Réseaux télécoms marocains : vulnérabilités invisibles

Le Maroc s’est imposé en quelques années comme l’un des pays les plus connectés d’Afrique. Trois opérateurs majeurs — Maroc Telecom, Orange Maroc et Inwi — couvrent un territoire vaste, des grandes métropoles aux zones rurales les plus reculées. Des millions d’abonnés s’appuient quotidiennement sur ces infrastructures pour travailler, communiquer, effectuer des transactions bancaires. Pourtant, derrière cette façade de modernité technologique se cachent des failles structurelles que peu d’utilisateurs soupçonnent, et que certains acteurs malveillants, eux, connaissent très bien.

Ce n’est pas une question d’alarmisme. C’est une réalité documentée, reconnue par les spécialistes en cybersécurité et progressivement admise par les régulateurs eux-mêmes. Comprendre ces vulnérabilités, c’est mieux se protéger — que l’on soit un simple particulier ou le directeur technique d’une entreprise marocaine.

Le paradoxe de la croissance numérique

Le Maroc affiche des chiffres impressionnants. Selon l’ANRT (Agence Nationale de Réglementation des Télécommunications), le taux de pénétration du mobile dépasse les 140 %, ce qui signifie que beaucoup de Marocains possèdent plusieurs cartes SIM. La 4G couvre aujourd’hui la quasi-totalité du territoire habité, et le déploiement de la 5G est en cours de planification avancée. Ces succès sont réels, mais ils masquent un problème fondamental : la vitesse de déploiement a souvent pris le pas sur la sécurisation.

Quand un réseau se développe rapidement, les équipes techniques privilégient naturellement la couverture et la performance. La sécurité, elle, passe parfois au second plan — non par négligence, mais par priorité économique et concurrentielle. Ce compromis, courant dans le monde entier, crée des fenêtres d’exposition que les attaquants savent parfaitement exploiter.

Les failles techniques au cœur des protocoles

Le protocole SS7, une blessure ouverte depuis des décennies

L’une des vulnérabilités les plus connues — et les plus persistantes — des réseaux télécoms mondiaux concerne le protocole SS7 (Signaling System No. 7). Développé dans les années 1970 et largement déployé dans les années 1980, ce protocole gère le routage des appels et des SMS entre opérateurs. Il n’a jamais été conçu avec la sécurité comme priorité, à une époque où l’idée qu’un acteur hostile puisse accéder à ces systèmes semblait improbable.

Aujourd’hui, exploiter une faille SS7 permet théoriquement d’intercepter des SMS, de localiser un abonné à son insu, ou même de rediriger des appels. Cette menace n’est pas hypothétique : des démonstrations publiques ont été réalisées par des chercheurs allemands du Chaos Computer Club dès 2014, et des cas d’exploitation réelle ont été documentés dans plusieurs pays. Le Maroc, comme tous les pays utilisant encore massivement SS7, n’est pas immunisé.

Le protocole Diameter et les réseaux 4G

Avec l’arrivée de la 4G, SS7 a partiellement cédé la place au protocole Diameter, supposé plus sécurisé. En réalité, Diameter hérite d’une partie des mêmes faiblesses conceptuelles. Des chercheurs en sécurité, notamment chez Positive Technologies, ont démontré que des attaques similaires à celles menées sur SS7 restent possibles sur les réseaux 4G via Diameter — fraude à la facturation, interception de données, perturbation de service.

La transition vers la 5G apportera un nouveau protocole de signalisation (le SBA, Service Based Architecture), théoriquement plus robuste. Mais tant que les réseaux 4G resteront dominants au Maroc — ce qui sera le cas pendant encore plusieurs années — cette vulnérabilité demeure bien réelle.

Les menaces humaines et organisationnelles

L’ingénierie sociale, arme redoutable contre les opérateurs

La technologie n’est pas le seul vecteur d’attaque. Les techniques d’ingénierie sociale représentent une menace tout aussi sérieuse, parfois plus efficace encore. Un attaquant peut se faire passer pour un client auprès du service clientèle d’un opérateur, fournir des informations partielles mais convaincantes, et obtenir un transfert de numéro vers une nouvelle SIM qu’il contrôle.

Cette attaque, connue sous le nom de SIM swapping, a été utilisée dans plusieurs pays pour contourner l’authentification à deux facteurs des comptes bancaires. Au Maroc, des cas ont été rapportés de manière informelle, même si les opérateurs rechignent souvent à communiquer publiquement sur ces incidents. La fragilité réside ici moins dans la technique que dans les processus de vérification d’identité, parfois insuffisamment rigoureux dans les centres d’appels.

Les revendeurs et points de vente non maîtrisés

Le réseau de distribution marocain des cartes SIM est extrêmement décentralisé. Des milliers de revendeurs agréés — épiceries, kiosques, petits commerces — peuvent activer des cartes SIM sur tout le territoire. Cette capillarité est une force commerciale, mais elle constitue aussi un maillon faible en termes de contrôle d’identité. Des activations frauduleuses, des SIM enregistrées sous de fausses identités, ou des pratiques non conformes persistent malgré les exigences réglementaires de l’ANRT.

Les risques pour les entreprises marocaines

Les entreprises représentent la cible la plus lucrative. Voici les principaux vecteurs d’exposition identifiés dans le contexte marocain :

• Interception de communications professionnelles via des failles SS7 ou des faux relais GSM (IMSI catchers)
• Fraude aux communications internationales : des attaquants prennent le contrôle de lignes professionnelles pour générer du trafic vers des numéros surtaxés
• SIM swapping ciblé contre des dirigeants ou des responsables financiers pour accéder à leurs comptes bancaires
• Attaques sur les API SMS utilisées pour les OTP (one-time passwords) : certaines entreprises envoient leurs codes de validation via des passerelles SMS mal sécurisées
• Espionnage économique facilité par la géolocalisation passive via SS7, applicable à des concurrents ou à des personnalités publiques

Ces risques ne sont pas théoriques. En 2021, le rapport de Positive Technologies estimait que 100 % des réseaux télécoms testés dans le monde présentaient au moins une vulnérabilité critique. Il serait naïf de penser que les opérateurs marocains font exception.

La réponse réglementaire et ses limites

L’ANRT face à un défi complexe

L’ANRT joue un rôle essentiel dans la régulation du secteur. Elle impose des obligations de sécurité aux opérateurs, publie des rapports annuels sur l’état du marché, et coordonne avec les instances internationales. Mais la réalité est que la régulation court toujours après la menace. Les protocoles vulnérables comme SS7 sont profondément enracinés dans les infrastructures mondiales — les changer demande des investissements colossaux et une coordination internationale qui se fait attendre.

Par ailleurs, les obligations de divulgation des incidents de sécurité restent floues au Maroc. Contrairement à l’Europe, où le RGPD impose des délais de notification stricts en cas de violation de données, il n’existe pas de cadre légal équivalent contraignant les opérateurs marocains à informer leurs abonnés en cas de fuite ou d’intrusion.

La Direction Générale de la Sécurité des Systèmes d’Information

La DGSSI (Direction Générale de la Sécurité des Systèmes d’Information), rattachée à l’Administration de la Défense Nationale, joue un rôle croissant dans la cybersécurité nationale. Elle publie des alertes, coordonne la réponse aux incidents, et travaille à l’élaboration d’une stratégie nationale de cybersécurité. Son implication dans la sécurité des réseaux télécoms est réelle, mais ses moyens restent limités face à l’ampleur des défis.

Ce que les utilisateurs peuvent faire

Face à des vulnérabilités qui dépassent largement le contrôle individuel, quelques mesures concrètes permettent de réduire son exposition.

La première consiste à ne jamais s’appuyer uniquement sur les SMS pour l’authentification à deux facteurs. Préférer des applications comme Google Authenticator ou Authy, qui génèrent des codes localement sans transiter par le réseau télécom. C’est une précaution simple, mais souvent ignorée.

Il est également conseillé d’activer les alertes de connexion sur ses comptes sensibles — bancaires, professionnels, messageries. Plus tôt on détecte une tentative d’accès anormale, plus vite on peut réagir. En cas de perte soudaine de signal réseau sans explication, il faut contacter immédiatement son opérateur : cela peut signaler une tentative de SIM swapping en cours.

Pour les entreprises, l’enjeu est différent. Il passe par des audits réguliers de sécurité télécom, la formation des équipes à l’ingénierie sociale, et le choix de passerelles SMS professionnelles offrant des garanties contractuelles de sécurité.

Vers une prise de conscience collective

La sécurité des réseaux télécoms marocains n’est pas un sujet réservé aux ingénieurs ou aux experts en cybersécurité. C’est une question qui touche chaque abonné, chaque entreprise, chaque institution. Les vulnérabilités invisibles décrites ici existent depuis des années, mais leur exploitation reste marginale — non parce qu’elle est impossible, mais parce que les cibles de grande valeur sont encore peu nombreuses et que les attaquants arbitrent leurs efforts.

Cette situation pourrait évoluer rapidement. À mesure que le Maroc s’affirme comme hub économique régional, que les transactions financières mobiles explosent et que la dépendance aux infrastructures numériques s’accentue, l’attractivité des réseaux marocains pour des acteurs malveillants va croître. Anticiper ce risque, c’est aujourd’hui une responsabilité partagée entre opérateurs, régulateurs, entreprises et utilisateurs.

FAQ — Sécurité des télécoms au Maroc