[RAPPORT] Cybercriminalité en Afrique : 5 milliards de dollars de pertes, jusqu’à 75 % des incidents liés au facteur humain

L’African Cyberthreat Assessment Report 2026 d’INTERPOL confirme un changement profond de la menace. Les criminels ne cherchent plus seulement à pénétrer les infrastructures informatiques : ils exploitent les relations hiérarchiques, les procédures administratives, les informations publiques et la confiance entre collaborateurs. L’erreur humaine devient ainsi un moyen de contourner des dispositifs techniques pourtant coûteux.

Le risque accompagne désormais l’ensemble du parcours professionnel. Un faux candidat peut tenter d’intégrer l’entreprise, un salarié peut être manipulé pour transmettre une information confidentielle et un ancien collaborateur conserver des accès après son départ. Une modification frauduleuse de coordonnées bancaires peut également détourner une rémunération sans qu’aucun logiciel malveillant soit installé.

La cybersécurité devient donc une responsabilité partagée entre la DRH, la direction des systèmes d’information, la finance, le juridique, les risques et la communication. La fonction RH agit sur les principaux déterminants du risque humain : qualité des recrutements, attribution des responsabilités, formation, mobilité interne, climat de confiance, santé psychologique et gestion des départs.

Une facture en forte accélération

Les pertes officiellement enregistrées ont augmenté de 152 % entre 2024 et 2025, passant de 192 à 484 millions de dollars. Le nombre de victimes identifiées a progressé dans des proportions comparables, de 35 000 à 87 000, soit une hausse proche de 149 %.

Ces données ne représentent qu’une partie du préjudice réel. De nombreuses entreprises ne déclarent pas les attaques, par crainte d’une atteinte à leur réputation, faute de mécanismes accessibles ou parce qu’elles ne détectent pas immédiatement la compromission. Les méthodes de calcul diffèrent également d’un pays à l’autre.

Les dommages économiques directs sont ainsi estimés à au moins 5 milliards de dollars en 2025. Cette facture comprend les fonds détournés, les interruptions de production, la restauration des systèmes, les expertises, les frais juridiques et certaines pertes commerciales. Elle ne mesure pas complètement la dégradation de la confiance des clients, le désengagement des salariés ou le départ de compétences critiques après une crise.

L’IA industrialise l’ingénierie sociale

L’intelligence artificielle intervient occasionnellement dans 47 % des affaires observées et fréquemment dans 8 %. Elle peut automatiser la collecte d’informations sur une cible, rédiger un message crédible, reproduire la voix d’un dirigeant, fabriquer une vidéo et adapter le scénario en fonction des réactions de la victime.

Le phishing devient par conséquent plus difficile à détecter. Les messages ne contiennent plus nécessairement les fautes d’orthographe ou les formulations maladroites autrefois associées aux tentatives frauduleuses. Ils reprennent le vocabulaire de l’entreprise, les fonctions des destinataires et des informations recueillies sur les réseaux professionnels.

Les deepfakes renforcent cette capacité d’imitation. Entre le deuxième et le quatrième trimestre 2024, leur nombre a été multiplié par sept en Afrique. Une visioconférence, un message vocal ou une vidéo ne constituent donc plus des preuves suffisantes de l’identité d’un interlocuteur.

La vulnérabilité humaine atteint un niveau particulièrement élevé en Afrique centrale et occidentale, où jusqu’à 75 % des incidents peuvent être associés au comportement des salariés. Cette donnée reste régionale et ne doit pas être généralisée à tout le continent. Elle montre néanmoins que l’investissement technologique perd une partie de son efficacité lorsque les procédures et les pratiques professionnelles demeurent fragiles.

La fraude cible les processus RH

La compromission des courriels professionnels, ou BEC, représente 10 % des affaires recensées, mais figure parmi les formes de fraude les plus coûteuses. Le criminel usurpe l’identité d’un dirigeant, d’un fournisseur ou d’un responsable financier afin d’obtenir un paiement, un document sensible ou une modification de coordonnées bancaires.

Une opération neutralisée en 2025 cherchait à détourner 7,9 millions de dollars au détriment d’une entreprise pétrolière. Le compte destinataire a pu être gelé, mais l’affaire démontre qu’un message crédible, associé à une pression hiérarchique et à un sentiment d’urgence, peut contourner plusieurs niveaux de protection technique.

Les données détenues par la DRH renforcent son exposition. Les dossiers des salariés contiennent des pièces d’identité, des coordonnées bancaires, des adresses, des informations familiales et parfois des données médicales. Leur compromission permet d’alimenter des fraudes financières, des campagnes de chantage ou des attaques personnalisées contre d’autres services.

Toute modification sensible doit donc être confirmée par un canal distinct de celui ayant transmis la demande. Le contrôle doit également résister à l’urgence : un faux dirigeant cherchera précisément à empêcher le collaborateur de consulter un collègue ou de respecter la double validation.

Les faux candidats menacent l’entreprise

L’intelligence artificielle permet de fabriquer des identités synthétiques combinant des données réelles et des éléments inventés. Un faux candidat peut présenter une photographie, des diplômes, des références et un parcours numérique apparemment cohérents. L’objectif peut être d’obtenir un accès aux systèmes, aux informations financières, aux données clients ou à la propriété intellectuelle.

La visioconférence ne suffit plus pour vérifier une identité. Les postes liés à la finance, à l’administration informatique, à la paie, aux achats et aux données sensibles exigent un contrôle renforcé des documents et des références. Cette vigilance doit rester proportionnée au risque et respecter la vie privée des candidats.

Les fausses offres d’emploi constituent l’autre versant de la menace. Des réseaux criminels recrutent de prétendus « agents financiers » ou « opérateurs de transactions à distance » chargés de recevoir puis de transférer des fonds illicites. Parmi les personnes exposées à la fraude interrogées en Afrique, 77 % connaissent le principe des mules financières, mais seules 12 % comprennent réellement les sanctions encourues.

La DRH doit surveiller l’utilisation frauduleuse du nom, du logo et des annonces de l’entreprise. Une page officielle recensant les offres, un canal de signalement et une communication régulière sur les pratiques de recrutement peuvent réduire le nombre de candidats trompés et protéger la marque employeur.

La sextorsion entre dans la SST

Quelque 600 000 détections de sextorsion numérique ont été enregistrées en Afrique en 2025. Ce chiffre correspond à des signaux techniques et non nécessairement à autant de victimes différentes. L’Afrique du Sud concentre 30 % des détections, devant le Kenya avec 13 %, la Côte d’Ivoire avec 11 %, l’Éthiopie avec 8 % et l’Angola avec 4 %.

Une seule photographie publiée sur un réseau social peut désormais servir à générer un contenu intime artificiel. La victime est ensuite menacée de diffusion auprès de sa famille, de ses collègues ou de son employeur. Le chantage peut provoquer anxiété, isolement, absentéisme et baisse de concentration. Il peut aussi conduire la personne à communiquer des identifiants professionnels sous la contrainte.

La sextorsion devient ainsi un risque psychosocial et un sujet de santé au travail. La DRH doit prévoir un dispositif confidentiel associant accompagnement psychologique, conseil juridique et intervention de la sécurité informatique. La victime doit pouvoir signaler rapidement les faits sans craindre une sanction ou un jugement sur sa vie privée.

Former sans installer la peur

Les formations annuelles généralistes ne suffisent plus face à des scénarios adaptés aux métiers. La paie doit être entraînée aux changements frauduleux de coordonnées bancaires, les achats aux fausses factures, les recruteurs aux identités synthétiques et les dirigeants aux deepfakes vocaux ou vidéo.

Les simulations de phishing restent utiles, mais leur objectif ne doit pas se limiter au nombre de salariés piégés. Le délai de signalement, la capacité à suspendre une opération et la diminution des erreurs répétées donnent une vision plus pertinente de la maturité collective.

La sanction automatique peut produire l’effet inverse de celui recherché. Un collaborateur craignant une mesure disciplinaire risque d’effacer le message, de cacher son erreur ou de retarder l’alerte. La culture de cybersécurité doit valoriser le signalement immédiat, tout en maintenant des sanctions pour les contournements volontaires ou répétés des règles.

La pénurie dépasse l’entreprise

Les capacités africaines demeurent limitées. Parmi les agences interrogées, 94 % signalent un manque d’outils d’investigation numérique et 78 % des budgets ou des ressources spécialisées insuffisants. Seules 22 % des unités de criminalistique numérique possèdent une connaissance opérationnelle des menaces liées à l’IA, tandis que 8 % des analystes disposent d’une expertise avancée.

Le chiffre de 92 % ne correspond pas à la proportion d’entreprises africaines manquant de spécialistes cyber. Il désigne les répondants considérant le renforcement des capacités policières et judiciaires comme une priorité. La pénurie de compétences reste cependant réelle, car entreprises, banques, administrations et opérateurs télécoms recherchent les mêmes experts.

Pour les DRH, le recrutement externe ne peut constituer l’unique réponse. La création de parcours de certification, la reconversion de techniciens, le mentorat et l’intégration de la cybersécurité dans les métiers non techniques permettent d’élargir le vivier. Les profils rares doivent parallèlement bénéficier de perspectives d’expertise et de management afin de limiter leur départ.

Au Maroc, les banques, les opérateurs télécoms, l’industrie, l’offshoring et les services partagés sont particulièrement concernés par la multiplication des échanges numériques et des flux internationaux. La maîtrise de plusieurs langues permet aussi aux criminels de produire des scénarios crédibles adaptés aux réalités professionnelles locales.

Le premier bouclier de l’entreprise n’est donc pas un salarié auquel il serait demandé de ne jamais se tromper. C’est une organisation capable d’identifier rapidement une erreur, d’en limiter les conséquences et de protéger celui qui la signale. La contribution du DRH consiste à construire cette résilience à travers le recrutement, la formation, les habilitations, la santé au travail et une culture dans laquelle le contrôle prévaut sur la confiance aveugle.