Le groupe américain de technologies de paiement Mastercard, coté à la Bourse de New York, a publié lundi 12 octobre son rapport Africa’s Digital Defense Race. Il y place le Maroc au troisième rang des pays africains les plus exposés aux cyberattaques, avec 10,6 % des 69 236 événements observés sur le continent en 2025. Ce chiffre appelle une lecture précise, car il mesure l’exposition constatée par un dispositif privé de surveillance, non la vulnérabilité réelle du royaume ni l’efficacité de ses défenses.
Un classement issu des données de Mastercard Cyber Insights
Les données de Mastercard Cyber Insights placent le Nigeria en tête avec 24,4 % des événements, devant l’Afrique du Sud (12,6 %), le Maroc (10,6 %), l’Égypte (8,8 %) et le Kenya (7,1 %). Le Tchad (4 %), le Ghana (3,9 %), l’Algérie (3,4 %), le Soudan (2,2 %) et le Mali (1,9 %) complètent le haut du classement.
Le rapport examine de près quatre marchés, le Maroc, le Nigeria, l’Afrique du Sud et le Kenya, qui concentrent ensemble 54,7 % des événements recensés, soit près de 37 900 occurrences. À partir des pourcentages publiés, la part marocaine représente environ 7 300 événements sur l’année. Ce calcul est le mien et non celui de Mastercard.
La méthode impose une première réserve. Ces résultats proviennent du dispositif de surveillance de la société et ne constituent pas un recensement exhaustif des attaques commises dans chaque pays. Un pays où les systèmes sont davantage observés, ou dont les clients sont plus nombreux dans le périmètre de Mastercard, peut apparaître mécaniquement mieux placé dans un tel classement. Le rang du Maroc dit donc quelque chose de son exposition visible, pas de son niveau de risque absolu.
Pourquoi le Maroc occupe une place à part
Mastercard présente le Maroc comme un centre technologique régional doté de l’un des cadres institutionnels de cybersécurité les plus organisés du continent. L’étude insiste sur ses relations numériques et économiques avec l’Europe, qui multiplient les points de contact entre systèmes d’information marocains et européens.
Shabir Ahmed, vice-président principal chargé des solutions destinées aux clients africains, a déclaré que le royaume « a connu de nombreuses menaces contre ses institutions publiques et des atteintes majeures à la sécurité des données ». Cette exposition concerne notamment les systèmes administratifs et les échanges informatiques transfrontaliers, dont la protection est un enjeu pour les entreprises comme pour les organismes publics.
Cette lecture rejoint ce que nous observons depuis plusieurs années. Plus un pays s’intègre aux chaînes de valeur et aux flux de données internationaux, plus il offre de surfaces d’attaque, sans que cela traduise une faiblesse particulière.
Un cadre institutionnel structuré
Le dispositif marocain repose sur la Direction générale de la sécurité des systèmes d’information (DGSSI), autorité nationale chargée de la cybersécurité. Il s’appuie aussi sur la loi n° 05-20 relative à la cybersécurité et sur ses textes d’application. Cette législation définit les obligations applicables aux administrations publiques, aux collectivités territoriales, aux établissements publics, aux infrastructures d’importance vitale et à certaines catégories de prestataires numériques. Elle organise également la déclaration des incidents, le contrôle des systèmes sensibles et la coopération entre les organismes concernés.
La stratégie nationale de cybersécurité à l’horizon 2030 vise une meilleure coordination entre acteurs publics et privés, des investissements dans la protection des systèmes sensibles et la montée en compétences spécialisées. Elle accorde une attention particulière à la continuité des services essentiels, à la protection des infrastructures critiques et au traitement des crises informatiques.
L’appréciation favorable de Mastercard porte sur l’organisation institutionnelle. Elle ne constitue pas une évaluation du taux de réussite des attaques ni de l’efficacité des protections installées dans les entreprises du royaume. Un cadre juridique solide est une condition nécessaire, pas une garantie de résultat. Les dispositifs de détection et de réponse aux incidents, en particulier chez les PME, déterminent en pratique l’ampleur des dégâts.
Un continent sous pression croissante
À l’échelle africaine, la progression des menaces informatiques a atteint 421,4 % entre 2016 et 2025, contre 307,3 % dans le monde sur la même période, selon les séries retenues par Mastercard. Les chiffres clés du rapport se résument ainsi.
- 69 236 événements dirigés contre des organisations africaines en 2025, soit en moyenne un toutes les huit minutes environ
- 44 % des activités malveillantes visent les entreprises technologiques, les administrations publiques et les établissements de services financiers
- 27 % des actifs ciblés sont des informations personnelles, des données financières et des services destinés directement aux clients
- Plus de 60 % des événements dont l’origine a pu être attribuée sont associés à des pirates informatiques malveillants et à des organisations criminelles
La répartition diffère selon les structures économiques nationales. Le Nigeria concentre près du quart des événements, dans un environnement marqué par le poids des entreprises de technologies financières. L’Afrique du Sud présente une forte exposition de ses établissements financiers. Au Kenya, la sécurité des services de paiement par téléphone mobile est centrale, compte tenu de leur rôle dans les transactions courantes. Au Maroc, Mastercard met en avant l’interconnexion des systèmes avec les marchés européens, les administrations et la protection des données échangées entre organisations.
Les attaques peuvent prendre la forme de rançongiciels, de détournements de comptes, de fraudes aux paiements, d’usurpations d’identité ou d’intrusions destinées à obtenir des données confidentielles. Leur coût dépend de la nature des systèmes touchés, des pertes financières directes, des interruptions de service et des dépenses de remise en état des infrastructures.
Le déficit de compétences, angle mort du numérique africain
Le rapport relève un autre constat majeur. Mastercard estime à environ 200 000 le nombre de postes de cybersécurité vacants en Afrique à la fin de 2025, soit un manque équivalant à 23 % des effectifs actuels du secteur. Les organisations ont besoin de spécialistes de la détection des intrusions, de la protection des réseaux, de l’analyse des logiciels malveillants et du traitement des incidents.
Le rapport ne fournit pas de répartition nationale de ces postes, et l’on ne peut donc pas chiffrer les besoins propres au Maroc. Le constat reste instructif pour un pays qui mise sur l’attractivité de ses services numériques et de son offshoring. Former et retenir des profils en cybersécurité est une condition de la crédibilité du royaume auprès de ses partenaires européens, qui exigent de plus en plus de garanties sur la sécurité des données.
Cette pénurie accompagne une adoption rapide des services financiers numériques. Entre 2016 et 2025, le nombre d’utilisateurs de services monétaires sur mobile a été multiplié par 5,9 en Afrique, celui des utilisateurs de services bancaires numériques par 4,7 et la taille du marché du commerce électronique par 5,3. Mastercard cite une projection de 1 500 milliards de dollars (environ 13 878 milliards de dirhams) pour le marché africain des paiements numériques à l’horizon 2030. Cette estimation vaut pour l’ensemble du continent. Il s’agit d’une perspective de marché, non d’une prévision de recettes ou de transactions au Maroc.
La réponse policière et industrielle
Plus les usages numériques progressent, plus les enjeux de sécurité deviennent économiques. L’Organisation internationale de police criminelle (Interpol) a coordonné entre juin et août 2025 l’opération Serengeti 2.0 contre plusieurs catégories de cybercriminalité. Menée avec les autorités de dix-huit pays africains, elle a abouti à 1 209 arrestations, à l’identification de près de 88 000 victimes et au démantèlement de 11 432 infrastructures malveillantes. Les autorités ont aussi récupéré 97,4 millions de dollars (environ 901,2 millions de dirhams).
Ces résultats concernent une opération policière sur une période donnée. Ils ne se comparent pas aux 69 236 événements que Mastercard a enregistrés séparément sur toute l’année.
Mastercard, de son côté, a annoncé le 29 juin la création de son Centre africain d’excellence en cybersécurité, déployé d’abord en Afrique du Sud et au Nigeria. Le dispositif associe partage de renseignements sur les menaces, analyse des risques, exercices de simulation et coopération entre établissements financiers, entreprises et administrations. Il prévoit une première évaluation portant sur cinquante organisations au maximum, avec les renseignements spécialisés de Recorded Future, société de cybersécurité appartenant à Mastercard.
Le calendrier communiqué à la création du centre ne précise pas encore les modalités d’une éventuelle participation d’organismes marocains. On peut y voir une ouverture possible, mais rien n’est annoncé à ce stade.
Ce qu’il faut retenir et ce qui reste ouvert
Ce classement rappelle que la visibilité d’un pays dans les statistiques d’attaques croît avec son intégration numérique. Le Maroc, par sa proximité avec l’Europe et son ambition de hub technologique, se trouve naturellement exposé. Le cadre institutionnel mis en place depuis la loi 05-20 et la stratégie 2030 constitue un atout reconnu, y compris par un acteur privé étranger.
Plusieurs questions demeurent. Les données de Mastercard ne disent rien du taux de réussite des attaques, ni du niveau de préparation des PME, qui forment l’essentiel du tissu économique. Elles n’indiquent pas non plus comment le déficit de compétences se répartit entre secteurs. Ce sont pourtant ces éléments qui détermineront si l’exposition se traduit en pertes réelles. Les prochains rapports de la DGSSI et les éventuelles données nationales sur les incidents déclarés permettront d’en juger plus précisément.
FAQ
Le Maroc est-il le troisième pays le plus attaqué d’Afrique ?
Pas exactement. Il arrive troisième selon les événements observés par Mastercard en 2025, avec 10,6 % du total. Ce classement ne couvre pas toutes les attaques commises et ne mesure pas leur réussite.
Combien d’événements cela représente-t-il pour le Maroc ?
Environ 7 300 sur l’année, d’après un calcul à partir des pourcentages publiés. Mastercard n’a pas donné ce chiffre sous cette forme.
Quel est le cadre légal marocain en matière de cybersécurité ?
Il repose sur la loi n° 05-20, appliquée par la DGSSI, et sur la stratégie nationale de cybersécurité à l’horizon 2030. Le texte impose des obligations aux administrations, aux infrastructures d’importance vitale et à certains prestataires numériques.
Le Maroc participe-t-il au centre africain de Mastercard ?
Pas à ce stade. Le déploiement initial concerne l’Afrique du Sud et le Nigeria, et les modalités d’une participation marocaine ne sont pas précisées.
