Arkéa bevestigt cyberaanval en noemt geen schadebedrag

Cyberaanval bij Crédit Mutuel Arkéa: de bank bevestigt frauduleuze transacties, een tijdelijke pauze op sommige overschrijvingen en gefaseerde hervatting, terwijl klanttegoeden onaangetast blijven na aanvullende beveiligingscontroles op 4 november.

Een leveranciersbetaling of salarisopdracht kan vertragen als je onderneming een Arkéa-rekening gebruikt, ook wanneer het saldo intact blijft. De inzet ligt bij de status van elke betaalopdracht en bij berichten over hervatting die phishing kunnen nabootsen.

Arkéa pauzeert transacties uit voorzorg

Na ontdekking informeerde het concern bevoegde instanties en toezichthouders. Het schortte uit voorzorg tijdelijk bepaalde transacties op om betalingen te beveiligen en nieuwe frauduleuze bewegingen te voorkomen. Arkéa meldde dat het incident was afgesloten en onder controle was. Na controles en extra beveiligingsmaatregelen werden transacties die ochtend gefaseerd hervat.

Eerder die dag meldde Le Monde met AFP dat bepaalde overschrijvingen nog niet toegankelijk waren. Arkéa zei later dat de hervatting gefaseerd was gestart, maar noemde geen getroffen rekeningtypen, aantallen klanten of datum voor volledige hervatting. De bank meldde ook niet of opdrachten wachtten, werden geweigerd of opnieuw moesten worden ingevoerd.

De bank scheidt saldo en betaalopdracht

Arkéa zegt dat de aanval geen gevolgen heeft voor klanttegoeden. Tegelijkertijd schrijft de bank dat de geraakte bedragen nog worden onderzocht en niet groot genoeg zijn om de financiële soliditeit van de groep in gevaar te brengen. Het communiqué geeft geen definitief schadebedrag en beschrijft niet welke onderdelen of geldstromen precies zijn geraakt.

DNB telde in 2025 129.000 frauduleuze Europese bankoverschrijvingen, 55 procent meer dan een jaar eerder, met €148 miljoen schade. Volgens DNB zat de stijging vooral bij instantbetalingen en betalingen naar het buitenland, die lastiger terug te draaien zijn. In totaal registreerde de toezichthouder 658.000 frauduleuze transacties en €198 miljoen schade bij overschrijvingen, kaartbetalingen en contante opnames. Dat zijn cijfers over betalingsfraude in Nederland, geen meting van de Arkéa-aanval.

Dezelfde Nederlandse trend stond centraal in de betalingsfraude van 2025: 658.000 transacties en €198 miljoen schade. Dit is geen meting van Arkéa, maar laat zien hoe een pauze ingrijpt op betaalprocessen waar snelheid en definitieve verwerking tellen.

De €118 miljoen komt uit externe analyse

Het bedrag van €118 miljoen staat niet in Arkéa’s verklaring. Le Télégramme schrijft dat ZachXBT’s schatting van ruim $133 miljoen ongeveer €118 miljoen is. ZachXBT meldde op 2 november ruim $106 miljoen aan opnames bij gecentraliseerde cryptobeurzen, zonder de Europese instelling te noemen. Op 3 november voegde hij ruim $27 miljoen toe, waarmee de schatting boven $133 miljoen kwam. Op 4 november noemde hij Arkéa als de instelling die volgens hem was getroffen.

Die reeks maakt de herkomst van het bedrag zichtbaar, maar bevestigt geen definitief verlies bij de bank. ZachXBT beschrijft opnames die hij op cryptobeurzen traceerde; Arkéa zegt dat de geraakte bedragen nog worden geëvalueerd. Bij een eerdere vraag van Le Télégramme had de bank volgens de krant nog niet bevestigd dat zij het doelwit was. De latere bevestiging van een cyberaanval maakt de eerdere schatting niet automatisch tot een bevestigd schadebedrag.

Andere berichtgeving noemt afwijkende bedragen en onderdelen. Le Figaro schrijft op basis van eigen bronnen dat de aanval Fortuneo trof en het bedrag minstens €150 miljoen zou zijn. Journalist Grégory Raymond schrijft op basis van bronnen dat fraudeurs bij Fortuneo overschrijvingen konden versturen en zelf de naam van de begunstigde konden invullen. Als die reconstructie klopt, gaat het om de controle op uitgaande overschrijvingen; Arkéa noemt Fortuneo of deze methode zelf niet. Le Revenu noemt €118 miljoen een mogelijk afgeleid bedrag en schrijft eveneens dat Arkéa geen exact totaal heeft gepubliceerd. De berichten verschillen dus over omvang en betrokken onderdelen, en Arkéa heeft geen van de schattingen bevestigd.

De phishingwaarschuwing raakt klantcontact

Arkéa waarschuwt dat er na de aanval phishingpogingen kunnen volgen. De bank zegt niet dat een actieve campagne is vastgesteld en meldt in dit communiqué ook niet of klantgegevens zijn ingezien. Wel vraagt zij klanten nooit inloggegevens, wachtwoorden, kaartnummers of sms-validatiecodes te delen. Bij twijfel moeten zij rechtstreeks contact opnemen met hun bankadviseur.

Een bericht over een vastgelopen betaling of veiligheidscontrole kan worden nagebootst om klanten of medewerkers naar een valse inlogpagina te sturen. Tijdens de overstap van iDEAL naar Wero liepen meldingen over nepmails op tot ongeveer honderd per dag, omdat een echte verandering een geloofwaardige aanleiding bood. De waarschuwing van Arkéa zegt dat phishing mogelijk is, niet dat nu dezelfde aantallen of een vergelijkbare campagne spelen.

Arkéa adviseert bij twijfel de adviseur rechtstreeks te benaderen. Dat sluit aan bij de eerdere analyse dat taal en toon phishing niet betrouwbaar verraden: de controle via een vooraf bekend kanaal loopt, los van het oorspronkelijke bericht. In een betaalteam kan die scheiding voorkomen dat een ongevraagde storingmelding direct leidt tot het delen van gegevens of het wijzigen van een betaalopdracht.

De aanval is volgens Arkéa onder controle en overschrijvingen worden gefaseerd hervat, maar het exacte schadebedrag en de technische route blijven onbekend. De bank zegt dat klanttegoeden onaangetast zijn; de praktische verstoring zat in de uitvoering van bepaalde betalingen. Voor bedrijven lopen daardoor twee vragen naast elkaar: welke betaling is verwerkt, en komt een bericht over herstel werkelijk van de bank? Arkéa zegt dat het de situatie opnieuw toelicht zodra er nieuwe informatie is.