Cybersécurité : Elhadji Ndiaga Gueye soutient l’alerte d’El. Malick Ndiaye sur le facteur humain

Le projet de loi n°25/2026 relatif à la protection des infrastructures d’information critiques et à la sécurité numérique : Pourquoi je partage l’avis pertinent du député El. Malick Ndiaye sur le facteur humain

Cybersécurité de l’administration : le facteur humain, angle mort de la protection des infrastructures informatiques de l’administration publique

Lors des débats à l’Assemblée nationale sur le projet de loi relatif à la protection des infrastructures informatiques de l’administration publique, l’honorable député et 1er Vice-président de l’Assemblée nationale a mis le doigt sur ce que les spécialistes appellent depuis longtemps le « maillon faible » de toute politique de cybersécurité : l’agent public lui-même.

Selon lui, la loi ne peut se limiter à des dispositifs techniques ; elle doit s’accompagner d’un effort massif de formation des fonctionnaires, régulièrement présentés comme le principal point d’entrée des cyberattaquants, ainsi que d’un encadrement strict de l’usage professionnel des téléphones portables. Les faits, en Afrique de l’Ouest comme au Sénégal, donnent largement raison à cette analyse.

Le clic qui ouvre toutes les portes

L’hameçonnage (phishing) reste, de très loin, la méthode d’intrusion la plus utilisée contre les administrations publiques. Il ne nécessite ni faille technique sophistiquée ni moyens coûteux : un simple courriel imitant un fournisseur, une hiérarchie ou un partenaire institutionnel suffit à inciter un agent à cliquer sur un lien piégé ou à ouvrir une pièce jointe infectée.

Le Sénégal en a fait l’expérience à plusieurs reprises récemment. Entre octobre 2025 et mai 2026, trois institutions publiques majeures ont été frappées par des cyberattaques en moins de six mois : les services des impôts, la direction en charge des cartes nationales d’identité, puis le Trésor public, dont les systèmes ont été compromis avec, selon les pirates revendiquant l’opération, près de 70 gigaoctets de données sensibles exfiltrées.

Le secteur stratégique de l’énergie n’a pas non plus été épargné : en décembre 2025, une tentative de fraude visant une compagnie pétrolière basée au Sénégal a permis à des cybercriminels de s’infiltrer dans la messagerie de l’entreprise et de se faire passer pour des dirigeants afin d’ordonner un virement frauduleux de 7,9 millions de dollars. L’opération, déjouée grâce à une coordination avec Interpol, illustre un schéma d’attaque devenu classique : la compromission d’une boîte mail par hameçonnage, puis son exploitation pour manipuler des agents habilités à effectuer des paiements.

Ces cas ne sont pas isolés. Selon les données présentées par Kaspersky lors de la rencontre « KNext Dakar », plus de 92,6 millions de cybermenaces ont été recensées en Afrique de l’Ouest en 2025, un volume qui confirme, selon l’éditeur, une pression cyber devenue durable dans la région. Le message porté par ces chiffres est constant : la cybersécurité doit être pensée comme un pilier stratégique à part entière, ce qui suppose d’investir dans les compétences locales et de diffuser une véritable culture de vigilance numérique, précisément ce que réclame l’honorable député El. Malick Ndiaye.

Le constat vaut pour toute la sous-région. Au Togo, l’agence nationale de cybersécurité a traité plus de 333 000 incidents entre 2021 et 2024, avec une progression continue des cas liés au phishing et à l’ingénierie sociale. En Côte d’Ivoire, sur 27 millions de tentatives d’attaques détectées en 2024, les recommandations des experts en cybersécurité insistent explicitement sur la formation des équipes face aux manipulations psychologiques, à côté des mesures purement techniques.

Un rapport consacré aux cyberattaques les plus dévastatrices sur le continent rappelle qu’un simple clic sur un courriel piégé a suffi, dans un cas cité, à exposer les données de milliers de clients d’une entreprise, revendues sur le dark web en moins de 24 heures — la preuve qu’un agent non formé peut, en quelques secondes, annuler les investissements consentis dans les meilleurs pare-feux.

Le téléphone portable, nouvelle porte dérobée

Le second point soulevé par l’honorable député, la responsabilisation sur l’usage des téléphones portables, répond à une évolution de fond des pratiques administratives. Les agents publics consultent de plus en plus leurs courriels (personnels ou professionnels), et parfois des plateformes stratégiques, directement depuis leur smartphone personnel ou de service.

Un terminal mobile perdu, volé ou simplement laissé sans code de verrouillage devient alors une clé d’accès direct à des systèmes sensibles, sans qu’il soit nécessaire de percer la moindre défense informatique du réseau administratif.

À ce risque de perte ou de vol s’ajoute l’usage des téléphones portables, parfois laissé à la portée de nos adorables « clique-sur-tous » enfants, cherchant leurs jeux préférés.

Ces risques sont d’autant plus concrets que des pays ont vu se multiplier les vagues de fraude ciblant spécifiquement les usages mobiles : au Maroc, une campagne d’hameçonnage a visé les applications bancaires sur téléphone ; à l’échelle du continent, les rapports d’Interpol soulignent que les cybercriminels recourent de plus en plus aux plateformes de messagerie instantanée et à l’ingénierie sociale mobile pour piéger leurs cibles.

Un téléphone portable non sécurisé, sans chiffrement, sans verrouillage biométrique, sans procédure de blocage à distance en cas de perte, expose non seulement les données qu’il contient, mais potentiellement l’ensemble des systèmes auxquels son propriétaire a accès via ses identifiants enregistrés.

Ce que suggèrent ces exemples

Ces cas convergent tous vers la même conclusion : la loi sur la protection des infrastructures informatiques, aussi robuste soit-elle sur le plan technique, ne produira ses effets que si elle s’accompagne de deux mesures que le texte devrait, selon plusieurs observateurs, davantage détailler :

Des programmes de formation continue et obligatoire des agents publics à la reconnaissance des tentatives d’hameçonnage, incluant des simulations d’attaques, une pratique déjà recommandée par les acteurs de la cybersécurité opérant dans d’autres pays ;
Une politique claire de sécurisation des terminaux mobiles de tout agent de l’administration publique : verrouillage systématique, authentification à plusieurs facteurs pour l’accès aux plateformes administratives, mise à disposition de téléphones dédiés, procédures de signalement immédiat et de blocage à distance en cas de perte ou de vol.

À l’heure où le Sénégal accélère la numérisation de ses services publics et où son secteur pétrolier attire une attention accrue de groupes cybercriminels, selon plusieurs analystes cités dans la presse régionale, l’argument de l’honorable député El. Malick Ndiaye dépasse la simple prudence parlementaire : il pointe vers ce que la plupart des grandes cyberattaques survenues ces derniers mois dans le pays ont en commun : non pas une faille technique insurmontable, mais une porte ouverte par un clic ou par un téléphone mal protégé.

Elhadji Ndiaga GUEYE,
– Analyste-Programmeur
– Spécialiste en IT.