Le risque cyber au Maghreb
La brèche de la CNSS, les régimes à venir alignés sur le RGPD, et l'exposition d'entreprise que l'on manque encore.
Le Maghreb est entré dans une phase où le risque cyber n'est plus une note de bas de page technique de la stabilité politique, mais fait partie de l'histoire politique elle même. Les attaques portent désormais des signatures étatiques, visent des infrastructures civiles et voyagent le long des lignes de fracture les plus anciennes de la région. Pour les gouvernements, les entreprises et la société civile, la question est passée de savoir s'il faut investir dans la résilience cyber à savoir à quelle vitesse rattraper des adversaires déjà installés dans le système.
La brèche de la CNSS : cas d'école du cyber politique
En avril 2025, la Caisse nationale de sécurité sociale du Maroc (CNSS) a subi l'une des plus importantes fuites de données jamais enregistrées en Afrique du Nord. Plus de 54 000 fichiers ont été exfiltrés, exposant des informations sur près de 2 millions de personnes, noms, numéros de carte nationale, affiliations d'entreprise, adresses e mail, numéros de téléphone et coordonnées bancaires (The Record). Certains documents remontaient à novembre 2024 et ont été publiés sur un canal Telegram public.
Le groupe de pirates JabaROOT a revendiqué l'attaque et l'a explicitement présentée comme des représailles, accusant le Maroc de cibler en ligne des institutions algériennes. Le cabinet de recherche en cybersécurité Resecurity a noté que les données volées avaient été mises en ligne sur des forums du dark web mais n'étaient pas proposées à la vente, ce qui suggère une motivation politique plutôt que financière. CybelAngel a indiqué que l'intrusion aurait exploité une vulnérabilité zero day dans des systèmes basés sur Oracle (The Record).
Le contexte est large : l'Algérie a rompu ses relations diplomatiques avec le Maroc en août 2021, fermé son espace aérien, interrompu les flux du gazoduc et imposé des visas aux ressortissants marocains. Cinq ans plus tard, la rupture s'est étendue au cyberespace, et les bases de données civiles en subissent les dommages collatéraux.
Ce que la brèche CNSS a révélé
Trois leçons méritent l'attention de la région.
Les institutions publiques détiennent des agrégations catastrophiques de données personnelles avec des défenses sous investies. Un fonds de protection sociale est, par nature, l'une des bases de données les plus sensibles d'un pays. Il relie les citoyens à leurs employeurs, à leurs comptes bancaires, à leurs relations familiales. Quand une telle base est compromise, les dommages en aval, fraude ciblée, campagnes d'ingénierie sociale, coercition, peuvent persister pendant des années. Peu d'institutions maghrébines ont modélisé des scénarios du pire à cette échelle.
Le risque tiers et supply chain est la ligne de front. Les systèmes basés sur Oracle sont largement utilisés dans l'administration publique de la région. Si une seule vulnérabilité sur une plateforme largement déployée peut compromettre une base de données nationale, alors la discipline de gestion des correctifs est un enjeu stratégique, pas un enjeu informatique.
L'attribution est politique. Dans le cas CNSS, aucun rapport forensique n'a publiquement confirmé un parrainage étatique, mais le récit a été immédiatement géopolitique. C'est la réalité que les opérateurs doivent anticiper : les incidents cyber au Maghreb seront lus à travers le prisme des rivalités régionales, quelles que soient les conclusions techniques.
La réponse réglementaire : le moment RGPD tunisien
La régulation rattrape son retard, de manière inégale. La Tunisie prépare une réforme de son cadre de protection des données avec 2026 pour cible d'alignement sur les standards de type RGPD (Maître Haifa Guedhami, Regulations.ai). Le cadre actuel, la loi 2004/63, précède le paysage moderne des menaces et manque de véritable capacité d'application. La réforme proposée introduit des obligations de notification renforcées, une application extraterritoriale pour les entreprises traitant des données tunisiennes depuis l'étranger, et des sanctions administratives plus élevées.
Pour les entreprises ayant une exposition régionale, l'implication pratique est claire. Une société basée à Tunis qui traitait déjà des données de clients de l'UE devait déjà se conformer au RGPD. Elle fait désormais face à une mosaïque de cadres locaux qui s'accélère, la loi 09/08 au Maroc, la loi 18/07 en Algérie et la réforme tunisienne à venir, chacun avec ses propres seuils de notification et ses autorités de contrôle. Les flux de données transfrontaliers au sein du Maghreb, historiquement informels, deviennent une discipline de conformité à part entière.
L'exposition d'entreprise que l'on manque
Le débat public sur le risque cyber dans la région se concentre sur les incidents liés à l'État. L'exposition d'entreprise est plus discrète et souvent plus lourde. Maroc Telecom a annoncé un bénéfice de 760 millions de dollars pour 2025 (Stimson Center) ; un opérateur télécoms comparable ailleurs disposerait d'un centre d'opérations cyber mature, d'un directeur de la sécurité des systèmes d'information de haut niveau et d'un reporting cyber trimestriel au niveau du conseil d'administration. La norme régionale reste que le cyber se situe trois niveaux sous la direction générale et remonte via l'IT plutôt que via le risque.
Trois expositions méritent une attention explicite du conseil d'administration dans les entreprises maghrébines :
Rançongiciels ciblant l'OT dans l'énergie, l'eau et la logistique. Les attaques sur les systèmes OT contournent la frontière IT / métier et peuvent arrêter la production directement. Compromission de messagerie professionnelle visant les fonctions financières des entreprises à flux de paiement transfrontaliers. C'est la catégorie de pertes qui croît le plus vite dans la région et qui est rarement rendue publique. Risque interne dans les transitions de personnel. Prestataires et salariés en fin de contrat restent un vecteur principal, en particulier dans les secteurs à forte rotation et à faible gestion des identités et des accès.
À retenir
Le risque cyber au Maghreb a trois visages : politique (acteurs étatiques ou proches de l'État, à l'image de la CNSS), réglementaire (une mosaïque de conformité en accélération, qui ne se stabilisera pas avant 2028), et corporate (sous investissement chronique dans la défense d'entreprise par rapport à la valeur en jeu). Les entreprises qui traiteraient l'un de ces trois axes isolément mispriceraient leur exposition.
Une résilience cyber sérieuse dans la région est désormais une compétence du conseil d'administration, non une fonction technique. C'est le déplacement que Women in C.R.C observe et documente.
À propos de cette note. Il s'agit d'un document de travail. Commentaires et corrections à info@carthage-consulting.com. Citer comme : Women in C.R.C, « Le risque cyber au Maghreb », C.R.C Éditorial, septembre 2026.