Cybercriminalité en Afrique : ce que le rapport INTERPOL 2026 dit vraiment aux organisations

Publié en juin 2026, l’African Cyberthreat Assessment Report d’INTERPOL agrège les réponses de trente-six pays africains et la télémétrie de partenaires privés. On l’a commenté pour ses chiffres. Il vaut surtout pour ce qu’il dit du droit : son introduction n’aborde pas la menace par la technique, mais par l’état des législations, la maturité des unités spécialisées et le degré d’adhésion aux conventions internationales.

Le diagnostic tient en une phrase, que le rapport applique aux violations de données : elles « ne sont pas une défaillance technique, ce sont une défaillance de gouvernance ». L’essentiel des remèdes relève donc de la norme, du contrat et de l’organisation, pas de l’outil.

Un rapport qui parle droit avant de parler technique

Là où l’on attendait un inventaire de logiciels malveillants, INTERPOL ouvre sur un état des lieux normatif. Quatre pays répondants sur cinq disposent d’une loi dédiée à la cybercriminalité ; les autres s’appuient sur des dispositions générales vieillies. Mais la loi ne suffit pas : ce qui distingue les États résilients, ce sont des unités nationales spécialisées, des laboratoires de criminalistique numérique et des magistrats formés à la preuve électronique. Une chaîne pénale outillée, non un texte isolé.

L’année 2025 l’a montré : dix-sept pays ont adopté ou modifié une législation cyber. La Côte d’Ivoire a voté une loi sur la sécurité numérique alignée sur les standards internationaux ; la Zambie a défini harcèlement en ligne, protection des données et fraude numérique ; l’Île Maurice a créé une agence nationale de cyber-résilience ; l’Angola, un centre national de cybersécurité doté d’un pouvoir réglementaire. La cybersécurité migre du registre technique vers celui de la norme opposable.

La carte des menaces, et ce qu’elle révèle du droit applicable

La figure 1 appelle une lecture juridique. Les trois premiers postes (arnaques en ligne, sextorsion et cyberharcèlement, usurpation d’identité et fraude financière) représentent près de la moitié des cas signalés. Ce sont précisément les incriminations dont les définitions varient le plus : certaines juridictions excluent encore le cryptojacking, le harcèlement en ligne, la fabrication d’hypertrucages ou la traite des êtres humains en ligne. Autant de refuges juridiques pour des réseaux qui déplacent leurs opérations en quelques jours.

L’Afrique de l’Ouest est la région la plus active du continent en matière de compromission de messagerie professionnelle. Dans le cadre de l’opération Sentinel, le rapport documente une tentative de détournement de 7,9 millions de dollars visant une compagnie pétrolière depuis le Sénégal ; le compte destinataire a été gelé à temps. Le Cap-Vert et le Nigeria comptent parmi les pays les plus exposés aux rançongiciels, et la quasi-totalité des répondants signale la fraude à la monnaie mobile.

« Tant que la protection des données ne sera pas traitée comme un impératif de sécurité nationale (avec des normes opposables, une supervision indépendante et une notification obligatoire), chaque service numérique en Afrique restera un point d’entrée potentiel. »

Rapport INTERPOL 2026, chapitre consacré aux violations de données.

Trois instruments internationaux, un même impératif d’harmonisation

Le rapport s’articule autour de trois textes. La Convention de Malabo de l’Union africaine, à laquelle plusieurs législations nationales se réfèrent désormais explicitement. La Convention de Budapest, dont treize États africains seulement sont parties et dont les mécanismes les plus utiles restent inégalement opérationnels. Enfin la Convention des Nations unies contre la cybercriminalité, signée à Hanoï en octobre 2025 et déjà signée par vingt et un États africains.

Leur existence ne règle rien. Le décalage se creuse entre adhésion et mise en œuvre : pas de cadre régional unifié pour l’échange de preuves numériques, entraide judiciaire ralentie par des points de contact incertains, durées de conservation divergentes d’un opérateur à l’autre. Près d’un tiers des pays réclament une réforme urgente sur la preuve numérique, l’accès transfrontalier aux données et l’incrimination des fraudes facilitées par l’intelligence artificielle.

Autorités de protection des données et autorités de cybersécurité : le chaînon manquant

Dans la plupart des États, deux régulateurs coexistent : l’autorité nationale de protection des données, qui contrôle la licéité et la sécurité des traitements, et l’agence nationale de cybersécurité ou l’équipe nationale de réponse à incident, qui traite la menace. Leur collaboration avec les forces de l’ordre est jugée élevée en Afrique de l’Est, modérée en Afrique de l’Ouest, inégale en Afrique australe, peu développée en Afrique centrale ; les procédures normalisées de remise de preuve manquent presque partout.

Pour une entreprise, la conséquence est directe : un même incident déclenche deux régimes. Une intrusion suivie d’une exfiltration de fichiers clients est à la fois un incident de sécurité, notifiable à l’agence compétente, et une violation de données personnelles, notifiable à l’autorité de protection : délais, destinataires et contenus distincts. Tiennent le choc celles qui traitent les deux volets dans un même dossier.

La violation de données n’est pas une panne, c’est une faute de gouvernance

Les vulnérabilités exploitées en 2025 n’étaient « ni exotiques, ni nouvelles » : routeurs non mis à jour, réseaux privés virtuels vulnérables, plateformes documentaires mal configurées, toutes publiquement documentées. La fuite qui a exposé un demi-million de clients d’un opérateur télécom namibien tient à un portail d’administration accessible depuis l’Internet public.

Ces données alimentent le reste : les contenus d’origine africaine progressent fortement sur les places de marché clandestines, pièces d’identité, codes de cartes SIM, identifiants bancaires, comptes de monnaie mobile. Une violation n’est jamais un événement isolé, c’est la matière première des fraudes à venir. La question n’est plus de savoir si l’organisation a été « victime », mais si elle a mis en œuvre les mesures techniques et organisationnelles appropriées que toutes les législations de la région lui imposent déjà.

L’IA déplace la frontière entre licéité et sécurité

Plus d’une affaire sur deux implique l’intelligence artificielle. L’usage le plus déstabilisant n’est pas le logiciel malveillant autonome, mais l’identité synthétique : des personnages fabriqués capables de franchir contrôles biométriques et procédures de connaissance du client. Juridiquement, le coup est double, car il atteint l’efficacité du contrôle d’identité et la justification même du traitement biométrique censé l’assurer. Qui collecte des données biométriques parce qu’elles seraient plus fiables doit désormais pouvoir le démontrer.

D’où la recommandation d’INTERPOL : monter en compétence sur l’IA adverse plutôt qu’acheter des outils : reconnaître une voix de synthèse, une identité forgée, un schéma d’hameçonnage automatisé. Elle rejoint une obligation classique, la sensibilisation documentée des personnels exposés, dont une large part des incidents en Afrique centrale et de l’Ouest rappelle l’importance.

Ce que cela change concrètement pour votre organisation

Un rapport de menace ne vaut que traduit en obligations. Six chantiers ressortent des constats d’INTERPOL, à mener désormais en régime combiné données et cybersécurité :

• Cartographier les traitements et la surface exposée. Registre des traitements d’un côté, inventaire des interfaces exposées et des comptes d’administration de l’autre : les deux se lisent ensemble.
• Écrire une procédure d’incident unique à deux sorties. Qui qualifie, qui notifie à l’autorité de protection des données, qui notifie à l’agence de cybersécurité, dans quels délais, avec quelles preuves de diligence.
• Encadrer contractuellement les sous-traitants. La responsabilité ne se sous-traite pas : obligations de sécurité stipulées, auditables, assorties de délais d’alerte.
• Sécuriser les flux transfrontaliers et vérifier les formalités exigées dans chaque juridiction où vous opérez.
• Formaliser les contrôles anti-fraude aux virements (double validation de tout changement de coordonnées bancaires, confirmation hors messagerie) et documenter la formation des équipes financières.
• Vérifier votre statut sectoriel. Opérateurs de services essentiels, communications électroniques, établissements financiers, prestataires sur actifs numériques : les régimes d’audit, de conservation et de signalement se cumulent.

La fragmentation juridique que dénonce INTERPOL explique l’importance des initiatives régionales : la révision de l’acte additionnel de la CEDEAO sur la protection des données, adoptée le 19 juillet 2026, et le mécanisme régional de coordination en cybersécurité approuvé au même sommet y répondent point par point.