Cybersécurité africaine : le déficit n'est pas juridique, il est opérationnel

**Les pertes déclarées liées à la cybercriminalité en Afrique ont plus que doublé, alors que les grands traités sont en vigueur. Les opérations conjointes récentes montrent que l'efficacité dépend de la capacité des institutions à agir ensemble, bien plus que du nombre d'engagements signés.**

Un cadre juridique en place, des pertes qui s'envolent

L'économie numérique africaine progresse plus vite que sa capacité à la protéger. Le rapport 2026 d'INTERPOL sur la cybermenace africaine, qui s'appuie sur 36 pays, établit que l'intelligence artificielle intervient dans 55 % des cybercrimes déclarés. Les pertes déclarées sont passées de 192 millions de dollars en 2024 à 484 millions, soit environ 2,5 fois plus. Par ailleurs, 72 % des pays interrogés disent héberger des centres d'escroquerie sur leur sol.

Ce constat ne s'explique pas par un vide normatif. La Convention de l'Union africaine sur la cybersécurité et la protection des données personnelles, dite de Malabo, est entrée en vigueur en juin 2023. Le Maroc a de son côté adhéré en 2018 à la Convention de Budapest sur la cybercriminalité et signé en 2022 son deuxième protocole additionnel sur la preuve électronique. Le droit existe. Les pertes progressent malgré lui.

Le mécanisme : la preuve se disperse entre les acteurs

Une transaction frauduleuse implique rarement un seul acteur. Elle peut mobiliser un opérateur de mobile money, une banque, une entreprise de télécommunications, une plateforme d'échange de cryptoactifs et des infrastructures réparties dans plusieurs juridictions. Chacun détient un fragment de la preuve. Quand les demandes sont lentes ou les responsabilités floues, les enquêteurs perdent un temps précieux, pendant que les fonds circulent et que les traces s'effacent.

Un traité fixe les pouvoirs licites, les règles de recevabilité et les garanties. Il ne dit pas qui décroche le téléphone à trois heures du matin, ni en combien d'heures une banque transmet un renseignement exploitable. C'est cette couche opérationnelle, faite de canaux établis, d'objectifs partagés et de procédures répétées, qui fait ici défaut. Le dossier suggère donc de mesurer la coopération à ce que les institutions accomplissent ensemble plutôt qu'au nombre d'accords endossés.

Ce que montre l'opération Serengeti 2.0

L'action coordonnée produit pourtant des résultats concrets. Menée de juin à août 2025 par les services répressifs de 18 pays africains et du Royaume-Uni, avec l'appui de partenaires privés pour le renseignement et l'expertise technique, l'opération Serengeti 2.0 a conduit à 1 209 arrestations, au démantèlement de 11 432 infrastructures malveillantes et à la récupération de 97,4 millions de dollars.

Rapportée aux 484 millions de dollars de pertes déclarées, cette somme représente de l'ordre d'un cinquième. La comparaison est toutefois fragile : les périmètres, les périodes et le nombre de pays diffèrent. Elle indique seulement qu'une coopération organisée peut agir à une échelle significative.

S'entraîner avant la crise : l'enseignement de Locked Shields

Faut-il en tirer un équivalent africain de l'article 5 de l'OTAN, comme certains dirigeants l'ont évoqué ? Le dossier invite à la prudence. Même au sein de l'OTAN, l'invocation de la défense collective n'a rien d'automatique : chaque cas est apprécié individuellement par le Conseil de l'Atlantique Nord. La leçon la plus transposable est ailleurs, dans la préparation collective.

L'exercice annuel Locked Shields 2026 a réuni environ 4 000 participants issus de 41 pays pour défendre des systèmes numériques simulés contre des attaques complexes. Les équipes y ont testé leurs réponses techniques et affronté les difficultés de coordination propres aux crises. L'équipe gagnante, associant la Lettonie et Singapour, a aussi montré l'intérêt d'une coopération qui dépasse le cercle des membres de l'Alliance.

Un exercice continental récurrent pourrait simuler une attaque par rançongiciel contre un réseau électrique régional, une intrusion dans des plateformes de mobile money ou la compromission d'un système d'identité gouvernemental. Police, équipes de réponse aux incidents, régulateurs financiers, banques et opérateurs devraient enquêter, communiquer et décider ensemble. Pour être utile, il devrait exposer les faiblesses plutôt que mettre en scène des succès, avec des bilans assainis rendus publics.

Le cas marocain : capacité nationale, coopération à construire

Le Maroc illustre la distinction entre force nationale et coopération régionale. L'Union internationale des télécommunications l'a classé en 2024 dans la catégorie 1, la plus performante, de son indice mondial de cybersécurité, avec 97,5 points sur 100. En octobre 2026, le pays a lancé avec la Banque mondiale et la Smart Africa Digital Academy un programme de Cyber Academy destiné à renforcer le leadership en cybersécurité sur le continent. La Semaine marocaine de la cybersécurité, tenue à Rabat du 12 au 14 octobre 2026, a placé la coopération régionale à l'agenda.

Ces initiatives sont utiles, mais la formation des dirigeants ne remplace pas les compétences techniques : analystes de logiciels malveillants, répondants aux incidents, spécialistes de la criminalistique numérique. Il faut aussi des institutions capables de retenir ces profils et de financer leurs outils.

Les limites de l'analyse

Plusieurs réserves s'imposent. D'abord, les pertes proviennent de déclarations de 36 pays : la hausse peut refléter une meilleure remontée de l'information autant qu'une aggravation réelle. Ensuite, l'estimation selon laquelle la cybercriminalité coûterait en moyenne 10 % du PIB aux pays africains, citée par la Commission économique pour l'Afrique des Nations unies, ne doit pas être lue comme une perte annuelle vérifiée. Les méthodes divergent et les données officielles d'incidents restent incomplètes.

Surtout, rien dans les données disponibles ne prouve qu'un exercice conjoint réduit les pertes : le lien est plausible, mais non mesuré. La confiance pose enfin un problème de fond. Les banques et les opérateurs hésiteront à partager des informations sensibles si l'accès, les finalités et le contrôle ne sont pas définis, et les citoyens ont besoin de garanties contre un usage des pouvoirs de cybersécurité à des fins de surveillance illicite. Notons enfin que les extractions structurées de veille réglementaire et de marchés publics prévues pour cette analyse n'étaient pas exploitables : elle repose donc sur le seul dossier de presse.

Quatre priorités, une conclusion mesurée

Le dossier esquisse quatre chantiers : des normes communes de déclaration des incidents, un exercice africain de cyber-résilience financé et récurrent, des mécanismes sécurisés pour les demandes urgentes de preuves transfrontalières, et une supervision indépendante des renseignements partagés, assortie de règles d'accès claires et de protections de la vie privée.

La conclusion raisonnable est la suivante. Les chiffres disponibles montrent un cadre juridique installé, des pertes déclarées en forte hausse et des résultats tangibles quand les institutions agissent de concert. Ils ne permettent pas de chiffrer ce que rapporterait une généralisation de ces pratiques. Le test, pour la prochaine rencontre régionale, sera simple : des agences de pays différents peuvent-elles répéter une réponse conjointe, échanger des preuves en toute légalité et déclarer leurs incidents selon des standards comparables ? Si oui, la coopération sera passée de la déclaration à la capacité.

Cet article a ete redige avec l assistance de l intelligence artificielle et verifie par notre equipe editoriale.