Piratage bancaire : pourquoi la garantie des dépôts de 100 000 € ne vous protégera pas en cas de fraude sur votre compte

Début novembre, une cyberattaque a visé un prestataire du groupe Crédit Mutuel Arkéa et permis de détourner plus de 100 millions d’euros, sans ponctionner les dépôts des clients selon les informations publiées. De quoi relancer, en France, la question qui plane derrière chaque alerte de piratage bancaire : votre argent est-il réellement à l’abri quand les systèmes des banques sont pris pour cible ?

Entre attaques informatiques contre les établissements, fraudes aux virements ou paiements à distance, et multiplication des connexions avec des prestataires externes, le risque ne se limite plus au simple vol de carte bancaire. Deux réalités coexistent : le piratage de l’infrastructure d’une banque et la fraude directement sur le compte d’un client. La différence entre ces scénarios change tout pour votre protection, et donc pour votre épargne.

Piratage bancaire en France : ce que révèle l’attaque du Crédit Mutuel Arkéa

Dans le cas Crédit Mutuel Arkéa, les pirates ont exploité un prestataire externe, à qui la banque avait accordé des accès informatiques de confiance. Une partie des fonds détournés a ensuite été récupérée. Pour Anis Haboubi, expert en cybersécurité, ce maillon intermédiaire est devenu critique : « Un seul prestataire compromis donne un accès de confiance à l’intérieur », résume-t-il. Il détaille le contexte technologique actuel : « Avec l’essor de l’open banking et du cloud, les banques multiplient les connexions informatiques avec des sociétés extérieures, parfois dotées de droits étendus. Les systèmes historiques sont encore là, les nouvelles couches cloud/API sont ajoutées par-dessus avec des prestataires. Cette hybridation multiplie les points d’entrée et les chemins de confiance », a expliqué Anis Haboubi, interrogé par Cryptoast.

Les contrôles internes, eux, n’ont pas toujours été conçus pour ce type d’attaque. Selon le spécialiste, « Les systèmes de détection d’anomalies sont calibrés pour les comportements clients ou les intrusions classiques, pas pour un flux ‘autorisé’ qui devient soudainement massif », d’où la possibilité de détourner des accès légitimes, une technique qualifiée de living-off-the-land. Dans l’affaire Arkéa, la traçabilité des transactions en cryptoactifs a aidé à suivre une partie des fonds, ce qui l’amène à rappeler que « La sécurité bancaire repose sur la confiance et le secret ; la crypto repose sur la vérification publique ». Depuis le 17 janvier 2025, le règlement européen DORA impose aux banques de renforcer leur résilience opérationnelle numérique et la surveillance de leurs prestataires clés, mais l’expert reste prudent : « DORA impose des exigences, pas une réduction structurelle de la surface d’attaque créée par l’Open Banking et les tiers », prévient-il, tout en redoutant le scénario d’une véritable « cyberpandémie » visant successivement plusieurs institutions financières.

Deux risques, deux protections : fraudes sur votre compte et banque défaillante

Pour un titulaire de compte, le cœur du sujet se joue dans la distinction entre une opération non autorisée et une indisponibilité ou défaillance de la banque. Dans le premier cas, le Code monétaire et financier (articles L133-18 à L133-20) prévoit que la banque ou le prestataire de services de paiement rembourse immédiatement l’opération litigieuse, au plus tard à la fin du premier jour ouvrable suivant la notification, sauf soupçon de fraude. La part restant éventuellement à la charge du client avant opposition, en cas de perte ou vol de carte, est plafonnée à 50 euros. Le client dispose en principe de 13 mois pour contester une opération en zone Espace économique européen, et de 70 jours lorsque le bénéficiaire est situé hors de cette zone, comme le rappelle la Banque de France. Même si une authentification forte a été utilisée, cet élément ne suffit pas, à lui seul, à justifier un refus automatique de remboursement. Ce cadre vise entre autres les fraudes au virement SEPA ou les escroqueries par spoofing, quand un faux conseiller bancaire pousse un client à valider lui-même les opérations.

Le second cas de figure, beaucoup plus rare, est celui où un établissement devient incapable de restituer les dépôts de ses clients. Dans ce scénario, le Fonds de Garantie des Dépôts et de Résolution intervient jusqu’à 100 000 euros par déposant et par banque, en principe dans un délai de sept jours ouvrables. Les sommes placées sur les livrets réglementés comme le Livret A, le LDDS ou le LEP bénéficient aussi d’une garantie publique, intégrée à ce plafond. Pour certains dépôts dits exceptionnels et temporaires, issus par exemple d’une vente immobilière ou d’une succession, la protection peut être relevée de 500 000 euros supplémentaires, sous conditions. Répartir son épargne entre plusieurs établissements permet de cumuler ces plafonds par banque. En parallèle, de nouveaux garde-fous techniques, comme la vérification de concordance entre le nom du bénéficiaire et l’IBAN sur les virements SEPA depuis le 9 octobre 2025, ou les exigences de DORA supervisées par l’Autorité de contrôle prudentiel et de résolution, visent à réduire le risque systémique, sans le faire disparaitre totalement, ce qui impose aux clients de rester vigilants et de vérifer régulièrement les mouvements sur leurs comptes.