Para: clientes do Crédit Mutuel Arkéa (incluindo o Crédit Mutuel de Bretagne, o Crédit Mutuel du Sud-Ouest e subsidiárias como a Fortuneo) e empresas que conectam fornecedores externos aos seus sistemas de pagamento e transferência. Este artigo se baseia nos comunicados oficiais do Crédit Mutuel Arkéa e não aborda métodos de ataque.
Em desenvolvimento: este artigo será atualizado conforme a organização publicar mais informações
- Quem é afetado
clientes do Crédit Mutuel Arkéa (incluindo o Crédit Mutuel de Bretagne, o Crédit Mutuel du Sud-Ouest e subsidiárias como a Fortuneo) e empresas que conectam fornecedores externos aos seus sistemas de pagamento e transferência.
- Confirmado até agoraVer a tabela ↓
- Transferências fraudulentas da própria conta
- Transferências a outros bancos
- Entrada pela plataforma de um prestador de serviços
Mais 2
- Algumas transferências executadas com atraso
- Parte dos fundos bloqueada
Apontado como possivelmente afetado
- Conversão em criptoativos
- Ainda não confirmado
- O valor final e quanto pode ser recuperado
- A plataforma do prestador de serviços e como a intrusão se desenrolou
- Se os fundos enviados a outros agentes bancários foram convertidos em criptoativos
Mais 2
- O resultado da investigação das autoridades
- A solução completa das transferências atrasadas
- O que fazer agoraVer os passos ↓
- Saiba se você foi afetado: as contas dos clientes não foram usadas
- Não abra links de mensagens que digam ser do grupo e não compartilhe segredos
- Confirme por um canal que você mesmo abra ou pergunte diretamente ao seu consultor
Mais 2
- Se uma transferência sua atrasou, confira no aplicativo oficial
- Empresas: listem as conexões e os privilégios dos prestadores (a primeira coisa a fazer)
- Onde verificar (fonte)Todas as fontes ↓
- Crédit Mutuel Arkéa, "Crédit Mutuel Arkéa annonce avoir été victime d'une attaque" (comunicado de imprensa, 4 de novembro de 2026, em francês)
- Última verificação
- Em 7 de novembro de 2026
Próximos avisos e o que verificamos
O grupo publicou um comunicado e um comunicado complementar em 4 de novembro e diz que informará sobre os desdobramentos assim que houver novos elementos. Verificamos a lista de comunicados de imprensa dele em 7 de novembro e não encontramos nada mais recente do que esses dois documentos.
O que clientes e empresas devem fazer hoje
Saiba se você foi afetado: as contas dos clientes não foram usadas
O grupo diz que os atacantes usaram a conta própria do Arkéa e não passaram pelas contas de clientes de suas federações ou subsidiárias. Diz que os ativos dos clientes não foram afetados e que apenas algumas transferências foram executadas com atraso.
Suas declarações não pedem aos clientes que troquem senhas nem tomem medidas semelhantes. Também não dizem se dados de clientes foram comprometidos (veja a tabela abaixo).
Não abra links de mensagens que digam ser do grupo e não compartilhe segredos
O grupo alerta que tentativas de phishing são possíveis após este ataque e pede aos clientes que nunca compartilhem identificador, senha, número do cartão nem o código de validação recebido por SMS.
Isso vale para mensagens que dizem "para concluir sua transferência" ou "para proteger sua conta". Uma mensagem que cita corretamente o que você viu no noticiário não prova que seja genuína (conselho deste site; veja O que é phishing).
Confirme por um canal que você mesmo abra ou pergunte diretamente ao seu consultor
Em caso de dúvida, o grupo diz para falar diretamente com seu consultor bancário para confirmar que uma mensagem é genuína.
Se você não tem consultor, este site sugere usar o aplicativo da sua tela inicial ou um site oficial que você mesmo salvou nos favoritos, não um link nem um número de telefone da mensagem.
Se uma transferência sua atrasou, confira no aplicativo oficial
O grupo diz que suspendeu temporariamente certas operações para evitar novas fraudes e que quase todas as operações voltaram na manhã de 4 de novembro. Confira o status de uma transferência atrasada no aplicativo ou site oficial que você mesmo abrir.
Uma mensagem que faça você inserir dados em uma página vinculada para "reiniciar uma transferência bloqueada" não é um passo que o grupo tenha descrito. Não a siga (conselho deste site).
Empresas: listem as conexões e os privilégios dos prestadores (a primeira coisa a fazer)
O grupo diz que o ataque chegou a ele pela plataforma de um prestador de serviços. Se você conecta prestadores externos aos seus sistemas de pagamento e transferência, comece listando qual prestador tem qual conexão e quais operações pode realizar.
Registre separadamente se cada um só pode visualizar, pode criar dados de transferência ou pode aprovar e executar. Os pontos de revisão são explicados na seção para empresas abaixo.
O que aconteceu (segundo os comunicados do Crédit Mutuel Arkéa)
O grupo publicou um comunicado em 4 de novembro de 2026 e, mais tarde no mesmo dia, um comunicado complementar respondendo às principais perguntas recebidas. Tudo o que segue se baseia nesses dois documentos.
Detecção (data não divulgada)
O grupo diz que um ataque permitiu operações fraudulentas. Depois de detectá-lo, seguiu os procedimentos habituais e informou as autoridades competentes e de supervisão, e suspendeu temporariamente certas operações para evitar novas movimentações fraudulentas.4 de novembro (quarta-feira), de manhã
As operações foram retomadas progressivamente. O grupo diz que quase todas já tinham voltado ao longo da manhã.4 de novembro
Comunicado e comunicado complementar (respostas a perguntas) publicados. O grupo diz que o incidente está encerrado e sob controle.7 de novembro
Este site verificou a lista de comunicados de imprensa do grupo. Não encontrou nada mais recente do que os dois documentos de 4 de novembro.
Atacantes externos
Descrito pelo grupo como um ataque externo sofisticado
↓ chegaram ao grupo pela plataforma de um prestador de serviços
Conta própria do Crédit Mutuel Arkéa
Contas de clientes das federações e subsidiárias não usadas (grupo)
↓ transferências a outros agentes bancários
Outros agentes bancários
Depois pode ter sido convertido em criptoativos (grupo). Parte dos fundos bloqueada
- O que aconteceu
- Um ataque permitiu operações fraudulentas. O grupo diz que o incidente está encerrado e sob controle (4 de novembro)
- Ponto de entrada (versão do grupo)
- Chegou ao grupo diretamente pela plataforma de um prestador de serviços. O prestador e o método não foram divulgados
- Conta usada
- A conta própria do Arkéa. As contas de clientes de suas federações e subsidiárias não foram usadas
- Para onde foi o dinheiro
- Transferências a outros agentes bancários, o que depois pode ter permitido aos atacantes converter o dinheiro em criptoativos por plataformas especializadas
- Negado pelo grupo
- Erro humano no Arkéa como causa. Reportagens de que a intrusão veio pela subsidiária de banco online (Fortuneo)
- Impacto nos clientes
- Nenhum impacto nos ativos dos clientes. Algumas transferências executadas com atraso. Quase todas as operações voltaram na manhã de 4 de novembro
- Valores envolvidos
- Em avaliação; ainda não está em condições de publicar um valor definitivo. Parte dos fundos bloqueada e ações de recuperação em andamento. O grupo diz que os valores não são de natureza a afetar sua solidez financeira
- Valor levantado na imprensa e nas perguntas
- Sobre os 118 milhões de euros (133 milhões de dólares) levantados como pergunta no comunicado complementar do grupo, ele não os confirmou e disse que a ordem de grandeza é válida
- Autoridades
- Autoridades competentes e de supervisão informadas conforme os procedimentos habituais; trabalha com as autoridades judiciais e policiais sobre a origem e o método
- Mensagem aos clientes
- O phishing é possível; nunca compartilhe identificador, senha, número do cartão nem código de validação por SMS; em caso de dúvida, fale diretamente com seu consultor bancário
- Tamanho do grupo (descrição do grupo)
- 12.073 funcionários e mais de 5,8 milhões de associados e clientes
O que se sabe e o que ainda não se sabe
A situação em 7 de novembro de 2026 (reflete o comunicado e o comunicado complementar de 4 de novembro). Esta tabela será reescrita quando houver novidades.
| Item | O que o grupo diz | Situação |
|---|---|---|
| Transferências fraudulentas da própria conta | Um ataque permitiu operações fraudulentas, usando a conta própria do Arkéa | Confirmado (empresa) |
| Transferências a outros bancos | Foram feitas transferências a outros agentes bancários | Confirmado (empresa) |
| Entrada pela plataforma de um prestador de serviços | Versão do grupo; prestador e método não divulgados | Confirmado (empresa) |
| Algumas transferências executadas com atraso | Algumas transferências atrasaram; quase todas voltaram na manhã de 4 de nov. | Confirmado (empresa) |
| Parte dos fundos bloqueada | Parte dos fundos foi bloqueada; ações de recuperação em andamento | Confirmado (empresa) |
| Conversão em criptoativos | Pode ter sido possível por meio de outros agentes bancários | Possível (empresa) |
| Efeito sobre os ativos dos clientes | Nenhum | Não incluído (empresa) |
| Contas de clientes ou de subsidiárias usadas | Não foram | Não incluído (empresa) |
| Erro humano no Arkéa como causa | Negado; um ataque externo sofisticado | Não incluído (empresa) |
| Intrusão pela subsidiária de banco online (Fortuneo) | Negado; chegou ao grupo diretamente pela plataforma de um prestador | Não incluído (empresa) |
| Dados pessoais de clientes | Não informado (a P7 descreve um alerta preventivo; sem declaração sobre se dados vazaram) | Não informado |
| Valores envolvidos | Em avaliação. Sobre os 118 milhões de euros levantados na pergunta do comunicado complementar, não confirmados, ordem de grandeza válida; valor definitivo ainda não publicado | Em investigação |
| Valor recuperável | Ações de recuperação em andamento; nenhum valor publicado | Em investigação |
| Prestador de serviços e método | Não divulgados; sendo estabelecidos com as autoridades | Em investigação |
| Contato com as autoridades | Autoridades competentes e de supervisão informadas; autoridades judiciais e policiais trabalham com o grupo | Feito |
Como ler o valor: o número não é um que o grupo tenha confirmado
118 milhões de euros é um valor da imprensa e de uma pergunta do comunicado complementar do grupo. O grupo não o confirmou, disse apenas que a ordem de grandeza é válida e que ainda não está em condições de publicar um valor definitivo.
Por isso este site não trata o valor como um número do grupo. Reescreveremos este artigo quando o grupo informar um valor definitivo.
No que esse tipo de caso pode resultar
Como diz o grupo, os ativos dos clientes não foram afetados. Duas coisas ainda podem importar aos usuários. O que segue é o que, em geral, pode acontecer numa situação assim, não algo que o grupo tenha dito que aconteceu aqui.
- Quando um incidente ou fraude bancária vira notícia, costuma circular phishing baseado em "verificar sua conta", "reiniciar uma transferência bloqueada" ou "compensação". Conhecer a notícia basta para fazer uma mensagem assim parecer genuína
- Quando o sistema de um prestador é a porta de entrada, as telas e os procedimentos do banco continuam genuínos e os clientes não veem nada diferente. O que os clientes podem fazer é, sobretudo, não responder a mensagens falsas
O que as empresas devem revisar: conexões de prestadores aos sistemas de pagamento e transferência
O que se sabe: o ataque chegou ao grupo pela plataforma de um prestador de serviços, dinheiro foi enviado de sua conta própria a outros agentes bancários, e o grupo diz que seus sistemas identificaram rapidamente atividade suspeita e que suspendeu certas operações. O método não foi divulgado, então aqui só se dão pontos gerais de revisão que decorrem da sequência divulgada. Eles não significam que o grupo ou seu prestador deixaram de fazê-los.
Liste as conexões e os privilégios dos prestadores
Para cada prestador externo envolvido em pagamentos e transferências, anote como ele se conecta, qual conta usa e quais operações pode realizar. Separar apenas visualizar, criar dados de transferência, aprovar e executar mostrará privilégios amplos demais.
Separe o direito de criar do direito de aprovar e executar
Verifique se nenhuma conexão de prestador consegue levar uma transferência da criação até a execução. Se a execução exige aprovação de uma pessoa fora do sistema do prestador, o comprometimento de uma única conexão não move fundos.
Defina limites e retenções por destino e valor
Coloque limites em novos destinos, valores incomuns e séries rápidas de transferências, e adicione uma retenção e uma confirmação por um segundo canal antes da execução. Uma primeira regra para testar: reter toda transferência para um novo destino, seja qual for o valor, até que uma segunda pessoa a confirme por telefone ou outro canal.
Decida de antemão o procedimento de parada
O grupo suspendeu certas operações após a detecção. Decida antes de um incidente quem pode ordenar uma parada e como retomar. Um aviso aos clientes preparado de antemão também permite comunicar mais rápido.
As prioridades para toda a organização estão em Base de segurança para organizações.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas informações públicas abaixo. Não especulamos sobre o nome do prestador de serviços nem sobre como a intrusão ocorreu, que não foram divulgados.
- Crédit Mutuel Arkéa, "Crédit Mutuel Arkéa annonce avoir été victime d'une attaque" (comunicado de imprensa, 4 de novembro de 2026, em francês) — cm-arkea.com (PDF)
- Crédit Mutuel Arkéa, "Informations complémentaires suite à l'attaque dont le Crédit Mutuel Arkéa a été victime" (comunicado complementar, 4 de novembro de 2026, em francês) — cm-arkea.com
- A lista de comunicados de imprensa do grupo (verificada em 7 de novembro; nada mais recente do que os dois documentos de 4 de novembro) — cm-arkea.com
Histórico de atualizações
2026-11-07: Primeira versão. Baseada no comunicado e no comunicado complementar do grupo de 4 de novembro de 2026 (verificados em 7 de novembro; nada mais recente foi encontrado). O grupo diz que informará sobre os desdobramentos assim que houver novos elementos. Atualizaremos este artigo quando isso acontecer.
Leia em seguida
- Mesmo tipo de caso (sistemas de um prestador externo): Acesso não autorizado a um terceirizado da Daiwa Securities
- Um roubo de criptoativos: Roubo de criptoativos na Bitget (cerca de US$ 387,5 milhões)
- Preparar-se para mensagens de golpe: O que é phishing / Como escolher a autenticação multifator
- Preparação em nível de organização: Base de segurança para organizações
- Outros incidentes de 2026: Vazamentos de dados e ataques cibernéticos (Japão e exterior)