prestataire ou à la presse n’affaiblisse la position de l’entreprise dans la procédure pénale.
Conclusion
Face à un virement frauduleux consécutif à une intrusion chez un prestataire, l’entreprise dispose d’abord d’outils pénaux rapides : une plainte précise, déposée dans les soixante-douze heures lorsqu’une assurance cyber est en jeu (article L. 12-10-1 du code des assurances), ouvre la voie à une saisie des comptes de réception, cryptoactifs compris, que le juge doit confirmer dans les dix jours de sa notification à l’établissement teneur du compte (article 706-154 du code de procédure pénale, tel qu’interprété par l’arrêt du 1er avril 2020). La voie bancaire est utile mais limitée : la banque du bénéficiaire ne peut pas contre-passer l’opération sans l’accord de son client, sauf clause contraire, et les obligations de vigilance contre le blanchiment ne fondent pas une demande de dommages et intérêts de la victime. Viennent ensuite la restitution des sommes saisies, qui suppose de maintenir la procédure en vie, au besoin par une constitution de partie civile accompagnée du bilan et du compte de résultat, puis, après condamnation, la demande adressée à l’agence de recouvrement dans les six mois suivant la décision définitive (article 706-164 du code de procédure pénale). Les actions civiles contre le bénéficiaire des fonds, la banque réceptrice ou le prestataire complètent ce dispositif, avec des exigences de preuve élevées. Pour tout groupe ou toute société confrontés à une intrusion de ce type, aucune de ces règles ne préjuge des causes de l’attaque ni des responsabilités de quiconque : les contrats signés priment sur toute analyse générale, les faits établis par l’enquête restent déterminants, et seul le juge tranche.