대상: 크레디 뮈튀엘 아르케아(크레디 뮈튀엘 드 브르타뉴, 크레디 뮈튀엘 뒤 쉬드-우에스트, Fortuneo 같은 자회사 포함)의 고객, 그리고 결제·이체 시스템에 외부 업체를 연결하는 기업. 이 글은 크레디 뮈튀엘 아르케아의 공식 발표를 바탕으로 하며 공격 수법은 다루지 않습니다.
진행 중: 조직이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
- 대상
크레디 뮈튀엘 아르케아(크레디 뮈튀엘 드 브르타뉴, 크레디 뮈튀엘 뒤 쉬드-우에스트, Fortuneo 같은 자회사 포함)의 고객, 그리고 결제·이체 시스템에 외부 업체를 연결하는 기업.
- 확인된 영향 범위표 보기 ↓
- 자사 계좌에서의 부정 이체
- 다른 은행으로의 이체
- 서비스 제공업체 플랫폼을 통한 침입
2개 더 보기
- 일부 이체가 늦게 실행됨
- 자금 일부 차단
- 아직 확인되지 않은 사항
- 최종 금액과 회수 가능한 금액
- 서비스 제공업체의 플랫폼과 침입이 전개된 경과
- 다른 은행 관계자로 보내진 자금이 암호화폐로 바뀌었는지
2개 더 보기
- 당국 조사의 결과
- 지연된 이체의 완전한 해소
- 지금 할 일절차 보기 ↓
- 영향 여부 알기: 고객 계좌는 사용되지 않았습니다
- 그룹을 사칭하는 메시지의 링크를 열지 말고, 비밀을 알려 주지 마세요
- 직접 연 경로로 확인하거나 어드바이저에게 직접 문의하세요
2개 더 보기
- 이체가 지연되었다면 공식 앱에서 확인하세요
- 기업: 업체의 연결과 권한을 목록으로 만드세요(가장 먼저 할 일)
- 확인처(출처)출처 전체 ↓
- Crédit Mutuel Arkéa, "Crédit Mutuel Arkéa annonce avoir été victime d'une attaque"(보도자료, 2026년 11월 4일, 프랑스어)
- 마지막 확인
- 2026년 11월 7일 기준
후속 발표 예정과 확인 기록
그룹은 11월 4일 보도자료와 보충 설명을 발표했으며, 새로운 사실이 확인되는 대로 경과를 알리겠다고 밝혔습니다. 이 사이트가 11월 7일 그룹의 보도자료 목록을 확인했을 때 그 두 건보다 새로운 것은 없었습니다.
고객과 기업이 오늘 해야 할 일
영향 여부 알기: 고객 계좌는 사용되지 않았습니다
그룹은 공격자가 아르케아 자사 계좌를 사용했으며 산하 연합회나 자회사 고객의 계좌를 거치지 않았다고 밝혔습니다. 고객 자산은 영향을 받지 않았고 일부 이체만 늦게 실행되었다고 합니다.
그룹의 발표는 고객에게 비밀번호 변경 등의 조치를 요청하지 않습니다. 또한 고객 데이터가 침해되었는지에 대해서도 밝히지 않았습니다(아래 표 참고).
그룹을 사칭하는 메시지의 링크를 열지 말고, 비밀을 알려 주지 마세요
그룹은 이번 공격 이후 피싱 시도가 있을 수 있다고 경고하며, 고객에게 ID, 비밀번호, 카드 번호, SMS로 받은 인증 코드를 절대 알려 주지 말라고 합니다.
"이체를 완료하려면", "계정을 보호하려면"이라는 메시지에도 적용됩니다. 뉴스에서 본 내용을 정확히 언급한다고 해서 진짜라는 증거는 아닙니다(이 사이트의 조언, 피싱이란? 참고).
직접 연 경로로 확인하거나 어드바이저에게 직접 문의하세요
의심스러우면 담당 은행 어드바이저에게 직접 연락해 메시지가 진짜인지 확인하라고 그룹은 밝혔습니다.
어드바이저가 없다면, 메시지의 링크나 전화번호가 아니라 홈 화면의 앱이나 직접 북마크한 공식 사이트를 이용하세요(이 사이트의 제안).
이체가 지연되었다면 공식 앱에서 확인하세요
그룹은 추가 부정을 막기 위해 일부 거래를 일시 중단했고, 거의 모든 업무가 11월 4일 오전에 재개되었다고 밝혔습니다. 지연된 이체의 상태는 직접 연 공식 앱이나 웹사이트에서 확인하세요.
"막힌 이체를 재개하려면" 링크된 페이지에 정보를 입력하라는 메시지는 그룹이 설명한 절차가 아닙니다. 따르지 마세요(이 사이트의 조언).
기업: 업체의 연결과 권한을 목록으로 만드세요(가장 먼저 할 일)
그룹은 공격이 서비스 제공업체의 플랫폼을 통해 들어왔다고 밝혔습니다. 결제·이체 시스템에 외부 업체를 연결해 두었다면, 먼저 어느 업체가 어떤 연결을 가지고 어떤 작업을 할 수 있는지 목록으로 만드세요.
각각 조회만 가능한지, 이체 데이터를 만들 수 있는지, 승인과 실행까지 할 수 있는지 따로 기록하세요. 점검 요점은 아래 기업용 섹션에서 설명합니다.
무슨 일이 있었나요 (크레디 뮈튀엘 아르케아 발표 기준)
그룹은 2026년 11월 4일 보도자료를 발표했고, 같은 날 이후 받은 주요 질문에 답하는 보충 설명을 냈습니다. 아래 내용은 모두 이 두 문서에 근거합니다.
감지(날짜 미공개)
그룹은 공격으로 부정 거래가 가능했다고 밝혔습니다. 감지 후 통상 절차에 따라 관할 당국과 감독 당국에 알리고, 추가 부정 이동을 막기 위해 일부 거래를 일시 중단했습니다.11월 4일 (수), 오전
업무가 단계적으로 재개되었습니다. 그룹은 오전 중에 거의 모든 업무가 재개되었다고 밝혔습니다.11월 4일
보도자료와 보충 설명(질문에 대한 답변)이 발표되었습니다. 그룹은 사고가 종결되어 통제 아래 있다고 밝혔습니다.11월 7일
이 사이트가 그룹의 보도자료 목록을 확인했습니다. 11월 4일의 두 건보다 새로운 것은 없었습니다.
외부 공격자
그룹은 정교한 외부 공격이라고 설명
↓ 서비스 제공업체의 플랫폼을 통해 그룹에 도달
크레디 뮈튀엘 아르케아의 자사 계좌
연합회와 자회사 고객의 계좌는 사용되지 않음(그룹)
↓ 다른 은행 관계자로 이체
다른 은행 관계자
이후 암호화폐로 바뀌었을 수 있음(그룹). 자금 일부는 차단
- 무슨 일이 있었나
- 공격으로 부정 거래가 가능했음. 그룹은 사고가 종결되어 통제 아래 있다고 밝힘(11월 4일)
- 침입 경로(그룹의 설명)
- 서비스 제공업체의 플랫폼을 통해 그룹에 직접 도달. 업체와 수법은 공개되지 않음
- 사용된 계좌
- 아르케아 자사 계좌. 산하 연합회와 자회사 고객의 계좌는 사용되지 않음
- 돈이 간 곳
- 다른 은행 관계자로 이체. 이후 공격자가 전문 플랫폼을 통해 암호화폐로 바꿨을 수 있음
- 그룹이 부인한 것
- 아르케아의 인적 오류가 원인이라는 것. 침입이 온라인 은행 자회사(Fortuneo)를 통해 이루어졌다는 언론 보도
- 고객 영향
- 고객 자산에는 영향 없음. 일부 이체가 늦게 실행됨. 거의 모든 업무가 11월 4일 오전에 재개됨
- 관련 금액
- 평가 중이며 최종 금액을 공표할 단계는 아님. 자금 일부는 차단되었고 회수 조치가 진행 중. 그룹은 이 금액이 재무 건전성에 영향을 줄 성격이 아니라고 밝힘
- 언론과 Q&A에서 제기된 수치
- 보충 설명에서 질문으로 제기된 1억 1,800만 유로(1억 3,300만 달러)에 대해 그룹은 확인하지 않았고 규모는 타당하다고 함
- 당국
- 통상 절차에 따라 관할 당국과 감독 당국에 통보. 출처와 수법에 관해 사법·경찰 당국과 협력 중
- 고객에 대한 메시지
- 피싱 가능. ID, 비밀번호, 카드 번호, SMS 인증 코드를 절대 알려 주지 말 것. 의심되면 담당 은행 어드바이저에게 직접 문의
- 그룹의 규모(그룹의 설명)
- 직원 12,073명, 조합원과 고객 580만 명 이상
확인된 것과 확인되지 않은 것
2026년 11월 7일 기준 상태입니다(11월 4일 보도자료와 보충 설명 반영). 후속 소식이 나오면 이 표를 다시 씁니다.
| 항목 | 그룹의 설명 | 상태 |
|---|---|---|
| 자사 계좌에서의 부정 이체 | 공격으로 부정 거래가 가능했음. 아르케아 자사 계좌가 사용됨 | 확인됨(회사) |
| 다른 은행으로의 이체 | 다른 은행 관계자로 이체가 이루어짐 | 확인됨(회사) |
| 서비스 제공업체 플랫폼을 통한 침입 | 그룹의 설명. 업체와 수법은 공개되지 않음 | 확인됨(회사) |
| 일부 이체가 늦게 실행됨 | 일부 이체가 지연됨. 거의 모두 11월 4일 오전에 재개됨 | 확인됨(회사) |
| 자금 일부 차단 | 자금 일부가 차단됨. 회수 조치 진행 중 | 확인됨(회사) |
| 암호화폐로의 전환 | 다른 은행 관계자를 통해 가능했을 수 있음 | 가능(회사) |
| 고객 자산에 대한 영향 | 없음 | 포함되지 않음(회사) |
| 고객 또는 자회사 계좌의 사용 | 사용되지 않음 | 포함되지 않음(회사) |
| 아르케아의 인적 오류가 원인인지 | 부인. 정교한 외부 공격 | 포함되지 않음(회사) |
| 온라인 은행 자회사(Fortuneo)를 통한 침입 | 부인. 업체의 플랫폼을 통해 그룹에 직접 도달 | 포함되지 않음(회사) |
| 고객 개인 정보 | 밝히지 않음(Q7은 예방적 경고를 설명할 뿐 유출 여부에 대한 언급은 없음) | 밝히지 않음 |
| 관련 금액 | 평가 중. 보충 설명의 질문으로 제기된 1억 1,800만 유로는 확인하지 않았고 규모는 타당함. 최종 금액은 미공표 | 조사 중 |
| 회수 가능한 금액 | 회수 조치 진행 중. 금액은 공표되지 않음 | 조사 중 |
| 서비스 제공업체와 수법 | 공개되지 않음. 당국과 함께 규명 중 | 조사 중 |
| 당국과의 접촉 | 관할 당국과 감독 당국에 통보. 사법·경찰 당국이 그룹과 협력 중 | 완료 |
금액 읽는 법: 그룹이 확인한 수치가 아닙니다
1억 1,800만 유로는 언론과 그룹의 보충 설명에 실린 질문에서 나온 수치입니다. 그룹은 이를 확인하지 않고 규모만 타당하다고 했으며, 아직 최종 금액을 공표할 단계는 아니라고 합니다.
그래서 이 사이트는 이 금액을 그룹의 수치로 다루지 않습니다. 그룹이 최종 수치를 내놓으면 이 글을 다시 쓰겠습니다.
이런 사건이 낳을 수 있는 일
그룹이 밝혔듯 고객 자산은 영향을 받지 않았습니다. 그래도 이용자에게 중요할 수 있는 점이 두 가지 있습니다. 아래는 이런 상황에서 일반적으로 일어날 수 있는 일이며, 그룹이 이번에 일어났다고 말한 것이 아닙니다.
- 은행의 사고나 사기가 뉴스가 되면 "계좌 확인", "막힌 이체 재개", "보상"을 내세운 피싱이 돌기 쉽습니다. 뉴스를 안다는 것만으로 그런 메시지가 진짜처럼 보입니다
- 업체의 시스템이 침입 경로가 되면 은행의 화면과 절차는 그대로 진짜이며 고객에게는 아무것도 달라 보이지 않습니다. 고객이 할 수 있는 것은 대부분 가짜 메시지에 응하지 않는 것입니다
기업이 점검할 것: 결제·이체 시스템에 대한 업체의 연결
알려진 것: 공격은 서비스 제공업체의 플랫폼을 통해 그룹에 도달했고, 자사 계좌에서 다른 은행 관계자로 돈이 보내졌으며, 그룹은 자사 시스템이 의심스러운 활동을 빠르게 감지했고 일부 거래를 중단했다고 밝혔습니다. 수법은 공개되지 않았으므로, 여기서는 공개된 경과에서 따라 나오는 일반적인 점검 요점만 다룹니다. 그룹이나 업체가 이를 하지 않았다는 뜻이 아닙니다.
업체의 연결과 권한을 목록으로 만들기
결제와 이체에 관여하는 외부 업체마다 어떻게 연결되는지, 어떤 계좌를 쓰는지, 어떤 작업을 할 수 있는지 적으세요. 조회 전용, 이체 데이터 작성, 승인과 실행을 나누면 지나치게 넓은 권한이 보입니다.
작성 권한과 승인·실행 권한을 분리하기
어떤 업체의 연결도 이체를 작성에서 실행까지 끝낼 수 없도록 하세요. 실행에 업체 시스템 밖의 사람의 승인이 필요하다면, 연결 하나가 침해되어도 자금은 움직이지 않습니다.
이체 대상과 금액에 한도와 보류를 설정하기
새 이체 대상, 비정상적인 금액, 빠른 연속 이체에 한도를 두고, 실행 전에 보류와 두 번째 경로의 확인을 추가하세요. 먼저 시도할 규칙: 금액과 관계없이 새 이체 대상으로의 모든 이체는 다른 사람이 전화 등 다른 경로로 확인할 때까지 보류합니다.
중단 절차를 미리 정해 두기
그룹은 감지 후 일부 거래를 중단했습니다. 사고 전에 누가 중단을 지시할 수 있는지, 어떻게 재개할지 정해 두세요. 고객 안내문을 미리 준비해 두면 더 빨리 알릴 수 있습니다.
조직 전체의 우선순위는 Security baseline for organizations(영어)에 있습니다.
출처 (공개 기록)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 서비스 제공업체의 이름과 침입 경위는 추측하지 않습니다.
- Crédit Mutuel Arkéa, "Crédit Mutuel Arkéa annonce avoir été victime d'une attaque"(보도자료, 2026년 11월 4일, 프랑스어) — cm-arkea.com (PDF)
- Crédit Mutuel Arkéa, "Informations complémentaires suite à l'attaque dont le Crédit Mutuel Arkéa a été victime"(보충 설명, 2026년 11월 4일, 프랑스어) — cm-arkea.com
- 그룹의 보도자료 목록(11월 7일 확인, 11월 4일의 두 건보다 새로운 것은 없음) — cm-arkea.com
업데이트 기록
2026-11-07: 첫 버전. 2026년 11월 4일 그룹의 보도자료와 보충 설명을 바탕으로 합니다(11월 7일 확인, 더 새로운 것은 찾지 못함). 그룹은 새로운 사실이 확인되는 대로 경과를 알리겠다고 밝혔습니다. 그러면 이 글을 업데이트하겠습니다.
다음으로 읽을 글
- 같은 유형의 사건(외부 업체의 시스템): 다이와 증권 위탁업체에 대한 무단 접근
- 암호화폐 탈취: Bitget 암호화폐 탈취(약 3억 8,750만 달러)
- 사기 메시지 대비: 피싱이란? / 다단계 인증을 올바르게 선택하기
- 조직 차원의 대비: Security baseline for organizations
- 2026년 기타 사건: 데이터 유출 및 사이버 공격(일본과 해외)