CinetPay. UBA Sénégal. NSIA Banque. Ecobank Sénégal. Opera1ER. Les attaques sont déjà là. Elles traversent les frontières et exploitent des failles techniques autant qu'humaines. L'IA ne crée pas ces vulnérabilités : elle peut rendre certaines attaques plus rapides, plus crédibles et plus faciles à industrialiser. Voici ce que cela change concrètement pour les banques de l'UEMOA.
Avant de parler d'intelligence artificielle et de menaces émergentes, il faut regarder ce qui s'est déjà passé. Parce que les cyberattaques contre les banques et institutions financières de l'UEMOA ne sont pas un risque hypothétique. Ce sont des faits documentés, avec des montants, des dates, et des victimes identifiées.
Ces incidents présentent plusieurs caractéristiques communes. Certains impliquent des réseaux transfrontaliers opérant dans plusieurs pays de l'UEMOA. Ils ciblent des interfaces critiques : systèmes de paiement, GAB, plateformes de paiement et canaux numériques. Dans plusieurs cas documentés, des services de mobile money ont également été utilisés pour disperser rapidement les fonds après leur détournement.
Le cas CinetPay est particulièrement instructif. L'attaque est intervenue vingt jours après l'ouverture d'une enquête au Sénégal concernant l'entreprise. Les éléments publics disponibles ne permettent toutefois pas d'établir un lien entre les deux événements. Ce que l'incident montre avec certitude, c'est la difficulté de contenir rapidement une attaque lorsqu'elle traverse plusieurs marchés et plusieurs canaux de paiement.
L'un des éléments les plus frappants de l'écosystème de cybercriminalité en Afrique de l'Ouest est la nature des attaquants. Il ne s'agit pas uniquement de groupes étrangers qui opèrent depuis l'extérieur. Il s'agit aussi de réseaux locaux qui connaissent parfaitement les systèmes bancaires de la zone.
Le Groupe-IB, cabinet international de cybersécurité, a documenté en 2022 l'activité d'un groupe baptisé Opera1ER. Ce groupe a mené au moins 35 attaques réussies contre des banques, des opérateurs télécoms et des fintechs dans 15 pays, dont 9 en Afrique de l'Ouest (Bénin, Côte d'Ivoire, Mali, Niger, Nigeria, Sénégal, Sierra Leone, Togo). Pertes totales estimées : 30 millions de dollars sur 4 ans.
La Côte d'Ivoire a été la cible principale : 12 attaques documentées entre 2018 et 2022. La particularité d'Opera1ER : les attaquants connaissaient précisément les systèmes bancaires locaux, les horaires d'ouverture des agences et les processus internes de validation des virements. Un tel degré de connaissance suppose au minimum une phase de reconnaissance approfondie des organisations ciblées et de leurs processus.
Le Groupe-IB note que "la plupart des victimes identifiées ont fait l'objet de deux attaques réussies et leur infrastructure a ensuite servi de pivot pour s'en prendre à d'autres organisations." Les banques piratées deviennent des tremplins pour pirater d'autres banques.
C'est ici que le risque cesse d'être celui d'une banque isolée. Dans un système financier intégré, une institution compromise peut devenir un point d'appui vers d'autres acteurs de l'écosystème. Les informations techniques, les échanges avec des partenaires et la connaissance des processus internes peuvent aider l'attaquant à préparer d'autres tentatives.
Le GIM-UEMOA a mis en place des mécanismes centralisés de signalement des incidents afin d'améliorer le partage d'information au sein de l'écosystème. Leur efficacité dépend toutefois d'une condition simple : l'incident doit être détecté, qualifié et partagé suffisamment tôt pour que les autres acteurs puissent adapter leurs contrôles.
L'IA ne crée pas les vulnérabilités du système financier UEMOA. Elle réduit le temps, le coût et parfois les compétences nécessaires pour tenter de les exploiter. Reconnaissance, phishing personnalisé, traduction, création de faux profils, imitation de dirigeants : des tâches autrefois longues et largement manuelles peuvent désormais être partiellement automatisées.
Voici ce que les chercheurs en sécurité ont documenté sur les outils disponibles en 2026.
8h47. Le directeur financier reçoit un appel du directeur général.
Même voix. Même intonation. Même manière de parler. La demande est urgente : exécuter un virement exceptionnel avant 10 heures, sans attendre la procédure habituelle.
Le directeur général n'a jamais appelé. Sa voix, elle, l'a fait.
Dans ce scénario, la défense n'est pas un meilleur microphone. C'est une procédure de validation qui ne dépend jamais de la voix seule : rappel sur un numéro vérifié, confirmation hors canal, second signataire.
Ce chiffre est le plus parlant. L'usurpation d'identité a progressé de 12 points en un an dans l'UEMOA. Les données disponibles ne permettent pas d'attribuer cette hausse à l'intelligence artificielle. Elles montrent en revanche pourquoi l'IA peut amplifier un vecteur de fraude déjà dominant. L'IA n'a pas besoin de créer une nouvelle vulnérabilité : il lui suffit de rendre plus crédible et plus facile à reproduire celle qui existe déjà.
Le mobile money occupe désormais une place centrale dans l'écosystème financier régional. Cette rapidité et cette interconnexion, qui constituent sa force économique, peuvent aussi faciliter la dispersion rapide de fonds frauduleux lorsqu'un compte ou une plateforme est compromis. Dans le cas CinetPay, les sources publiques indiquent que des fonds ont transité vers des comptes mobile money dans plusieurs pays, illustrant la nécessité d'une coordination opérationnelle rapide entre établissements, opérateurs et autorités compétentes.
La BCEAO et la CB-UMOA ne sont pas inactives : les cadres existants comportent déjà des exigences de gouvernance, de contrôle interne, de continuité et de maîtrise de la fraude. La vraie question n'est donc pas « existe-t-il des règles ? », mais jusqu'où faut-il harmoniser et préciser les exigences cyber à l'échelle régionale ?
DORA, en vigueur dans l'Union européenne depuis janvier 2025, fournit un point de comparaison utile sur quatre sujets : gouvernance du risque ICT, notification des incidents majeurs, tests de résilience et risque lié aux prestataires technologiques tiers.
1. Notification. Quel délai et quel canal pour un incident cyber majeur ?
2. Résilience. Quelles exigences minimales pour les systèmes critiques et leurs tests ?
3. Prestataires tiers. Comment encadrer les dépendances technologiques devenues critiques ?
L'enjeu n'est pas de copier DORA, mais d'en tirer les principes utiles en tenant compte des réalités de l'Union.
Si la réponse est oui, le principal risque n'est peut-être pas informatique. Il est procédural. Trois réflexes peuvent être testés immédiatement, sans attendre un nouveau cadre réglementaire.
Première question : savez-vous exactement quels prestataires peuvent accéder à vos systèmes critiques ? Une banque qui ne sait pas quels tiers accèdent à quelles applications, données ou interfaces ne peut pas évaluer correctement sa surface d'exposition. La cartographie des dépendances, des accès et des données partagées doit précéder toute stratégie de résilience.
Deuxième question : un appel de votre directeur général suffit-il à déclencher un virement ? Les établissements peuvent tester leurs procédures avec des scénarios de faux ordre de virement : urgence artificielle, voix imitée, changement de coordonnées bancaires. Un rappel sur un numéro vérifié, une confirmation hors canal et un second signataire sont des mesures organisationnelles peu coûteuses comparées aux solutions technologiques lourdes.
Troisième question : que se passe-t-il dans les trente premières minutes d'une attaque ? Qui décide ? Qui bloque ? Qui appelle ? Quels partenaires doivent être informés ? Quels canaux restent disponibles si la messagerie interne est compromise ? Les mécanismes de partage d'incidents, notamment ceux portés par le GIM-UEMOA pour les acteurs concernés, ne produisent de valeur que si les procédures internes permettent une détection et une escalade rapides.
La prochaine cyberattaque contre une banque UEMOA ne commencera peut-être pas par une ligne de code. Elle commencera peut-être par une voix familière au téléphone.
Et c'est précisément pour cela que la cybersécurité n'est plus seulement une affaire de DSI. C'est un sujet de gouvernance, de risque, de conformité et de décision humaine.
REGAFRIK documente les risques systémiques du secteur bancaire UEMOA à partir des sources officielles et des incidents réels. Cet article sera mis à jour au fil des développements.