Ciblé par de plus en plus de cyberattaques, le Royaume semble prendre la mesure de l'étendue du problème. Mais il n'est pas trop tard et le pays peut transformer ces nombreuses menaces en opportunités. Décryptage d'un phénomène qui prend de l'ampleur et qui n'épargne personne. Dix millions de dollars. C'est la coquette somme promise par un «prince» nigérian à Hamid, un jeune habitant d'Agadir, sans emploi. Dans son e-mail, le faux prince et vrai arnaqueur propose à sa proie de partager le butin, à condition que cette dernière lui envoie 5.000 DH pour débloquer la transaction et faire sortir l'argent du pays. Rien que ça ! Trop beau pour être vrai, pensez-vous ? C'est que vous faites vraisemblablement partie de ceux qui, sans sourciller, supprimeraient directement ce spam de leur boîte mail. Hamid, lui, y voit un jackpot. Ni une ni deux, il emprunte les 5.000 DH, les envoie, et puis..., silence radio. Hamid vient d'être escroqué. Comme lui, plusieurs Marocains ont été victimes de ce type d'arnaques, somme toute classiques et courantes. Et n'allez pas croire que seules les personnes crédules et naïves qui se font avoir. Particuliers, entreprises, organismes publics, personne n'est épargné. Et pour cause. Les cyberfraudeurs rivalisent d'ingéniosité, utilisant des techniques avancées, basées notamment sur l'intelligence artificielle et des méthodes d'arnaque qui leur facilitent la tâche. En conséquence de quoi, nombreuses sont les victimes qui ont mordu à l'hameçon. Et pas seulement du côté des particuliers. Plusieurs cyberattaques ont défrayé la chronique ces derniers mois au Maroc, ciblant des entités marocaines privées et publiques, leur subtilisant des bases de données et des informations personnelles. Si certains, dans une fuite en avant maladroite, ont minimisé les risques de ces attaques, ou les ont carrément démenties, le constat est là et il est édifiant : «Pendant la pandémie, nous avons enregistré une intensification des attaques contre les infrastructures de nos entreprises. Elles ont carrément triplé», nous confie Hicham Chiguer, président de l'Association des utilisateurs des systèmes d'information au Maroc (AUSIM), sans préciser le nombre d'attaques et leur coût. En 2021, environ 400 cyberattaques ont été détectées par les unités de veille de la Direction générale de la sécurité des systèmes d'information (DGSSI). Le phishing, pratique la plus répandue «D'après une étude du géant mondial de la cybersécurité, Kaspersky, le Maroc se classe au 34e rang mondial des pays ciblés par des cybermenaces. L'étude a aussi classé le Maroc au 3e rang pour ce qui est des attaques contre les systèmes de contrôle industriels», nous rappelle Zakaria Fahim, président du cabinet BDO Maroc, membre de BDO Global qui vient d'ailleurs de publier une étude mondiale sur l'importance de la cyberfraude en entreprise. «Les entreprises marocaines sont aujourd'hui beaucoup plus menacées par les risques cybersécuritaires. Ces attaques semblent progresser car on assiste à une véritable accélération des chantiers de transformation digitale depuis la pandémie du Covid-19. Le hic c'est qu'on a tendance à ne pas se pencher assez tôt sur le volet sécurité. Beaucoup d'entités marocaines, en particulier les petites entreprises, ne disposent pas de directions de sécurisation des systèmes d'information», regrette de son côté Badr Bellaj, expert en cybersécurité. Un constat confirmé au niveau mondial par le bilan 2022 de Kaspersky, publié le 3 janvier 2023. Les systèmes de détection du spécialiste ont découvert 400.000 fichiers malveillants distribués chaque jour en moyenne, en augmentation de 5% par rapport à 2021. Certains types de menaces ont par ailleurs connu une explosion, comme le ransomware (+181%), un logiciel d'extorsion qui prend en otage des données personnelles. Techniques et poursuites En plus du ransomware, les Marocains ont surtout été victimes d'une autre technique, le phishing, ou l'hameçonnage, qui consiste en l'envoi d'un mail d'un organisme connu par la cible (banque, opérateur télécoms, collaborateur...) avec un lien malveillant joint au mail. «Le phishing est une attaque répandue au niveau mondial. La tendance est que ces attaques seront, à l'avenir, de plus en plus fréquentes et plus intelligentes en adoptant de l'intelligence artificielle, avec des bots pour multiplier le nombre d'attaques dans le temps», commente Hicham Chiguer. Et tous les moyens sont bons pour arnaquer les internautes marocains : aides directes en période de Covid, promotions alléchantes, billets d'avion offerts, gros lots de tombola, facture impayée... D'après les derniers chiffres révélés par la Direction générale de la sûreté nationale (DGSN), les crimes de cyberextorsions ont progressé de 5% l'année dernière, à raison de 5.623 affaires. Pas moins de 1.617 personnes ont été interpellées et déférées devant la justice pour ces délits. Le moins que l'on puisse dire, c'est que les équipes de Abdellatif Hammouchi n'ont pas chômé. Et l'année 2023 risque de repartir sur les mêmes bases. Dans le réputé forum de hackers, Breached.co, on peut lire ce genre de commentaires: «Les Marocains s'en foutent de leurs données personnelles. J'ai pu récupérer sans effort des pièces d'identité et des informations personnelles», lit-on dans cette plateforme où les hackers du monde entier partagent des conseils, des tuyaux et échangent autour du piratage et des dernières techniques en vogue. «Cette propension à viser particulièrement des entités marocaines est récente. Des organismes publics et des établissements bancaires en ont fait les frais. Mais il faut en parler et sensibiliser. Au Maroc, c'est encore tabou, on étouffe l'affaire et on préfère parfois parler de fraudes que d'attaques informatiques», fustige Badr Bellaj. L'expert poursuit : «Il faut qu'on prenne conscience au Maroc de la sensibilité de ce sujet et que la cybersécurité devienne une priorité, surtout lorsque nous savons que des données personnelles, comme les numéros, les noms complets, les adresses mail, les copies des documents d'identité, ont été subtilisées dans quelques opérations récentes et peuvent mener à des actions frauduleuses». Il faut toutefois faire une distinction entre les données personnelles sensibles qui sont extrêmement bien sécurisées par les autorités marocaines (qui ont par exemple servi à l'établissement du Registre social unifié) et celles détenues par des établissements privés ou publics, souvent utilisées à des fins marketing. Rappelons d'ailleurs qu'un grand effort a été déployé par le Maroc en termes de gouvernance et de réglementation liée à la cybersécurité. Le pays dispose d'une entité dédiée, la DGSSI, qui veille à la sécurité des systèmes d'information des organismes publics et privés considérés comme vitaux. Le Maroc s'est également doté de la loi 09-08 relative à la protection des personnes physiques sur les traitements des données à caractère personnel, de la loi 05-20 relative à la cybersécurité, ainsi que de la loi 43-20 liée aux services de confiance pour les transactions électroniques. Culture d'entreprise Mais malgré les efforts de l'Etat pour la protection des données personnelles, certaines petites et moyennes entreprises ne semblent pas prendre cette question au sérieux. Et c'est là où le bât blesse. «Toutes les entreprises marocaines n'ont pas la culture de la protection contre les risques de cyberattaques. Il faut aussi dire que cela dépend de nombreux facteurs, tels que le type d'entreprise, la taille, l'industrie, la technologie utilisée et les mesures de sécurité mises en place», souligne Zakaria Fahim. Ces mesures incluent, selon notre interlocuteur, la mise en place de pare-feu, l'utilisation de logiciels antivirus et de sécurité, la mise en œuvre de stratégies de gestion des accès et la formation des employés aux bonnes pratiques de sécurité en ligne. «Il est également important de rester vigilant et de mettre régulièrement à jour les mesures de sécurité pour tenir compte des menaces en constante évolution. Les cybercriminels utilisent des techniques de plus en plus sophistiquées pour effectuer des attaques, ce qui rend la défense contre ces menaces de plus en plus difficile», note Fahim. Un marché prometteur Si les grandes entreprises sont conscientes de cette problématique (84% parmi elles ont mis au point un programme de cybersécurité, selon une étude de l'AUSIM), la grande majorité des petites entreprises restent démunies. Une aubaine pour les hackers, mais aussi pour les entreprises spécialisées dans la cybersécurité. Ce marché est en effet en pleine progression et connaît une croissance à deux chiffres. «Le budget consommé par les entreprises pour se protéger est en moyenne de 0,5% du chiffre d'affaires. Nous pensons que ce ratio augmentera dans le futur», estime Chiguer. Il faut dire que plusieurs acteurs internationaux lorgnent le Maroc, aidés par des organismes étatiques. Dans une récente note, le ministère fédéral des Affaires étrangères et du commerce international du Canada a conseillé aux entreprises du pays de s'intéresser au marché de la cybersécurité au Maroc. Il leur recommande notamment d'établir des partenariats ou des alliances stratégiques avec des entreprises existantes au Maroc. «Un exemple important est le partenariat entre la multinationale roumaine d'édition de cybersécurité Bitdefender et la firme marocaine Disty Technologies, acteur majeur de la distribution IT au Maroc grâce à ses 2.500 points de vente. En s'associant avec Disty Technologies en janvier 2020, l'éditeur roumain bénéficie désormais d'un réseau de distribution de premier ordre au Maroc. En sens inverse, le groupe marocain gagne une crédibilité accrue pour son offre de cybersécurité», lit-on dans la note. Outre le Canada, plusieurs pays suivent de près ce marché, traditionnellement dominé par les grands noms du secteur, notamment français et américains. Les groupes marocains ont intérêt à s'y positionner, et rapidement, car il s'agit aussi et avant tout d'un pilier de la souveraineté numérique nationale.
Quand les cyberattaques font mal En 2019, Airbus a été victime d'un incident de cybersécurité dans les systèmes informatiques de sa branche «aviation commerciale». Des données à caractère personnel ont été consultées, mais cette intrusion ciblait principalement des documents techniques relatifs à la certification des avions Airbus. En 2017, des pirates sont parvenus à faire émettre à leur profit 81millions de dollars par virements de la Banque du Bangladesh. Après avoir réussi à introduire un logiciel espion dans le réseau de la banque, ils ont patiemment observé pendant plusieurs mois, de l'intérieur, les processus internes jusqu'à identifier une méthode valable pour leur vol, rappelle la CGEM dans son guide sur les bonnes pratiques dans la cybersécurité en entreprise. Mais c'est le cas de l'attaque NotPetya, survenue en 2017, qui a fait trembler le monde de la cybersécurité. Pour la première fois, un pays est la cible d'une action de sabotage de grande ampleur. En quelques heures, l'Ukraine, le pays ciblé, a vu peu à peu des pans de son économie se figer. Des dizaines, puis des centaines d'entreprises, n'ont pu accéder à leurs données.
Conseils Les petites entreprises se sentent souvent démunies face aux cyberattaques. Néanmoins, quelques mesures peuvent diminuer ce risque, selon les spécialistes de Kaspersky : Formez votre personnel Pour vous protéger contre les menaces internes à l'entreprise, investissez dans une formation relative à la cybersécurité pour vos salariés. Formez-les aux mesures qu'ils doivent prendre en cas de réception d'un courrier électronique suspect. Réalisez une évaluation des risques Evaluez les risques potentiels susceptibles de compromettre la sécurité des réseaux, systèmes et données de votre entreprise. Déployez un logiciel antivirus Vous avez besoin d'un logiciel antivirus capable de protéger tous vos appareils contre les virus, les logiciels espions, les ransomwares et les attaques de phishing. Installez les mises à jour logicielles Les logiciels que vous utilisez pour gérer votre entreprise doivent être à jour régulièrement afin de les protéger ou d'ajouter des correctifs pour les failles de codage que les pirates informatiques peuvent exploiter. Sauvegardez vos fichiers régulièrement Appuyez-vous sur un programme de sauvegarde qui copie automatiquement vos fichiers sur un dispositif de stockage. En cas d'attaque, vous pouvez restaurer tous vos fichiers à partir de vos sauvegardes.
