Le rapport 2025 d’Interpol classe le ransomware parmi les principales cybermenaces en Afrique. Comment expliquez-vous cette progression ?
François Amour BAKPÈ : « Le rançongiciel, ou ransomware, peut être comparé à une prise d’otage dans l’univers numérique. Un cybercriminel s’introduit dans un système, chiffre les données à l’aide d’un procédé cryptographique et exige ensuite une rançon en échange de leur récupération. L’Afrique est de plus en plus ciblée parce que les administrations, les entreprises et les particuliers accélèrent leur transformation numérique. Or, le développement des infrastructures et des usages numériques ne s’accompagne pas toujours du même niveau de maturité en matière de cybersécurité. Par ailleurs, les cybercriminels sont aujourd’hui beaucoup plus organisés. Ils ne sont plus nécessairement obligés de maîtriser toutes les étapes d’une attaque. Certains peuvent louer des outils malveillants, acheter des accès à des systèmes déjà compromis ou collaborer avec d’autres acteurs spécialisés. À cela s’ajoutent les systèmes obsolètes, les logiciels insuffisamment mis à jour et les mauvaises configurations de sécurité. Une seule vulnérabilité peut permettre à un attaquant de pénétrer un système et de progresser progressivement à l’intérieur du réseau. »
Selon Trend Micro, 631 menaces de ransomwares ont été détectées au Bénin en 2024. Que révèle ce chiffre sur l’exposition du pays ?
François Amour BAKPÈ : « Nous devons d’abord être prudents dans l’interprétation de cette donnée. 631 détections ne signifient pas que 631 entreprises béninoises ont été victimes d’une cyberattaque, ni que 631 rançongiciels ont effectivement paralysé des organisations. Une détection signifie qu’un système de protection a identifié un élément associé à une menace de type rançongiciel. Cela reste néanmoins un indicateur important. Il nous rappelle que le Bénin n’est pas isolé du phénomène mondial de cybercriminalité. Il faut également garder à l’esprit que les statistiques disponibles ne reflètent probablement pas l’intégralité du phénomène. Certaines intrusions peuvent passer inaperçues pendant un certain temps et certaines victimes peuvent ne pas déclarer les incidents qu’elles subissent. Ces 631 détections doivent donc nous inciter à renforcer nos compétences en matière de prévention, de détection et surtout de réaction face aux incidents. »
Quels secteurs devraient être considérés comme prioritaires au regard des conséquences potentielles d’une cyberattaque ?
François Amour BAKPÈ : « Nous devons en priorité considérer les services essentiels à la vie quotidienne. La santé constitue évidemment l’un des premiers secteurs concernés. Un hôpital privé d’accès à ses dossiers médicaux, aux historiques de traitement ou aux programmes d’intervention peut se retrouver dans une situation extrêmement difficile, avec des conséquences potentiellement graves pour les patients. Il faut également citer l’énergie et l’eau. Une attaque visant les systèmes d’information de la Sbee ou de la Soneb pourrait affecter certaines fonctions essentielles, notamment la facturation, la logistique, la distribution ou les interventions techniques. Les services financiers et les télécommunications sont également particulièrement sensibles. Une interruption prolongée pourrait empêcher des citoyens de transférer de l’argent, d’effectuer certains paiements ou de recevoir leur rémunération. L’importance prise aujourd’hui par les services de mobile money renforce encore cette dépendance. Enfin, l’administration publique doit être considérée comme un secteur critique, notamment les services chargés de délivrer des documents ou d’assurer des prestations indispensables aux citoyens.
Avec la numérisation croissante de l’administration béninoise, sommes-nous suffisamment préparés à une attaque qui rendrait indisponibles des systèmes pendant plusieurs jours ?
François Amour BAKPÈ : « Le Bénin a pris des dispositions importantes en se dotant d’institutions chargées de structurer et de sécuriser son environnement numérique, notamment le Centre National d’Investigations Numériques (CNIN), l’Agence des Systèmes d’Information et du Numérique (ASIN) et l’Autorité de Protection des Données à caractère Personnel (APDP). Il existe donc une volonté réelle de sécuriser la transformation numérique du pays. Mais il faut être lucide : la sécurité informatique à 100 % n’existe pas. Même les États et les organisations les plus puissants sont confrontés à des cyberattaques et à des incidents majeurs. La véritable question n’est donc pas seulement de savoir si nous pouvons empêcher toute attaque. Il faut surtout savoir si nous sommes capables de continuer à fonctionner lorsqu’une attaque réussit. La cybersécurité consiste à prévenir, mais également à détecter rapidement, contenir l’incident, restaurer les systèmes et maintenir les services essentiels. Être résilient, c’est donc être capable de poursuivre son activité malgré une compromission. Si les administrations, les entreprises et les particuliers appliquent effectivement les recommandations et les exigences des structures compétentes, notamment du CNIN, de l’ASIN et de l’APDP, notre niveau de préparation pourra être considérablement renforcé. »
Quelles vulnérabilités peuvent permettre à un groupe criminel de prendre le contrôle du système informatique d’une institution ?
François Amour BAKPÈ : « Il existe plusieurs portes d’entrée. La première demeure l’utilisateur. Un courriel apparemment banal, contenant une pièce jointe ou un lien malveillant, peut permettre à un attaquant de commencer son opération. C’est le principe du phishing ou hameçonnage. La deuxième vulnérabilité concerne les logiciels et les systèmes qui ne sont pas correctement mis à jour. Lorsqu’une faille de sécurité connue n’est pas corrigée, elle peut être exploitée par un attaquant. Il faut également évoquer les mots de passe et les comptes utilisateurs. Des mots de passe faibles ou réutilisés, ainsi que des comptes disposant de privilèges excessifs, peuvent faciliter une compromission. Les accès à distance constituent une autre zone sensible. Dans les organisations modernes, employés, prestataires et administrateurs peuvent avoir besoin d’accéder aux systèmes depuis différents endroits. Ces accès doivent donc faire l’objet d’une protection renforcée. Enfin, la segmentation du réseau est essentielle. Lorsqu’un réseau est organisé comme un ensemble peu cloisonné, un logiciel malveillant introduit sur un poste de travail peut plus facilement se propager vers des serveurs contenant des données critiques. »
Quelles mesures les administrations et entreprises doivent-elles prendre pour réduire le risque de paralysie ?
François Amour BAKPÈ : « Trois mesures me paraissent prioritaires. Premièrement, les sauvegardes. Les organisations doivent effectuer régulièrement des copies de leurs données critiques et conserver au moins une copie hors ligne, sur un support ou un serveur déconnecté du réseau. Si le système principal est compromis, cette sauvegarde permet de restaurer les données sans dépendre nécessairement des cybercriminels. Deuxièmement, la mise à jour et le renforcement des accès. Les équipements et logiciels doivent être régulièrement actualisés, voire automatiquement lorsque cela est possible. L'authentification à deux facteurs devrait également être systématiquement privilégiée pour les accès aux réseaux et aux systèmes sensibles. Troisièmement, la formation des utilisateurs. La cybersécurité ne relève pas uniquement des informaticiens. Chaque collaborateur doit savoir reconnaître un courriel suspect, éviter les comportements à risque et adopter une véritable hygiène numérique. Face à la progression des rançongiciels, le Bénin ne peut donc pas se contenter de renforcer ses outils techniques. La réponse doit également reposer sur la formation, l’anticipation, la sauvegarde des données et la capacité des organisations à reprendre rapidement leurs activités après un incident. »
En définitive, les 631 détections recensées en 2024 ne constituent peut-être qu’une partie de la menace. Elles suffisent toutefois à rappeler une réalité : à mesure que le pays accélère sa transformation numérique, la résilience cyber doit devenir une composante à part entière de la continuité de l’État, des entreprises et des services essentiels.
Cadnel ADEBAYO