Les menaces de la cybercriminalité et les enjeux de la cybersécurité ne concernent pas que les responsables politiques. Avec la montée du terrorisme international qui a d’ailleurs frappé l’Afrique à de nombreuses reprises ces derniers temps, les services de sécurité y prêtent aussi une grande attention.

C’est ainsi que les Eléments français au Sénégal disposent en leur sein de tout un service chargé de cybersécurité. De nombreux ateliers et séminaires de sensibilisation sont aussi organisés à travers le continent pour mettre toute la communauté des internautes en état d’alerte face à ce fléau.

En marge d’un de ces ateliers, organisé à Dakar (Sénégal) en février 2016, SciDev.Net s’est entretenu avec le lieutenant de vaisseau Julien Dechanet qui est responsable de ce service.

Dans cette interview, ce dernier dont la compétence s’étend sur toute la sous-région Afrique de l’ouest, dresse un aperçu de la cybercriminalité dans cette partie du continent.

Quel est l’état des lieux de la cybercriminalité en Afrique de l’ouest où vous exercez ?

En Afrique, on a 38% d’attaques supplémentaires par rapport à l’année dernière. Ce qui signifie qu’environ 110 000 attaques sont réussies par jour dans le monde pour un montant d’environ 500 milliards de dollars par an dans le monde entier. Au niveau de l’Afrique, ce sont environ 100 milliards de FCFA qui ont été perdus au Nigéria l’année dernière à cause de la cybercriminalité et des cyberattaques. C’est relativement énorme. Et on estime d’ailleurs qu’au Nigeria se trouvent 7,5% des cybercriminels du monde. Le « collectif Anonymous » du Sénégal avait, l’année dernière, piraté 47 sites gouvernementaux. On a eu également des attaques en 2013 contre les fournisseurs d’accès internet par le « Collectif Anonymous » de Côte d’Ivoire. Il y a eu aussi des attaques des « fallaga team » de Tunisie contre des sites français en janvier de l’année dernière. Tout cela montre que l’Afrique est également concernée. En fait, l’essor du numérique en Afrique de l’ouest, c’est 30% par an. C’est énorme. C’est le secteur qui enregistre la plus forte évolution. On voit partout des jeunes avec un smartphone ou une tablette, les réseaux 3G et 4G qui se déploient, le wifi et le réseau filaire qui se développent. Donc, la surface d’attaque augmente parce qu’il y a de plus en plus de vulnérabilité et du coup, les hackers, les cyberciminels, les pirates informatiques en profitent parce que ce n’est pas suffisamment sécurisé. Ce qu’il faut, c’est que chacun soit conscient qu’il y a vulnérabilité, n’importe où. Il y a une éducation à faire, que ce soit à l’endroit des enfants depuis le plus jeune âge à l’usage de ces systèmes à travers une formation à l’hygiène numérique. On se lave les mains avant de manger ; c’est pareil, on nettoie son ordinateur en y mettant un antivirus. On utilise en fait des règles d’hygiène numérique. Après, il faut sensibiliser également les dirigeants, les administrations, pour que leurs infrastructures soient sécurisées pour faire face à ces différents hackers.

La pénétration d’Internet en Afrique se fait beaucoup plus par le mobile. La cybercriminalité est-elle plus active sur les smartphones et tablettes que sur les ordinateurs ?

Je suis tenté de vous dire que c’est la même chose. Puisque vous savez qu’actuellement, on fait avec son smartphone la même chose qu’on fait avec son ordinateur : accéder à ses mails, surfer sur le net, acheter, lire des documents PDF ou Word, etc. Donc, un smartphone est pratiquement identique à un ordinateur. J’irais plus loin en disant que là où on mettait moins d’informations personnelles sur un ordinateur, sur un smartphone, on met des photos, des vidéos, plus facilement que sur l’ordinateur. Sauf que ce smartphone, on le sécurise beaucoup moins et c’est donc extrêmement facile de pirater un téléphone, contourner les mots de passe, récupérer des contacts à distance, allumer le téléphone à distance, allumer la caméra, etc. Tout cela, ce sont des choses que savent faire les hackers. C’est extrêmement facile. Donc, c’est faux de penser qu’en utilisant un smartphone, on est plus à l’abri que sur un ordinateur. On est aussi attaqué, voire plus, que sur un ordinateur à la maison ou au bureau.

Dans le contexte de terrorisme international, y a-t-il des menaces spécifiques auxquelles les pays africains font face et qui sont liées à la cybercriminalité ?

Ce sont les mêmes menaces que dans le monde entier. C’est plus facile en Afrique parce que les systèmes sont moins bien protégés et la prise de conscience ne se fait que maintenant, alors qu’en Europe ou aux Etats-Unis, elle s’est faite il y a peut-être cinq ou dix ans. Néanmoins, l’Afrique est en train de rattraper son retard. J’ai fait une étude qui montre que sur les 54 pays africains, il y en a déjà 15 qui ont développé un centre opérationnel cyber qui est capable de gérer les vulnérabilités et de regarder ce qui se passe sur le réseau. Trois de ces quinze pays se trouvent en Afrique de l’ouest, à savoir la Côte d’Ivoire, le Burkina Faso et le Nigéria. Le Sénégal est en train de réfléchir à la mise en place d’un tel centre. Cela nécessite du matériel et surtout des ingénieurs et des techniciens capables d’analyser ces différents réseaux et de pouvoir maintenir ces systèmes. C’est très complexe. C’est pour cela que nous disons qu’il est important que les Africains qui sont formés en Afrique restent en Afrique, au lieu d’aller aux Etats-Unis, en Chine, en France ou ailleurs, même s’il est légitime de chercher à gagner plus. Il faut donc une prise de conscience des Etats ici qui doivent créer les conditions pour qu’ils restent sur place ; notamment en les payant un peu mieux et en leur trouvant des débouchés. Par exemple, en achetant un téléphone portable en décembre dernier, je me suis rendu compte de ce que le vendeur est un ingénieur en informatique. Pourquoi ne travaille-t-il pas dans l’une des nombreuses sociétés de la place ? Tout simplement parce qu’il y a très peu de recrutements et de débouchés. C’est là que le bât blesse, à mon avis ; car, à un moment, donné, ces diplômés, voyant qu’il n’y a pas de débouchés dans leur pays, partent ailleurs. Et ça, c’est un vrai problème.

Ces diplômés en informatique sans emplois peuvent-ils être plus tentés que d’autres de devenir des cybercriminels ?

Il faut se rappeler que la cybercriminalité consiste à faire de l’arnaque ou du vol via le numérique ; donc, ce sont des processus qui sont ancestraux. La frontière est très mince entre quelqu’un qui est formé par un Etat pour faire de la cyberdéfense et un hacker. On sait faire exactement la même chose ; sauf que l’un travaille pour le gouvernement, et l’autre pour le côté obscur. Quelqu’un qui travaille pour le gouvernement doit savoir ce que fait un hacker, pour pouvoir se prémunir contre les différentes attaques que ce dernier est capable de mener. Donc, bien sûr, un ingénieur qui sort de l’université Cheikh Anta Diop par exemple, sait faire des choses et il peut être tenté de faire de la cybercriminalité parce que ça peut rapporter de l’argent. Maintenant, a-t-il un sens de l’éthique ou non ? Aime-t-il son pays ou pas ? C’est là où tout se joue.

Les techniciens disent que tout le dispositif pour combattre la cybercriminalité est disponible. Mais on se demande pourquoi le phénomène ne fait que se développer…

Les pirates informatiques ont toujours une longueur d’avance parce qu’ils sont toujours à la recherche de la dernière faille qu’il peut y avoir dans tel ou tel logiciel. Au niveau des Etats, contrer une faille est relativement long. Et il arrive qu’il y ait une faille informatique qui est connue par un attaquant, mais pas connue d’un éditeur de logiciels. Par exemple, il peut y avoir une faille dans Microsoft qui est exploitée par un attaquant alors que Microsoft n’en a pas conscience. Et le jour où l’éditeur en a connaissance, il se passe en général un mois en moyenne avant que cette faille ne soit corrigée. Et pendant ce temps, l’attaquant peut continuer à mener ses opérations. Une étude a été faite et elle parle d’une moyenne de plusieurs jours entre le moment où une vulnérabilité a été détectée et le moment où elle est réellement corrigée par l’éditeur du logiciel Et pendant ce temps, le logiciel est vulnérable. Et ce qui est grave est que tout le monde n’installe pas les mises à jour quand elles sont disponibles et tout le monde n’utilise pas d’antivirus. S’il y a une mise à jour à faire qui est demandée par l’éditeur de logiciels, c’est qu’il y a un réel besoin, une faille qui a été trouvée ; donc, il faut faire cette mise à jour. Une fois que la mise à jour est faite, normalement, ça devrait aller. Mais, on n’est jamais à l’abri d’une nouvelle faille que trouverait un autre pirate informatique.

Julien Chongwang et Bilal Tairou

(Source : SciDev, 4 juillet 2016)