対象：Crédit Mutuel Arkéa（Crédit Mutuel de Bretagne、Crédit Mutuel du Sud-Ouest、Fortuneoなどのグループ）の顧客と、外部事業者を支払い・送金の仕組みにつなげている企業。本記事はCrédit Mutuel Arkéaの公式発表にもとづく解説で、攻撃手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
Crédit Mutuel Arkéa（Crédit Mutuel de Bretagne、Crédit Mutuel du Sud-Ouest、Fortuneoなどのグループ）の顧客と、外部事業者を支払い・送金の仕組みにつなげている企業。
- 影響が確認された範囲表で見る ↓
- 同社自身の口座からの不正な送金
- 他の銀行等への送金
- 外部事業者のプラットフォームを経由した侵入
さらに2件
- 一部の振込の実行遅延
- 一部の資金の凍結
可能性があるとされた項目
- 暗号資産への換金
- 未確認事項
- 確定した金額と、回収できる額
- 外部事業者のプラットフォームと、侵入の経緯
- 他の銀行等へ送られた資金が暗号資産に換えられたか
さらに2件
- 当局の調査結果
- 遅れた振込の完全な解消
- 今やること手順を見る ↓
- 自分が対象になるかを知る：顧客の口座は使われていない
- 同社を名乗る連絡のリンクは開かず、秘密の情報を伝えない
- 確認は、自分で開いた窓口か、担当アドバイザーへの直接の連絡で行う
さらに2件
- 遅れた振込がある人は、公式アプリで状況を見る
- 企業は、外部事業者の接続と権限を書き出す（最初の1つ）
- 確認先（出典）出典の一覧 ↓
- Crédit Mutuel Arkéa「Crédit Mutuel Arkéa annonce avoir été victime d'une attaque」（プレスリリース、2026年11月4日、フランス語）
- 最終確認日時
- 2026年11月7日時点
発表の続報予定と確認の記録
同社は11月4日に発表と補足の説明を出し、状況が変わりしだい新しい情報を知らせるとしています。11月7日に同社のプレスリリース一覧を確認し、11月4日の2件より新しい発表は見当たりませんでした。
顧客と企業が今日やること
自分が対象になるかを知る：顧客の口座は使われていない
同社の説明では、攻撃者が使ったのは同社自身の口座で、連合会・子会社の顧客の口座は経由していません。顧客の資産への影響はなく、一部の振込の実行が遅れただけだとしています。
発表には、顧客にパスワードの変更などを求める記載はありません。顧客データが漏れたかどうかについても、発表には書かれていません（後の表で整理します）。
同社を名乗る連絡のリンクは開かず、秘密の情報を伝えない
同社は、この攻撃を受けてフィッシングの試みが起こりうるとして、ID・パスワード・カード番号・SMSで届く確認コードを絶対に伝えないよう呼びかけています。
「振込を完了するため」「口座を守るため」といった名目の連絡でも同じです。ニュースで見た内容を正しく言い当てていても、本物の証拠にはなりません（当サイトの助言。見分け方は フィッシングとは）。
確認は、自分で開いた窓口か、担当アドバイザーへの直接の連絡で行う
同社は、疑わしいときは担当の銀行アドバイザーに直接連絡して、受け取ったメッセージが本物か確かめるよう案内しています。
アドバイザーがいない取引でも、当サイトでは、メッセージのリンクや電話番号ではなく、ホーム画面の公式アプリか、自分でブックマークした公式サイトから確かめることを勧めます。
遅れた振込がある人は、公式アプリで状況を見る
同社は、被害の拡大を防ぐために一部の取引を一時的に止め、4日の午前中にほぼ再開したとしています。遅れた振込の状況は、自分で開いた公式アプリや公式サイトで確かめます。
「止まった振込を再開するため」とされる連絡でリンク先に情報を入力させるものは、同社の発表にない手順です。応じないでください（当サイトの助言）。
企業は、外部事業者の接続と権限を書き出す（最初の1つ）
今回、同社は攻撃が外部事業者のプラットフォームを経由して届いたと説明しています。支払い・送金の仕組みに外部事業者をつないでいる企業は、まず、どの事業者が、どの接続で、どの操作を許されているかを一覧にします。
一覧には、参照だけか、振込データを作れるか、承認や実行までできるかを分けて書きます。見直しの考え方は、後の「企業が見直すこと」の節で説明します。
何が起きたのか（Crédit Mutuel Arkéaの発表より）
Crédit Mutuel Arkéaは、2026年11月4日にプレスリリースを出し、その後、よくある質問に答える補足の説明を同じ日に公表しました。以下はすべて、この2件にもとづきます。
攻撃の検知（日時は非公表）
同社は、攻撃で不正な取引が行われたと説明。検知後、通常の手順に従って当局と監督機関に連絡し、被害の拡大を防ぐため一部の取引を一時的に止めた。11月4日（水）午前
一部の取引の再開を、順に進めた。同社は、ほとんどの取引が午前中に通常に戻ったとしている。11月4日
プレスリリースと、補足の説明（よくある質問への回答）を公表。事件は終了し現在は制御下にあるとした。11月7日
当サイトが同社のプレスリリース一覧を確認。11月4日の2件より新しい発表は見当たらなかった。
外部の攻撃者
同社は洗練された外部からの攻撃と説明
↓ 外部事業者のプラットフォームを経由して、同社に到達
Crédit Mutuel Arkéa 自身の口座
連合会・子会社の顧客の口座は経由していない（同社）
↓ 他の銀行等への送金
他の銀行等
そこから暗号資産に換えられた可能性がある（同社）。一部の資金は凍結済み
- 起きたこと
- 攻撃で不正な取引が行われた。事件は終了し、現在は制御下にあるとしている（11月4日）
- 入口（同社の説明）
- 外部事業者のプラットフォームを経由して、同社に直接到達した。その事業者と手口は公表されていない
- 使われた口座
- 同社自身の口座。連合会・子会社の顧客の口座は経由していない
- お金の行き先
- 他の銀行等への送金。他の銀行等への送金のあと、専門のプラットフォームを通じて暗号資産に換えられた可能性がある
- 否定されたこと
- 社内の人為的ミスが原因という見方。ネット銀行子会社（Fortuneo）経由で侵入されたという報道
- 顧客への影響
- 資産への影響はなし。一部の振込の実行が遅れた。ほとんどの取引は4日の午前中に再開
- 関係する金額
- 評価中で、まだ確定額を公表する段階ではない。資金の一部は凍結でき、回収の措置を進めている。財務の健全性を損なう水準ではないとしている
- 報道・質問に出た金額
- 同社の補足説明が質問として挙げた1億1,800万ユーロ（1億3,300万ドル）について、同社は規模感は正しいとした。確定額はまだ公表する段階ではないとしている
- 当局との連携
- 通常の手順に従い、当局と監督機関に連絡。司法・警察当局と、原因と手口を調べている
- 顧客への呼びかけ
- フィッシングが起こりうるため、ID・パスワード・カード番号・SMSの確認コードを伝えず、疑わしいときは担当の銀行アドバイザーに直接確認する
- グループの規模（同社の説明）
- 12,073人の従業員、580万人以上の組合員・顧客（組合員と顧客を合わせた数）
分かっていること・分かっていないこと
2026年11月7日時点の状態です（11月4日のプレスリリースと補足の説明まで反映）。続報が出たら、この表を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 同社自身の口座からの不正な送金 | 攻撃で不正な取引が行われ、同社自身の口座が使われた | 確定（同社） |
| 他の銀行等への送金 | 他の銀行等への送金が行われた | 確定（同社） |
| 外部事業者のプラットフォームを経由した侵入 | 同社の説明。事業者と手口は非公表 | 確定（同社） |
| 一部の振込の実行遅延 | 一部の振込の実行が遅れた。ほとんどは4日の午前中に再開 | 確定（同社） |
| 一部の資金の凍結 | 資金の一部は凍結でき、回収の措置を進めている | 確定（同社） |
| 暗号資産への換金 | 他の銀行等を通じて換えられた可能性がある | 可能性（同社） |
| 顧客の資産への影響 | 影響なし | 含まれない（同社） |
| 連合会・子会社の顧客の口座が経由されたか | 経由していない | 含まれない（同社） |
| 社内の人為的ミスが原因か | 否定。洗練された外部からの攻撃 | 含まれない（同社） |
| ネット銀行子会社（Fortuneo）経由の侵入 | 否定。外部事業者のプラットフォームから同社に直接到達 | 含まれない（同社） |
| 顧客の個人データ | 発表に記載なし。フィッシングへの注意は予防的な呼びかけと説明 | 記載なし |
| 関係する金額 | 評価中。補足説明が質問として挙げた1億1,800万ユーロ（1億3,300万ドル）について、規模感は正しいとした。確定額はまだ公表する段階ではない | 調査中 |
| 回収できる額 | 回収の措置を進めている。額は非公表 | 調査中 |
| 外部事業者と手口 | 公表されていない。当局と調べている | 調査中 |
| 当局への連絡 | 当局と監督機関に連絡し、司法・警察当局と調査 | 対応済み |
金額の読み方：報道の数字は、同社が確認した数字ではない
1億1,800万ユーロは報道と、同社の補足説明の質問に出た数字です。同社は、この金額を確認せず、規模感だけは正しいとし、確定額はまだ公表する段階ではないとしています。
このため、当サイトでは金額を同社の数字として扱いません。同社が確定額を出したら、この記事を書き換えます。
この種の事案で何が起きうるか
同社が書いたとおり、顧客の資産には影響がないとされます。それでも、利用者に関係することが2つあります。以下は、この種の状況で一般に起きることで、今回起きたと同社が言っていることではありません。
- 銀行の障害や不正がニュースになると、「口座の確認」「止まった振込の再開」「補償の手続き」を名目にしたフィッシングが出回りやすい。ニュースの内容を知っているだけで、本物らしく見えてしまう
- 外部事業者のシステムが入口になった事案では、銀行側の画面や手続きは正規のままで、顧客からは何も変わって見えない。そのため、顧客側でできるのは、偽の連絡に応じないことが中心になる
企業が見直すこと：外部事業者から支払い・送金の仕組みへの接続
分かっているのは、攻撃が外部事業者のプラットフォームを経由して同社に届いたこと、自社口座から他の銀行等へ送金されたこと、同社が自社の仕組みで不審な動きを早く見つけ、一部の取引を止めたと説明していることです。手口は公表されていないため、ここでは公表された経緯から言える一般的な見直しだけを書きます。これらは、同社や事業者が実行していなかったという意味ではありません。
外部事業者の接続と権限を、一覧にする
支払い・送金に関わる外部事業者について、接続の方法、使っているアカウント、許された操作を書き出します。参照だけ、振込データの作成、承認、実行を分けて書くと、広すぎる権限が見つかります。
データを作る権限と、承認・実行の権限を分ける
外部事業者の接続に、作成から実行までを任せていないかを確かめます。振込の実行は、事業者のシステムの外にいる人の承認を必要とする形にすると、事業者側が侵害されても、1つの接続だけでは資金が動きません。
送金先と金額に、上限と待機を設ける
新しい送金先、普段と違う金額、短時間の連続した送金には、上限をかけ、実行前に待機と別経路の確認を挟みます。最初の1つとしては、「新しい送金先への送金は、金額にかかわらず、別の担当者が電話などで確認するまで保留する」を試します。
止める手順を、事前に決める
同社は、検知後に一部の取引を一時的に止めました。止める判断を誰がするか、止めたあとにどう再開するかを、事故が起きる前に決めておきます。顧客への案内文も、あらかじめ用意しておくと早く出せます。
組織全体の優先順位は 組織のセキュリティ対策の最低限 にまとめています。
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。公表されていない外部事業者の名前や侵入の手口は、推測していません。
- Crédit Mutuel Arkéa「Crédit Mutuel Arkéa annonce avoir été victime d'une attaque」（プレスリリース、2026年11月4日、フランス語） — cm-arkea.com（PDF）
- Crédit Mutuel Arkéa「Informations complémentaires suite à l'attaque dont le Crédit Mutuel Arkéa a été victime」（補足の説明、2026年11月4日、フランス語） — cm-arkea.com
- 同社のプレスリリース一覧（11月7日に確認、11月4日の2件より新しい発表はなし） — cm-arkea.com
更新履歴
2026-11-07：初版。同社の11月4日のプレスリリースと補足の説明にもとづく（11月7日に確認、それより新しい発表は見当たらず）。同社は、状況が変わりしだい新しい情報を知らせるとしています。公表されたら本記事を更新します。
次に読む
- 同じ型の事案（外部の委託先への不正アクセス）：大和証券の委託先への不正アクセス（約11万名・約22万件）
- 暗号資産への流出の事案：Bitgetの暗号資産流出（約3.875億ドル）
- 便乗詐欺への備え：フィッシングとは ／ 多要素認証の選び方
- 組織の備え：組織のセキュリティ対策の最低限
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）