適用對象：Crédit Mutuel Arkéa 的客戶（包括 Crédit Mutuel de Bretagne、Crédit Mutuel du Sud-Ouest 以及 Fortuneo 等子公司），以及把外部服務供應商接入其支付與轉帳系統的企業。本文依據 Crédit Mutuel Arkéa 的官方聲明，不涉及攻擊手法。
進行中：本文將隨機構發布更多資訊而更新
- 適用對象
Crédit Mutuel Arkéa 的客戶（包括 Crédit Mutuel de Bretagne、Crédit Mutuel du Sud-Ouest 以及 Fortuneo 等子公司），以及把外部服務供應商接入其支付與轉帳系統的企業。
- 已確認的影響範圍查看表格 ↓
- 從其自有帳戶發生詐欺轉帳
- 向其他銀行轉帳
- 經由服務供應商的平台進入
另外2項
- 部分轉帳被延遲執行
- 部分資金被凍結
列為可能涉及的項目
- 轉換為加密貨幣
- 尚未確認的事項
- 最終金額及可追回的部分
- 服務供應商的平台以及入侵的經過
- 發給其他銀行業參與者的資金是否被轉換為加密貨幣
另外2項
- 當局調查的結果
- 被延遲轉帳的全部處理完畢
- 現在要做的事查看步驟 ↓
- 弄清自己是否受影響：客戶帳戶未被使用
- 不要打開自稱來自該集團的訊息中的連結，也不要透露任何機密
- 透過自己開啟的管道核實，或直接詢問您的顧問
另外2項
- 若您的轉帳被延遲，請在官方應用程式中查看
- 企業：列出服務供應商的連線與權限（首先要做的事）
- 查證來源（出處）全部來源 ↓
- Crédit Mutuel Arkéa，〈Crédit Mutuel Arkéa annonce avoir été victime d'une attaque〉（新聞稿，2026年11月4日，法文）— cm-arkea.com（PDF）
- 最後查證
- 截至2026年11月7日
續報計畫與查證紀錄
該集團於11月4日發布了新聞稿與補充聲明，並稱一旦有新的情況，將就進展發布資訊。我們於11月7日查看了其新聞稿列表，沒有發現比這兩份更新的內容。
客戶與企業今天該做什麼
弄清自己是否受影響：客戶帳戶未被使用
該集團稱，攻擊者使用的是 Arkéa 的自有帳戶，沒有經過其聯合會或子公司客戶的帳戶。它稱客戶資產未受影響，只有部分轉帳被延遲執行。
其聲明沒有要求客戶更換密碼或採取類似措施，也沒有說明是否有客戶資料外洩（見下表）。
不要打開自稱來自該集團的訊息中的連結，也不要透露任何機密
該集團提醒，這次攻擊之後可能出現網路釣魚企圖，並請客戶切勿透露其 ID、密碼、卡號或透過簡訊收到的驗證碼。
這同樣適用於聲稱「為完成您的轉帳」或「為保護您的帳戶」的訊息。一則訊息準確提到了您在新聞中看到的內容，並不能證明它是真的（本站的建議；參見什麼是網路釣魚？）。
透過自己開啟的管道核實，或直接詢問您的顧問
如有疑問，該集團建議直接聯絡您的銀行顧問，以確認訊息是否真實。
若您沒有顧問，本站建議使用主畫面上的應用程式，或您自己加入書籤的官方網站，而不是訊息中的連結或電話號碼。
若您的轉帳被延遲，請在官方應用程式中查看
該集團稱，它為防止進一步的詐欺而暫時中止了某些交易，幾乎所有業務已於11月4日上午恢復。請在您自己開啟的官方應用程式或網站中查看被延遲轉帳的狀態。
要求您在連結頁面輸入資料以「重新啟動被凍結的轉帳」的訊息，不是該集團所描述的步驟。請不要照做（本站的建議）。
企業：列出服務供應商的連線與權限（首先要做的事）
該集團稱，攻擊經由一家服務供應商的平台進入。若您把外部服務供應商接入了支付與轉帳系統，請首先列出哪家供應商擁有哪些連線、可以執行哪些操作。
分別記錄每一個連線是只能檢視、可以建立轉帳資料，還是可以核准並執行。檢查要點見下文面向企業的部分。
事件經過（來自 Crédit Mutuel Arkéa 的聲明）
該集團於2026年11月4日發布了新聞稿，並在當天稍晚發布了回答其收到的主要問題的補充聲明。以下內容均依據這兩份文件。
發現（日期未公布）
該集團稱，一次攻擊導致發生詐欺性交易。發現後，它依照慣常程序通知了主管與監管當局，並暫時中止了某些交易，以防止進一步的詐欺性資金流動。11月4日（週三）上午
業務逐步恢復。該集團稱幾乎所有業務已於上午恢復。11月4日
發布新聞稿與補充聲明（問答）。該集團稱事件已結束並受到控制。11月7日
本站查看了該集團的新聞稿列表。沒有發現比11月4日這兩份更新的內容。
外部攻擊者
該集團稱之為一次複雜的外部攻擊
↓ 經由一家服務供應商的平台進入該集團
Crédit Mutuel Arkéa 的自有帳戶
聯合會與子公司客戶的帳戶未被使用（該集團）
↓ 向其他銀行業參與者轉帳
其他銀行業參與者
之後可能被轉換為加密貨幣（該集團）。部分資金已被凍結
- 發生了什麼
- 一次攻擊導致發生詐欺性交易。該集團稱事件已結束並受到控制（11月4日）
- 入口（該集團的說法）
- 直接經由一家服務供應商的平台進入該集團。供應商與手法均未公布
- 被使用的帳戶
- Arkéa 的自有帳戶。其聯合會與子公司客戶的帳戶未被使用
- 資金去向
- 轉給其他銀行業參與者，之後可能讓攻擊者得以透過專業平台將資金轉換為加密貨幣
- 該集團否認的內容
- 原因是 Arkéa 的人為疏失。媒體報導稱入侵經由其網路銀行子公司（Fortuneo）
- 對客戶的影響
- 對客戶資產沒有影響。部分轉帳被延遲執行。幾乎所有業務已於11月4日上午恢復
- 涉及的金額
- 評估中；尚未到公布最終金額的階段。部分資金已被凍結，追回行動正在進行。該集團稱這些金額不足以影響其財務穩健性
- 媒體與問答中提出的數字
- 對於該集團補充聲明中作為問題提出的1.18億歐元（1.33億美元），該集團沒有確認，但稱數量級屬實
- 當局
- 已依慣常程序通知主管與監管當局；正與司法及警方部門合作查明來源與手法
- 給客戶的訊息
- 可能出現網路釣魚；切勿透露 ID、密碼、卡號或簡訊驗證碼；如有疑問，請直接聯絡您的銀行顧問
- 集團規模（該集團的描述）
- 12,073名員工，以及超過580萬名會員與客戶
已知與未知
以下為截至2026年11月7日的狀態（反映11月4日的新聞稿與補充聲明）。出現後續資訊時，我們會改寫此表。
| 項目 | 該集團所述內容 | 狀態 |
|---|---|---|
| 從其自有帳戶發生詐欺轉帳 | 一次攻擊導致發生詐欺性交易，使用的是 Arkéa 的自有帳戶 | 已確認（公司） |
| 向其他銀行轉帳 | 向其他銀行業參與者轉了帳 | 已確認（公司） |
| 經由服務供應商的平台進入 | 該集團的說法；供應商與手法未公布 | 已確認（公司） |
| 部分轉帳被延遲執行 | 部分轉帳被延遲；幾乎所有業務已於11月4日上午恢復 | 已確認（公司） |
| 部分資金被凍結 | 部分資金已被凍結；追回行動正在進行 | 已確認（公司） |
| 轉換為加密貨幣 | 可能已透過其他銀行業參與者實現 | 有可能（公司） |
| 對客戶資產的影響 | 無 | 不包括（公司） |
| 客戶或子公司帳戶被使用 | 沒有被使用 | 不包括（公司） |
| 原因是 Arkéa 的人為疏失 | 否認；一次複雜的外部攻擊 | 不包括（公司） |
| 入侵經由網路銀行子公司（Fortuneo） | 否認；直接經由供應商的平台進入該集團 | 不包括（公司） |
| 客戶個人資料 | 未說明（問7描述的是預防性提醒；沒有關於資料是否外洩的說明） | 未說明 |
| 涉及的金額 | 評估中。對於補充聲明的問題中提出的1.18億歐元，未確認，數量級屬實；最終金額尚未公布 | 調查中 |
| 可追回的金額 | 追回行動正在進行；未公布金額 | 調查中 |
| 服務供應商與手法 | 未公布；正與當局一起查明 | 調查中 |
| 與當局的聯繫 | 已通知主管與監管當局；司法及警方部門正與該集團合作 | 已完成 |
如何理解金額：這個數字不是該集團確認的
1.18億歐元是來自媒體與該集團補充聲明中某個問題的數字。該集團沒有確認，只說數量級屬實，並稱尚未到公布最終金額的階段。
因此本站不把這一金額當作該集團的數字。待該集團給出最終數字後，我們會改寫本文。
這類事件可能帶來什麼
正如該集團所說，客戶資產未受影響。不過有兩件事仍可能對使用者有影響。以下是在這類情形下通常可能發生的情況，並非該集團所說在此處發生的事情。
- 銀行的事件或詐欺成為新聞時，圍繞「核對您的帳戶」「重新啟動被凍結的轉帳」或「補償」的網路釣魚往往會流傳。知道這則新聞，就足以讓這類訊息看起來像真的
- 當入口是服務供應商的系統時，銀行的畫面與流程仍是真實的，客戶看不出任何不同。客戶能做的，主要就是不理會假訊息
企業應檢查什麼：服務供應商接入支付與轉帳系統的連線
已知的情況是：攻擊經由一家服務供應商的平台進入該集團，資金從其自有帳戶轉給了其他銀行業參與者，該集團稱其系統很快發現了可疑活動，並中止了某些交易。手法尚未公布，因此這裡只給出從已公布的經過中得出的一般檢查要點。這並不表示該集團或其供應商沒有做到這些。
列出服務供應商的連線與權限
對每一家參與支付與轉帳的外部供應商，寫下它如何連線、使用哪個帳戶、可以執行哪些操作。把僅檢視、建立轉帳資料、核准與執行分開，就能發現過寬的權限。
把建立權限與核准、執行權限分開
檢查是否有任何供應商連線能把一筆轉帳從建立一路帶到執行。若執行需要供應商系統之外的人來核准，僅一個連線被攻破就不會轉移資金。
對收款對象與金額設置限額與暫扣
對新的收款對象、異常金額與快速連續的轉帳設置限額，並在執行前增加暫扣與第二管道確認。可以先試行的一條規則：無論金額多少，對新收款對象的每筆轉帳都暫扣，直到第二個人透過電話或其他管道確認。
事先確定停止流程
該集團在發現後中止了某些交易。請在事件發生前確定誰有權下令停止，以及如何恢復。預先準備好的客戶通知，也能讓您更快地溝通。
面向組織的優先事項見組織資安基準。
資料來源（公開紀錄）
本文的事實依據下列公開資訊。對於服務供應商的名稱，以及入侵是如何發生的（均未公布），我們不做臆測。
- Crédit Mutuel Arkéa，〈Crédit Mutuel Arkéa annonce avoir été victime d'une attaque〉（新聞稿，2026年11月4日，法文）— cm-arkea.com（PDF）
- Crédit Mutuel Arkéa，〈Informations complémentaires suite à l'attaque dont le Crédit Mutuel Arkéa a été victime〉（補充聲明，2026年11月4日，法文）— cm-arkea.com
- 該集團的新聞稿列表（11月7日查看；沒有比11月4日這兩份更新的內容）— cm-arkea.com
更新紀錄
2026-11-07：首版。依據該集團2026年11月4日的新聞稿與補充聲明（11月7日查看；沒有發現更新的內容）。該集團稱，一旦有新的情況，將就進展發布資訊。屆時我們會更新本文。
延伸閱讀
- 同類案例（外部服務供應商的系統）：大和證券委外廠商遭未經授權存取
- 加密貨幣失竊案例：Bitget 加密資產遭竊（約3.875億美元）
- 為因應詐騙訊息做準備：什麼是網路釣魚？ / 正確選擇多因素驗證
- 組織層面的準備：組織資安基準
- 2026年其他事件：資料外洩與網路攻擊（日本及海外）