El grupo estadounidense de tecnologías de pago Mastercard, que cotiza en la Bolsa de Nueva York, publicó el lunes 12 de octubre su informe Africa’s Digital Defense Race. En él sitúa a Marruecos en el tercer puesto entre los países africanos más expuestos a los ciberataques, con el 10,6 % de los 69.236 eventos observados en el continente en 2025. La cifra requiere una lectura precisa, ya que mide la exposición registrada por un sistema privado de vigilancia, no la vulnerabilidad real del reino ni la eficacia de sus defensas.
Una clasificación basada en los datos de Mastercard Cyber Insights
Los datos de Mastercard Cyber Insights sitúan a Nigeria a la cabeza con el 24,4 % de los eventos, por delante de Sudáfrica (12,6 %), Marruecos (10,6 %), Egipto (8,8 %) y Kenia (7,1 %). Chad (4 %), Ghana (3,9 %), Argelia (3,4 %), Sudán (2,2 %) y Malí (1,9 %) completan los diez primeros puestos.
El informe examina con detalle cuatro mercados, Marruecos, Nigeria, Sudáfrica y Kenia, que concentran en conjunto el 54,7 % de los eventos registrados, es decir, cerca de 37.900 casos. A partir de los porcentajes publicados, la parte marroquí representa alrededor de 7.300 eventos a lo largo del año. Este cálculo es mío y no de Mastercard.
La metodología obliga a una primera cautela. Estos resultados proceden del sistema de vigilancia de la compañía y no constituyen un recuento exhaustivo de los ataques cometidos en cada país. Un país cuyos sistemas se observan más de cerca, o con más clientes dentro del perímetro de Mastercard, puede aparecer mecánicamente mejor situado en una clasificación de este tipo. La posición de Marruecos dice, por tanto, algo sobre su exposición visible, no sobre su nivel de riesgo absoluto.
Por qué Marruecos ocupa un lugar aparte
Mastercard presenta a Marruecos como un centro tecnológico regional dotado de uno de los marcos institucionales de ciberseguridad mejor organizados del continente. El estudio subraya sus vínculos digitales y económicos con Europa, que multiplican los puntos de contacto entre los sistemas de información marroquíes y europeos.
Shabir Ahmed, vicepresidente sénior a cargo de las soluciones para clientes africanos, declaró que el reino “ha sufrido numerosas amenazas contra sus instituciones públicas y graves vulneraciones de la seguridad de los datos”. Esta exposición afecta en particular a los sistemas administrativos y a los intercambios informáticos transfronterizos, cuya protección es un reto tanto para las empresas como para los organismos públicos.
Esta lectura coincide con lo que observamos desde hace varios años. Cuanto más se integra un país en las cadenas de valor y en los flujos de datos internacionales, más superficies de ataque ofrece, sin que ello refleje una debilidad particular.
Un marco institucional estructurado
El dispositivo marroquí se apoya en la Dirección General de Seguridad de los Sistemas de Información (DGSSI), autoridad nacional encargada de la ciberseguridad. Se basa también en la Ley n.º 05-20 relativa a la ciberseguridad y en sus textos de aplicación. Esta legislación define las obligaciones aplicables a las administraciones públicas, las entidades locales, los establecimientos públicos, las infraestructuras de importancia vital y determinadas categorías de proveedores de servicios digitales. Regula igualmente la notificación de incidentes, el control de los sistemas sensibles y la cooperación entre los organismos afectados.
La estrategia nacional de ciberseguridad con horizonte 2030 aspira a una mejor coordinación entre los actores públicos y privados, a inversiones en la protección de los sistemas sensibles y al desarrollo de competencias especializadas. Presta especial atención a la continuidad de los servicios esenciales, a la protección de las infraestructuras críticas y a la gestión de las crisis informáticas.
La valoración favorable de Mastercard se refiere a la organización institucional. No constituye una evaluación de la tasa de éxito de los ataques ni de la eficacia de las protecciones instaladas en las empresas del reino. Un marco jurídico sólido es una condición necesaria, no una garantía de resultados. Los dispositivos de detección y de respuesta a incidentes, en particular en las pymes, determinan en la práctica la magnitud de los daños.
Un continente sometido a una presión creciente
En el conjunto de África, el aumento de las amenazas informáticas alcanzó el 421,4 % entre 2016 y 2025, frente al 307,3 % a escala mundial en el mismo periodo, según las series estadísticas que utiliza Mastercard. Las cifras clave del informe se resumen así.
- 69.236 eventos dirigidos contra organizaciones africanas en 2025, es decir, uno cada ocho minutos aproximadamente
- El 44 % de las actividades maliciosas tiene como objetivo empresas tecnológicas, administraciones públicas y entidades de servicios financieros
- El 27 % de los activos atacados son información personal, datos financieros y servicios destinados directamente a los clientes
- Más del 60 % de los eventos cuyo origen ha podido atribuirse están asociados a piratas informáticos maliciosos y a organizaciones criminales
El reparto difiere según las estructuras económicas nacionales. Nigeria concentra casi una cuarta parte de los eventos, en un entorno marcado por el peso de las empresas de tecnología financiera. Sudáfrica presenta una elevada exposición de sus entidades financieras. En Kenia, la seguridad de los servicios de pago por teléfono móvil es central, dado su papel en las transacciones cotidianas. En Marruecos, Mastercard destaca la interconexión de los sistemas con los mercados europeos, con las administraciones y la protección de los datos intercambiados entre organizaciones.
Los ataques pueden adoptar la forma de ransomware, secuestro de cuentas, fraude en los pagos, suplantación de identidad o intrusiones destinadas a obtener datos confidenciales. Su coste depende de la naturaleza de los sistemas afectados, de las pérdidas financieras directas, de las interrupciones del servicio y de los gastos de restablecimiento de las infraestructuras comprometidas.
El déficit de competencias, punto ciego del mundo digital africano
El informe señala otra conclusión de peso. Mastercard estima en unos 200.000 los puestos de ciberseguridad vacantes en África a finales de 2025, un déficit equivalente al 23 % de la plantilla actual del sector. Las organizaciones necesitan especialistas en detección de intrusiones, protección de redes, análisis de software malicioso y gestión de incidentes.
El informe no ofrece un desglose nacional de estos puestos, por lo que no es posible cuantificar las necesidades propias de Marruecos. La conclusión sigue siendo instructiva para un país que apuesta por el atractivo de sus servicios digitales y de su deslocalización de servicios (offshoring). Formar y retener perfiles de ciberseguridad es una condición para la credibilidad del reino ante sus socios europeos, que exigen cada vez más garantías sobre la seguridad de los datos.
Esta escasez acompaña a una rápida adopción de los servicios financieros digitales. Entre 2016 y 2025, el número de usuarios de servicios de dinero móvil se multiplicó por 5,9 en África, el de usuarios de banca digital por 4,7 y el tamaño del mercado del comercio electrónico por 5,3. Mastercard cita una proyección de 1,5 billones de dólares (unos 13.878 mil millones de dirhams) para el mercado africano de pagos digitales en 2030. Esta estimación se refiere al conjunto del continente. Se trata de una perspectiva de mercado, no de una previsión de ingresos o de transacciones en Marruecos.
La respuesta policial e industrial
A medida que avanzan los usos digitales, los desafíos de seguridad se vuelven cada vez más económicos. La Organización Internacional de Policía Criminal (Interpol) coordinó entre junio y agosto de 2025 la operación Serengeti 2.0 contra varias categorías de ciberdelincuencia. Llevada a cabo con las autoridades de dieciocho países africanos, se saldó con 1.209 detenciones, la identificación de cerca de 88.000 víctimas y el desmantelamiento de 11.432 infraestructuras maliciosas. Las autoridades recuperaron además 97,4 millones de dólares (unos 901,2 millones de dirhams).
Estos resultados corresponden a una operación policial en un periodo determinado. No son comparables con los 69.236 eventos que Mastercard registró por separado a lo largo de todo el año.
Por su parte, Mastercard anunció el 29 de junio la creación de su Centro Africano de Excelencia en Ciberseguridad, desplegado inicialmente en Sudáfrica y Nigeria. El dispositivo combina el intercambio de información sobre amenazas, el análisis de riesgos, ejercicios de simulación y la cooperación entre entidades financieras, empresas y administraciones. Prevé una primera evaluación de un máximo de cincuenta organizaciones, con la información especializada de Recorded Future, empresa de ciberseguridad propiedad de Mastercard.
El calendario comunicado con la creación del centro aún no precisa las modalidades de una eventual participación de organismos marroquíes. Puede verse como una posible apertura, pero por ahora no se ha anunciado nada.
Lo esencial y lo que queda abierto
Esta clasificación recuerda que la visibilidad de un país en las estadísticas de ataques crece con su integración digital. Marruecos, por su proximidad a Europa y su ambición de convertirse en polo tecnológico, está naturalmente expuesto. El marco institucional establecido desde la Ley 05-20 y la estrategia 2030 constituye un activo reconocido, incluso por un actor privado extranjero.
Quedan varias preguntas pendientes. Los datos de Mastercard no dicen nada sobre la tasa de éxito de los ataques ni sobre el nivel de preparación de las pymes, que forman la mayor parte del tejido económico. Tampoco indican cómo se reparte el déficit de competencias entre sectores. Sin embargo, son estos elementos los que determinarán si la exposición se traduce en pérdidas reales. Los próximos informes de la DGSSI y los eventuales datos nacionales sobre incidentes notificados permitirán valorarlo con mayor precisión.
Preguntas frecuentes
¿Es Marruecos el tercer país más atacado de África?
No exactamente. Ocupa el tercer puesto según los eventos observados por Mastercard en 2025, con el 10,6 % del total. Esta clasificación no abarca todos los ataques cometidos y no mide su éxito.
¿Cuántos eventos representa eso para Marruecos?
Alrededor de 7.300 a lo largo del año, según un cálculo a partir de los porcentajes publicados. Mastercard no ha facilitado esta cifra en esa forma.
¿Cuál es el marco legal marroquí en materia de ciberseguridad?
Se basa en la Ley n.º 05-20, aplicada por la DGSSI, y en la estrategia nacional de ciberseguridad con horizonte 2030. La norma impone obligaciones a las administraciones, a las infraestructuras de importancia vital y a determinados proveedores de servicios digitales.
¿Participa Marruecos en el centro africano de Mastercard?
No por el momento. El despliegue inicial abarca Sudáfrica y Nigeria, y no se han precisado las modalidades de una participación marroquí.
