Cybercriminalité en Afrique : ce que le rapport INTERPOL 2026 dit vraiment aux organisations

Publié en juin 2026, l'African Cyberthreat Assessment Report d'INTERPOL agrège les réponses de trente-six pays africains et les recoupe avec la télémétrie de partenaires privés. On l'a beaucoup commenté pour ses chiffres. Il mérite surtout d'être lu pour ce qu'il dit du droit : dès son introduction, il n'aborde pas la menace par la technique, mais par l'état des législations, la maturité des unités spécialisées de lutte contre la cybercriminalité et le degré d'adhésion aux conventions internationales.

Le diagnostic tient en une phrase, que le rapport applique aux violations de données : elles « ne sont pas une défaillance technique, ce sont une défaillance de gouvernance ». Autrement dit, l'essentiel des remèdes identifiés relève de la norme, du contrat et de l'organisation — pas de l'outil.

Un rapport qui parle droit avant de parler technique

Là où l'on attendait un inventaire de logiciels malveillants, INTERPOL ouvre sur un état des lieux normatif. Quatre pays répondants sur cinq disposent d'une loi dédiée à la cybercriminalité ; les autres s'appuient encore sur des dispositions générales vieillies ou achèvent leur rédaction. Le rapport observe surtout que la loi ne suffit pas : ce qui distingue les États les plus résilients, ce sont des unités nationales spécialisées, des laboratoires de criminalistique numérique, des procureurs et des magistrats formés à la preuve électronique — bref, une chaîne pénale outillée, et non un texte isolé.

L'année 2025 a d'ailleurs été législativement dense. Dix-sept pays ont adopté ou modifié une législation cyber. La Côte d'Ivoire a fait voter une loi sur la sécurité numérique alignée sur les standards internationaux ; la Zambie a mis en application un texte définissant harcèlement en ligne, protection des données et fraude numérique ; Maurice a créé une agence nationale de cyber-résilience ; l'Angola a institué un centre national de cybersécurité doté d'un pouvoir réglementaire ; le Kenya a fait progresser un amendement ciblant l'échange frauduleux de cartes SIM ; le Soudan du Sud a créé un département national dédié aux infractions numériques au sein de son ministère de la Justice. Le mouvement est net : la cybersécurité migre du registre technique vers celui de la norme opposable.

La carte des menaces, et ce qu'elle révèle du droit applicable

La figure 1 ci-dessus mérite une lecture juridique. Les trois premiers postes — arnaques en ligne, sextorsion et cyberharcèlement, usurpation d'identité et fraude financière — représentent près de la moitié des cas signalés. Or ce sont précisément les incriminations dont les définitions varient le plus d'un État à l'autre. Le rapport relève que certaines juridictions excluent encore de leur définition de la cybercriminalité le cryptojacking, le harcèlement en ligne, la fabrication d'hypertrucages ou la traite des êtres humains en ligne, créant de véritables refuges juridiques pour des réseaux qui déplacent leurs opérations en quelques jours.

L'Afrique de l'Ouest occupe une position particulière : elle est identifiée comme la région la plus active du continent en matière de compromission de messagerie professionnelle (Business Email Compromise). Le rapport documente, dans le cadre de l'opération Sentinel, une tentative de détournement de 7,9 millions de dollars visant une compagnie pétrolière depuis le Sénégal — le compte destinataire a pu être gelé à temps, ce qui illustre autant l'ampleur du risque que l'efficacité d'une coopération rapide. Le Cap-Vert et le Nigeria figurent parmi les pays les plus exposés aux rançongiciels, tandis que la fraude à la monnaie mobile est signalée par la quasi-totalité des pays répondants.

« Tant que la protection des données ne sera pas traitée comme un impératif de sécurité nationale — avec des normes opposables, une supervision indépendante et une notification obligatoire —, chaque service numérique en Afrique restera un point d'entrée potentiel. »

Rapport INTERPOL 2026, chapitre consacré aux violations de données.

Trois instruments internationaux, un même impératif d'harmonisation

Le rapport articule sa lecture autour de trois textes. La Convention de Malabo de l'Union africaine sur la cybersécurité et la protection des données personnelles, à laquelle plusieurs législations nationales se réfèrent désormais explicitement. La Convention de Budapest du Conseil de l'Europe, dont treize États africains seulement sont parties, et dont les mécanismes les plus utiles — l'assistance internationale permanente et l'échange spontané d'informations — restent inégalement opérationnels. Et la Convention des Nations unies contre la cybercriminalité, signée à Hanoï en octobre 2025, que vingt et un États africains avaient signée à la date de rédaction du rapport.

L'existence de ces instruments ne règle rien à elle seule. Le rapport insiste sur le décalage entre adhésion et mise en œuvre : absence de cadre régional unifié pour l'échange de preuves numériques, procédures d'entraide judiciaire ralenties par des points de contact incertains, politiques de conservation des données divergentes entre opérateurs. Si une majorité de pays jugent leur cadre satisfaisant, près d'un tiers réclament une réforme urgente, portant précisément sur la préservation de la preuve numérique, l'accès transfrontalier aux données et l'incrimination des fraudes facilitées par l'intelligence artificielle. Les recommandations stratégiques d'INTERPOL vont dans le même sens : réseaux de contact permanents, procédures d'urgence pour les demandes de données, normalisation des durées de conservation chez les opérateurs et les acteurs financiers, appui régional par AFRIPOL et les communautés économiques régionales.

Autorités de protection des données et autorités de cybersécurité : le chaînon manquant

C'est peut-être le constat le plus utile aux organisations. Dans la plupart des États, deux régulateurs coexistent : l'autorité nationale de protection des données, qui contrôle la licéité et la sécurité des traitements, et l'agence nationale de cybersécurité ou l'équipe nationale de réponse à incident, qui traite la menace. Le rapport relève que la collaboration entre forces de l'ordre et CERT/CSIRT est élevée en Afrique de l'Est, seulement modérée en Afrique de l'Ouest, inégale en Afrique australe et peu développée en Afrique centrale — et qu'il manque le plus souvent des procédures normalisées de remise de preuve et d'investigation conjointe.

Pour une entreprise, cette architecture a une conséquence très concrète : un même incident déclenche deux régimes. Une intrusion suivie d'une exfiltration de fichiers clients est simultanément un incident de sécurité, notifiable à l'autorité ou à l'agence compétente en matière de cybersécurité selon le secteur, et une violation de données personnelles, notifiable à l'autorité de protection des données, avec des délais, des destinataires et des contenus de notification distincts. Les organisations qui traitent les deux volets dans le même dossier — même procédure, même journal d'incident, mêmes preuves de diligence — sont celles qui tiennent le choc.

La violation de données n'est pas une panne, c'est une faute de gouvernance

Les vulnérabilités exploitées en 2025 n'étaient, selon le rapport, « ni exotiques, ni nouvelles » : routeurs non mis à jour, réseaux privés virtuels vulnérables, plateformes documentaires mal configurées, toutes publiquement documentées. La fuite qui a exposé les données d'un demi-million de clients d'un opérateur télécom namibien n'a pas résulté d'une attaque sophistiquée, mais d'un portail d'administration laissé accessible depuis l'Internet public.

Ces données alimentent ensuite tout le reste. Le rapport observe une forte progression des contenus d'origine africaine sur les places de marché clandestines — pièces d'identité, codes de cartes SIM, identifiants bancaires, comptes de monnaie mobile. Une violation n'est jamais un événement isolé : c'est la matière première des fraudes qui suivront, parfois des années plus tard. En termes de responsabilité, la question n'est donc plus de savoir si l'organisation a été « victime », mais si elle a mis en œuvre les mesures techniques et organisationnelles appropriées que toutes les législations de la région, quel que soit leur degré de maturité, lui imposent déjà.

L'IA déplace la frontière entre licéité et sécurité

Plus d'une affaire sur deux implique désormais l'intelligence artificielle. L'usage documenté le plus déstabilisant n'est pas le logiciel malveillant autonome, mais l'identité synthétique : des personas fabriqués capables de franchir des contrôles biométriques et des procédures de connaissance du client. Ce point est juridiquement redoutable, car il fragilise en même temps deux choses — l'efficacité du contrôle d'identité, et la justification même du traitement biométrique mis en œuvre pour l'assurer. Une organisation qui collecte des données biométriques au motif qu'elles sont plus fiables doit désormais pouvoir démontrer que ce postulat tient encore.

Le rapport recommande d'ailleurs, à l'attention des autorités comme des entreprises, une montée en compétence sur l'IA adverse plutôt que l'achat d'outils : savoir reconnaître une voix de synthèse, une identité forgée, un schéma d'hameçonnage automatisé. Cette exigence rejoint une obligation classique — la sensibilisation documentée des personnels exposés — dont l'INTERPOL rappelle qu'elle reste déterminante, une large part des incidents en Afrique centrale et de l'Ouest étant liée au comportement des employés.

Ce que cela change concrètement pour votre organisation

Un rapport de menace ne devient utile que traduit en obligations. Six chantiers ressortent directement des constats d'INTERPOL — et ils se pensent, désormais, en régime combiné données et cybersécurité :

• Cartographier les traitements et la surface exposée. Registre ou liste des traitements d'un côté, inventaire des interfaces accessibles depuis l'extérieur et revue des comptes d'administration de l'autre : les deux documents doivent se lire ensemble.
• Écrire une procédure d'incident unique à deux sorties. Qui qualifie, qui notifie à l'autorité de protection des données, qui notifie à l'agence de cybersécurité ou au CERT compétent, dans quels délais, avec quelles preuves de diligence.
• Encadrer contractuellement les sous-traitants. Hébergeurs, prestataires de paie, éditeurs de solutions en ligne : la responsabilité du responsable de traitement ne se sous-traite pas, et les obligations de sécurité doivent être stipulées, auditables et assorties de délais d'alerte.
• Sécuriser juridiquement les flux transfrontaliers et vérifier les formalités exigées par l'autorité de protection des données de chaque juridiction où vous opérez.
• Formaliser les contrôles anti-fraude aux virements — double validation de tout changement de coordonnées bancaires, canal de confirmation hors messagerie — et documenter la formation des équipes financières et achats.
• Vérifier votre statut sectoriel. Opérateurs de services essentiels, opérateurs de communications électroniques, établissements financiers et prestataires de services sur actifs numériques : les régimes d'audit, de conservation et de signalement diffèrent et se cumulent.

Enfin, la fragmentation juridique que dénonce INTERPOL explique pourquoi les initiatives régionales comptent. La révision de l'acte additionnel de la CEDEAO sur la protection des données, adoptée le 19 juillet 2026, et le mécanisme régional de coordination en matière de cybersécurité approuvé au même sommet répondent point par point aux recommandations du rapport.