Rançongiciels et revendications de vol de données au Maghreb : T1–T3 2026

L’essentiel

Cinq constats comptent pour un conseil d’administration ou un RSSI au Maghreb, et pour toute entreprise qui externalise vers la région ou y vend.

1. Le registre des rançongiciels est mince, et mince ne veut pas dire sûr. Nous avons observé 20 revendications liées au Maghreb sur les neuf premiers mois de 2026, réparties 5, 10 et 5 par trimestre. C’est un quart des 83 de nos six marchés du Golfe et environ un neuvième des 185 de la France. Ces volumes sont observés dans notre collecte : ils ne constituent pas une mesure comparable de l’incidence réelle, et des marchés plus petits, un signalement plus mince et moins de fiches de sites de fuite dans des langues faciles à suivre réduisent tous ce que nous pouvons voir. Les chiffres annuels bruts du suivi, avant nettoyage et sur un registre inégal pour les années anciennes, sont de 9 pour 2023, 15 pour 2024, 23 pour 2025 et 23 à ce jour en 2026.
2. Le Maroc concentre les revendications. Treize des 20 revendications (65 %) nomment des organisations marocaines, contre quatre en Tunisie, deux en Libye, une en Algérie et aucune en Mauritanie. Le Maroc domine aussi le marché des forums, avec 80 des 129 publications.
3. La couche de services est une cible. Cinq des 20 revendications (25 %) nomment des sociétés d’externalisation, d’intérim, d’audit ou de comptabilité, qui détiennent paie, RH et dossiers clients pour des clients en Europe et dans la région. D’autres annonces nomment des sites maghrébins d’entreprises sous contrôle étranger, comme une usine et une opération de support, et nous ne les comptons pas car leur siège est ailleurs. Pour les clients à l’étranger, l’exposition est de seconde main.
4. Les publications de forums et de Telegram sont l’endroit où les organismes publics sont le plus souvent nommés. Un outil de veille liste 129 publications pour les cinq pays sur environ août 2025 à octobre 2026, une fenêtre plus longue que celle des revendications de sites de fuite : 80 pour le Maroc, 20 pour l’Algérie, 17 pour la Tunisie, 10 pour la Libye et 2 pour la Mauritanie. Parmi les publications dont nous avons pu voir le détail (35 marocaines après une exclusion, 20 algériennes, 17 tunisiennes et 10 libyennes), 9, 12, 5 et 5 respectivement nomment des ministères, des agences ou des programmes publics. Cinq pseudonymes représentent 44 % des publications du Maroc, et au moins cinq pseudonymes reviennent dans plus d’un pays, ce qui ne prouve pas qu’ils partagent des opérateurs.
5. La banque centrale de Libye est la seule réponse publique confirmée. Après l’annonce de Qilin visant la Banque centrale de Libye le 22 juin, la banque a indiqué avoir rejeté l’extorsion et n’avoir trouvé aucune preuve confirmée d’accès aux comptes, aux soldes ou aux actifs, et a laissé entendre que les données venaient d’une opération de piratage antérieure, tandis que l’Agence de sécurité intérieure avertissait que certains fichiers divulgués portent des logiciels malveillants. C’est un bon modèle de communication publique mesurée, et cela montre aussi comment une revendication peut être en partie vraie et en partie ancienne.

Nous évaluons le risque pour les prestataires de services marocains et pour les organismes publics des cinq pays comme élevé, et pour les industriels, la pharmacie et le commerce marocains et tunisiens comme relevé. Pour les institutions libyennes de l’énergie et de la finance, nous l’évaluons comme relevé, avec une faible visibilité. Ce sont nos évaluations, fondées sur des revendications de sites de fuite et des publications de forums que nous n’avons pas vérifiées de manière indépendante.

1. Périmètre, et ce que les chiffres peuvent supporter

Ce rapport couvre les revendications nommant des organisations du Maroc, d’Algérie, de Tunisie, de Libye et de Mauritanie publiées sur des sites de fuite entre le 1er janvier et le 30 septembre 2026. Les revendications datées d’octobre sont citées à part comme un développement ultérieur. Le suivi liste 23 entrées de ce type pour les cinq pays. Après retrait des organisations dont le siège est ailleurs, il en reste 20. Nous avons retiré une entrée visant un office chilien de propriété intellectuelle, une visant un cimentier pakistanais et une visant un groupe égyptien d’électroménager, toutes classées sous un mauvais pays. Nous comptons une seule fois le même domaine ou le même nom d’organisation listé à nouveau dans un délai de 14 jours, par le même groupe ou un autre, et n’avons trouvé aucune répétition de ce type. Cette règle peut fusionner des incidents réellement distincts chez une même organisation : une annonce répétée compte donc pour une revendication, pas comme preuve d’un seul incident. Nous rattachons une organisation à un pays par son siège ou ses principales opérations, à partir de son domaine et de son profil public : une usine ou un centre de services d’une entreprise sous contrôle étranger n’est donc pas compté. Les descriptions d’entreprises du suivi sont parfois générées automatiquement, et nous ne les avons pas vérifiées. Un second suivi que nous avons consulté date certaines entrées différemment et en liste quelques-unes que le premier ne contient pas. La visibilité varie selon les pays : les chiffres ne sont donc pas des totaux complets d’incidents. Les chiffres des forums viennent du filtre par pays d’un outil de veille commercial, couvrent une fenêtre plus longue que les revendications de sites de fuite (environ août 2025 à octobre 2026) et ne leur sont pas comparables.

Trois réserves s’appliquent à tout ce qui suit.

• Les sites de fuite, sur lesquels les groupes publient les données volées, ne montrent que les victimes qui n’ont pas payé ou négocié en privé. Le nombre réel d’incidents peut être plus élevé.
• La revendication d’un groupe n’est pas la preuve d’une compromission. Nous employons « revendication » pour une annonce non vérifiée et « incident » uniquement pour un événement établi. Nous n’avons vérifié de manière indépendante aucun jeu de données publié, et plusieurs publications de forums réutilisent des données anciennes ou publiques.
• Les annonces hacktivistes peuvent être calées sur l’actualité politique et sont à la fois des revendications et des messages. Nous ne nommons la nationalité ou le commanditaire d’aucun acteur sauf si des rapports publics le font, et nous ne relions pas des pseudonymes similaires d’une année à l’autre sans preuve.

Termes. RaaS : rançongiciel en tant que service, un modèle où des développeurs fournissent leurs outils et leur infrastructure à des affiliés qui mènent les attaques contre un partage des gains. EDR : détection et réponse sur les terminaux, des logiciels de sécurité qui surveillent l’activité des postes et des serveurs. Courtier d’accès initial (IAB) : vendeur d’un accès prêt à l’emploi à un réseau. Hacktivisme : attaques menées pour des raisons politiques ou idéologiques. Shell web : petit script qui donne le contrôle à distance d’un serveur web. BPO : externalisation des processus d’affaires.

2. Chronologie : un flux mince avec un pic au printemps

Le flux est d’environ deux revendications par mois. Le deuxième trimestre culmine à 10 parce que quatre institutions marocaines ont été listées par un seul groupe en une journée, le 27 avril dans le suivi que nous retenons et le 26 mars dans un second suivi (cas 2), et que les deux revendications libyennes tombent en avril et en juin. Si la date du second suivi est la bonne, le T1 serait à 9 et le T2 à 6. Le Maroc compte des revendications chaque trimestre, 3, 5 et 5, tandis que les trois revendications tunisiennes du T2 sont les dernières de la fenêtre. Le suivi ne liste aucune nouvelle revendication pour les cinq pays entre le 26 septembre et le 11 octobre.

Les barres annuelles sont des chiffres bruts du suivi, pas les 20 revendications nettoyées utilisées dans le reste de ce rapport. Elles montrent les entrées 2026 du suivi au 11 octobre au niveau de toute l’année 2025, contre 9 en 2023. Comme les années anciennes ont été collectées plus mince et que les chiffres ne sont pas nettoyés, nous lisons ces barres comme un signal de hausse, pas comme un taux de croissance mesuré. La barre 2026 est le même ensemble que les 23 entrées brutes dans le périmètre avant le retrait de trois entrées classées sous un mauvais pays, et elle ne contient aucune entrée d’octobre ; après nettoyage, il reste 20 revendications dont la plus récente date du 25 septembre. Nous n’avons trouvé aucune statistique officielle maghrébine sur les incidents de rançongiciel à placer à côté, même si la direction nationale de la cybersécurité du Maroc fait état de 879 incidents cyber de tous types en 2025 (section 10).

3. Les groupes en un coup d’œil

Onze groupes ont signé 20 revendications. APT73 est en tête avec quatre, toutes dans un seul lot daté du 27 avril, ou du 26 mars dans un second suivi, et Qilin, Tengu et The Gentlemen en ont signé trois chacun. Les sept autres groupes en ont signé une chacun. Dix des 11 groupes figurent aussi dans nos données françaises et ont signé ensemble 19 des 20 revendications maghrébines. Seul Stormous n’y figure pas. Le Maghreb est donc un marché mineur pour des marques qui opèrent surtout en Europe et en Amérique du Nord, pas un marché d’origine pour des opérateurs locaux.

Les mêmes groupes au Maghreb, en France et en Turquie

Les chiffres français et turcs proviennent de nos rapports sur la France et la Turquie. Lire le rapport sur la France · Lire le rapport sur la Turquie

4. Qui est touché

Notre propre classification des 20 revendications, à partir des étiquettes sectorielles du suivi, en corrigeant les quelques-unes dont nous avons vu qu’elles étaient erronées. Chaque revendication est comptée une fois.

Avec si peu de revendications, la répartition est un signal et non une statistique. Les services aux entreprises arrivent en tête avec 25 % : un prestataire d’externalisation de service client, deux sociétés de recrutement et d’intérim, un cabinet d’audit et de comptabilité et un réseau de conseil. L’industrie suit avec 20 %, de la robinetterie sanitaire et de l’ingénierie à un constructeur de bus et à un groupe algérien diversifié. Seules 3 des 20 nomment des organismes publics, mais le marché des forums est différent (section 7) : les organismes publics sont la cible la plus fréquente dans les publications que nous avons pu voir. Par rapport à la Turquie, où 39 % des revendications touchent des industriels, et à la France, où les petites entreprises et les communes dominent, la liste maghrébine est une liste de services.

Au Maghreb, l’organisation listée est souvent un intermédiaire : une entreprise qui détient le personnel et les dossiers d’autres entreprises.

5. Dossiers

Les chiffres montrent la forme du problème. Les cas individuels montrent comment il fonctionne. Chaque cas ci-dessous indique ce qui a été revendiqué, ce que suggèrent le calendrier et la structure, et le degré de confiance que nous lui accordons.

Cas 1. La couche de services : cinq sociétés, quatre groupes

Revendications. Cinq sociétés de services ont été listées : un réseau de conseil et de comptabilité au Maroc (Tengu, 20 février), un prestataire d’externalisation de service client au Maroc (Qilin, 4 mars), une société d’intérim tunisienne (Titan, 14 avril), un cabinet marocain d’audit et de comptabilité (Qilin, 10 juillet) et une agence de recrutement marocaine, ancienne filiale d’une marque mondiale d’intérim (The Gentlemen, 14 août). Quatre groupes différents ont signé les cinq revendications. Hors de notre décompte, d’autres annonces nomment des sites maghrébins d’entreprises sous contrôle étranger : l’une liste les usines d’un câblier allemand, dont une en Tunisie, avec 1,1 To revendiqués sur cinq sites, et une autre une opération de support externalisée basée aux Pays-Bas et en Tunisie, avec 86,7 millions d’enregistrements de connexion revendiqués.
Lecture. Ces sociétés détiennent paie, pièces d’identité, contrats et données clients pour de nombreux clients, souvent en Europe, car le Maghreb est une grande base de proximité pour le service client et l’intérim en français. Une revendication contre l’intermédiaire peut exposer ses clients sans que personne ne touche à leurs réseaux. C’est une hypothèse, pas un constat, et les cas sous contrôle étranger sont des annonces isolées aux volumes revendiqués importants que nous n’avons pas pu vérifier.
Confiance. Élevée sur l’existence des annonces. Modérée sur la lecture en termes de risque fournisseur, qui est notre déduction. Faible sur les volumes revendiqués pour les sites sous contrôle étranger.

Cas 2. Un jour, quatre institutions nationales (APT73)

Revendications. Le 27 avril, APT73 a listé quatre noms marocains : une chaîne de télévision nationale, un institut d’études stratégiques public, l’opérateur national de télécommunications et l’autorité de régulation de la communication audiovisuelle. Un second suivi date les quatre du 26 mars.
Lecture. Quatre organismes nationaux des médias, des télécoms, de la recherche et de la régulation listés ensemble par une seule marque ressemblent à une campagne visant la visibilité plus qu’à une rançon demandée à une petite entreprise. C’est notre lecture, pas un constat. Nous n’avons aucune preuve de ce qui a été pris, le cas échéant, ni de réponse publique d’aucun des quatre. Le désaccord de dates entre les deux suivis montre à quel point une date unique dans un registre de site de fuite mérite peu de confiance.
Confiance. Élevée sur l’existence des annonces. Faible sur les données, le mobile et la date.

Cas 3. Libye : une banque centrale, une société pétrolière et des ports

Revendications. Payload a listé une société pétrolière libyenne le 8 avril, et Qilin a listé la Banque centrale de Libye le 22 juin. La banque a déclaré le 30 juin avoir rejeté toute négociation ou tout paiement, qu’aucun signe confirmé n’indiquait que les comptes, soldes ou actifs avaient été compromis, que les services de base fonctionnaient, et que les données pouvaient venir d’une opération de piratage antérieure. L’Agence de sécurité intérieure libyenne a par ailleurs averti que certains fichiers divulgués contiennent des logiciels malveillants destinés à infecter ceux qui les ouvrent, a demandé de ne pas télécharger de fichiers provenant de sources non fiables et a dit que partager ces documents pouvait engager la responsabilité juridique. Dans le flux des forums, un seul pseudonyme, EvaN47, signe cinq des dix publications de la Libye entre le 30 juin et le 24 septembre : un ministère de l’enseignement technique, le ministère des Affaires étrangères, la société des ports, le Croissant-Rouge et la compagnie pétrolière nationale.
Lecture. La Libye compte peu de revendications sur les sites de fuite mais une campagne soutenue sur les forums contre des organismes d’État et des opérateurs critiques, au rythme d’une annonce par semaine en septembre. La déclaration de la banque centrale est un modèle de réponse mesurée : elle nie ce qu’elle n’a pas pu confirmer et ne nie pas que des données aient été publiées. L’avertissement sur les logiciels malveillants ajoute une leçon pour tous : les fichiers divulgués peuvent contenir des logiciels malveillants et ne s’ouvrent que dans un environnement isolé. Nous ne savons pas si les publications de forums et les revendications de rançongiciel sont liées, et nous ne les relions pas.
Confiance. Élevée sur les annonces et sur la déclaration publique de la banque. Faible sur les données et sur tout lien entre les deux ensembles.

Cas 4. Le marché des forums marocain : un pseudonyme, huit annonces en dix jours

Revendications. Du 1er au 10 octobre, un seul pseudonyme, Nameless511, a publié huit annonces marocaines : une enseigne de commerce de sport, deux jeux de données de ministères et un fichier de journalistes, une université, un détaillant informatique deux fois, un site marocain d’hébergement ou de e-commerce et un ministère de l’Habitat. Un autre pseudonyme, anisanas2, signe 12 des 80 publications du Maroc, dont un ministère de l’Investissement, un distributeur médical, une société de livraison et un site de petites annonces. Un vendeur a aussi listé le 10 septembre un exploit d’exécution de code à distance et d’injection SQL visant des cibles marocaines.
Lecture. Le marché marocain est dominé par quelques vendeurs prolifiques qui publient souvent et couvrent des organismes publics et des sites grand public. L’annonce d’un ministère du 2 octobre a été publiée deux fois le même jour par deux pseudonymes, une fois sur un forum et une fois sur Telegram, ce qui suggère une republication ou des revendications concurrentes, pas deux violations. Plusieurs titres citent des volumes très élevés, comme un titre indiquant « 109,683K », dont nous ne pouvons pas confirmer l’unité, et nous ne pouvons en vérifier aucun. Certains titres sont mal étiquetés : une annonce classée sous le Maroc nomme un service de l’économie d’un État mexicain.
Confiance. Élevée sur l’existence des publications. Faible sur le fait que chacune décrive une violation réelle et nouvelle.

Cas 5. Des pseudonymes qui franchissent les frontières, et la politique

Revendications. Au moins cinq pseudonymes apparaissent dans plus d’un pays : xNov (Maroc 7 publications, plus un panneau d’administration tunisien et une université algérienne), Keymous (Maroc 3, plus un assureur tunisien), anisanas2 (Maroc 12, plus une direction de recherche algérienne), Infrastructure Destruction Squad (le ministère algérien de la Défense deux fois, plus une compagnie aérienne libyenne) et Elite Squad (une université libyenne et une association marocaine). Une famille de pseudonymes construits sur la même racine (dark07x, Dark07xx, dark07xxxx) apparaît en Algérie et en Tunisie. Le ministère algérien de la Défense a été nommé quatre fois en septembre par deux pseudonymes, deux publications chacun. Le 24 septembre, lendemain des élections législatives marocaines du 23 septembre, un pseudonyme a publié une annonce sur les élections. En avril 2025, un groupe de pirates algérien appelé JabaRoot DZ a revendiqué une importante violation de la caisse de sécurité sociale du Maroc, en disant répondre à la prise de contrôle du compte d’une agence de presse algérienne, et a publié des données sur Telegram que des chercheurs disent couvrir environ deux millions de salariés. Des pseudonymes aux noms proches, jabaroot0 et Jabrooot, apparaissent dans des annonces de 2026.
Lecture. Des pseudonymes reviennent dans des annonces concernant plus d’un pays, ce qui ne prouve pas qu’ils partagent des opérateurs ou une organisation, et les annonces se regroupent autour d’événements politiques et de la rivalité Maroc–Algérie. Nous ne relions pas les pseudonymes de 2026 au groupe de 2025, et nous ne pouvons pas dire qui se cache derrière un pseudonyme. Un nom de ministère de la Défense dans une annonce peut signifier une intrusion réelle, une ancienne fuite ou une revendication faite pour l’effet.
Confiance. Élevée sur les annonces et sur les rapports publics de la violation de 2025. Faible sur l’identité des acteurs et sur les liens entre pseudonymes.

Cas 6. La grappe télécoms de la Tunisie, et la visibilité limitée en Mauritanie

Revendications. Quatre des 17 publications de forums tunisiennes, que l’outil date d’août 2025 à juillet 2026, nomment des opérateurs télécoms ou fournisseurs d’accès : deux opérateurs en août et septembre 2025 d’une même famille de pseudonymes, un accès à la messagerie web de deux fournisseurs en juillet 2026 et un fournisseur en mars 2026. D’autres annonces tunisiennes nomment un ministère de la Justice, une école d’administration, un ministère de la Formation professionnelle, un assureur, une base juridique et un site d’emploi de 137 000 lignes. Pour la Mauritanie, le suivi ne liste aucune revendication dans la fenêtre et l’outil de veille deux publications, dont une nomme un opérateur de télécoms et d’accès Internet le 15 mai 2026.
Lecture. Vendre un accès à la messagerie web ou à des comptes chez un fournisseur d’accès est plus grave que vendre une table fuitée, car l’acheteur peut le réutiliser contre les clients du fournisseur. Le décompte de la Mauritanie mesure la visibilité, pas la sécurité : peu de fiches dans des langues faciles à suivre et peu de comptes rendus locaux donnent peu d’enregistrements, et l’absence d’annonces ne prouve pas l’absence d’incidents.
Confiance. Élevée sur l’existence des publications. Faible sur le contenu de chacune, et très faible sur l’exposition réelle de la Mauritanie.

6. Acteurs de la menace actifs : présence, motivation et TTP

Trois acteurs retenus, choisis pour leur intérêt pour les défenseurs et non par volume, ont signé 10 des 20 revendications et sont présentés ci-dessous. Tengu compte autant de revendications que deux d’entre eux, mais nous disposons de moins de rapports techniques sur lui que sur ces trois. Leurs détails techniques publics proviennent de rapports d’incidents mondiaux, pas des cas maghrébins : lisez donc les tactiques comme des comportements connus de chaque groupe en général, pas comme la preuve de ce qui est arrivé à une entreprise précise. Les identifiants de techniques renvoient à MITRE ATT&CK.

Cinq acteurs disposant de suffisamment de rapports techniques publics sont présentés, chacun avec au moins une revendication maghrébine. Les marques reflètent les rapports publics sur chaque groupe dans le monde, pas des preuves d’incidents maghrébins. Une cellule vide signifie que la technique n’est pas documentée dans les sources que nous avons examinées, pas que le groupe ne l’utilise pas. APT73 n’a pas de colonne car nous disposons de moins de rapports techniques publics à son sujet.

Profils des acteurs

Autres groupes à connaître

• Tengu (3). Marque RaaS plus récente qui, selon des éditeurs, passe par des services distants exposés, des comptes valides et des outils natifs du système. Elle a listé un réseau de conseil au Maroc le 20 février, un groupe algérien diversifié le 28 janvier et une entreprise marocaine de robinetterie sanitaire le 17 janvier.
• Krybit, LockBit 5.0, INC Ransom et Payload (une chacun). Un groupe hôtelier de Marrakech le 12 septembre (Krybit), une boutique de sport en ligne le 13 avril (LockBit 5.0), une entreprise marocaine liée à la pharmacie le 25 septembre (INC Ransom) et une société pétrolière libyenne le 8 avril (Payload).
• Arcus Media, Titan et Stormous (une chacun). Arcus Media a listé un bureau d’ingénierie marocain le 25 juillet. Le suivi date cette marque RaaS de mai 2024. Titan a listé la société d’intérim tunisienne le 14 avril, et Stormous une enseigne tunisienne de supermarchés le 28 juin, le seul des 11 groupes qui ne figure pas dans nos données françaises.

7. Au-delà des sites de fuite : le marché des forums et de l’hacktivisme

Les équipes de rançongiciel publient leurs victimes sur leurs propres sites. Tous les autres publient sur des forums criminels et Telegram : vendeurs de données, courtiers d’accès, hacktivistes et chercheurs de notoriété. Au Maghreb, c’est le marché le plus important. Un outil de veille commercial liste 129 publications dans les cinq pays sous son filtre par pays, couvrant environ août 2025 à octobre 2026, contre 20 revendications de sites de fuite en neuf mois. Nous avons pu voir le détail de 85 des 129 publications : 36 des 80 du Maroc (35 après exclusion d’une annonce classée sous le Maroc qui nomme un service mexicain), les 20 algériennes, les 17 tunisiennes et les 10 libyennes, et les deux mauritaniennes. Les décomptes d’organismes publics de ce rapport portent sur ces publications visibles. Nous ne nommons aucune victime ici, parce que les revendications ne sont pas vérifiées et que nommer une cible peut amplifier une revendication non prouvée.

Les deux colonnes couvrent des fenêtres différentes et ne sont pas comparables. Le flux des forums va d’environ août 2025 à octobre 2026.

À quoi ressemble le marché

• Concentré au Maroc, dispersé ailleurs. Les cinq premiers pseudonymes du Maroc représentent 35 de ses 80 publications (44 %) : anisanas2 12, Nameless511 8, xNov 7, PKA291 5 et Keymous 3. En Algérie, en Tunisie et en Libye, aucun pseudonyme ne dépasse deux publications, sauf EvaN47 avec cinq des dix de la Libye.
• Les organismes publics dominent les annonces visibles. Dans les annonces que nous avons pu voir, 9 des 35 publications marocaines (un élément mexicain mal étiqueté exclu), 12 des 20 algériennes, 5 des 17 tunisiennes et 5 des 10 libyennes nomment des ministères, des agences ou des programmes publics. Les universités et écoles en ajoutent 3 pour le Maroc, 3 pour l’Algérie et 2 pour la Tunisie.
• De l’accès autant que des données. Les titres proposent un shell web et un accès à un pare-feu sur des domaines publics, un accès à la messagerie web chez des fournisseurs d’accès, un panneau d’administration, un exploit à vendre et une base d’avocats. Vendre un accès n’est pas vendre des données : il peut être réutilisé.
• De gros volumes revendiqués, parfois de vieilles données. De nombreux titres indiquent un nombre d’enregistrements, de 5 000 à 137 000 lignes, jusqu’à des centaines de milliers. Certaines sont des annonces de données anciennes ou agrégées, et d’autres des republications des mêmes données par un second pseudonyme.

Comme ailleurs, les données publiées par des attaquants peuvent provenir de fuites plus anciennes ou de plusieurs sources, et les victimes doivent les qualifier avant d’agir. Pour un ministère, une université ou un distributeur, cela signifie vérifier si un échantillon correspond aux enregistrements actuels, quel âge semblent avoir les champs et si l’auteur de l’annonce revend quelque chose de déjà public.

Confiance. Que les publications existent : élevée. Que chacune décrive une véritable violation : faible. Que l’une corresponde à un incident de rançongiciel : faible. Nous ne pouvons relier aucune annonce à aucune revendication, et nous ne le faisons pas.

8. Mise à jour hors de la fenêtre du rapport : octobre 2026

Le suivi ne liste aucune nouvelle revendication de site de fuite pour les cinq pays après le 25 septembre. L’outil de veille des forums montre 10 annonces marocaines du 1er au 10 octobre, dont huit d’un seul pseudonyme (cas 4), et une annonce d’un ministère libyen le 7 octobre. Le 9 octobre, la presse a rapporté l’arrestation de Qilin évoquée dans nos autres rapports, même si elle le relie à des attaques contre des entreprises allemandes, pas au Maghreb. Aucun de ces éléments n’entre dans les 20.

9. Comment ils entrent

Les sites de fuite montrent les victimes, pas les intrusions : cette section s’appuie donc sur des rapports publics d’éditeurs et sur l’intitulé des annonces de forums. Le tableau cohérent :

• Applications web et panneaux d’administration exposés. De nombreux titres de forums nomment un site ou un panneau, et l’un propose un exploit d’exécution de code à distance et d’injection SQL. Les applications web du secteur public sont l’entrée habituelle, et la direction nationale de la cybersécurité du Maroc a relevé 20 failles critiques dans 76 applications web du secteur public auditées de janvier à septembre 2025.
• Comptes valides et services distants exposés. Les éditeurs décrivent des affiliés de Qilin, de The Gentlemen et de Tengu qui passent par des comptes VPN, des services distants exposés et des outils qui se fondent dans l’administration normale. Une annonce d’accès à un pare-feu sur des domaines publics correspond à la même voie.
• Accès achetés. Les vendeurs de forums proposent des accès à la messagerie web, des panneaux d’administration et des shells web chez des fournisseurs d’accès et des ministères, et les acheteurs peuvent choisir la cible.
• Prestataires mutualisés. Les sociétés d’externalisation, d’intérim et de conseil détiennent les dossiers de nombreux clients, ce qui est une hypothèse à examiner parmi d’autres.

10. Le cadre réglementaire

Les cinq pays diffèrent largement, et nous nous appuyons sur des synthèses juridiques publiques, pas sur les textes officiels. Maroc : la loi 05-20 sur la cybersécurité impose aux administrations de l’État et aux entités d’importance vitale de signaler immédiatement les incidents à l’autorité nationale de cybersécurité, la DGSSI, et en janvier 2026 la DGSSI a indiqué que de nombreuses entités ne déclarent pas systématiquement ni dans les délais les incidents, ou tardent à fournir les données techniques demandées, ce qui affaiblit sa vision de la menace réelle, et a appelé à une déclaration systématique et immédiate. Elle fait état de 879 incidents cyber en 2025. La loi marocaine sur les données personnelles, la loi 09-08, est contrôlée par la CNDP, et des commentateurs indiquent qu’elle n’impose pas de notification des violations, même si notifier est recommandé. Algérie : la loi 18-07 sur la protection des données personnelles a été modifiée par la loi 25-11 du 24 juillet 2025, qui ajoute, selon des commentateurs, une notification sous 72 heures à l’ANPDP, des délégués à la protection des données et des analyses d’impact, et l’agence nationale de cybersécurité est l’ASSI. Tunisie : la loi organique 2004-63 sur les données personnelles ne comporte pas de règle détaillée de notification des violations selon des commentateurs, tandis que le décret-loi sur la cybersécurité du 11 mars 2023, en vigueur depuis le 11 septembre 2023, a élargi les pouvoirs de l’agence nationale de cybersécurité et impose, selon des commentateurs, aux entités concernées de déclarer les incidents, sans que nous ayons vérifié l’article précis ni les entités visées. Libye : il n’existe ni loi globale de protection des données ni autorité, et la loi no 5 de 2022 sur la cybercriminalité est critiquée par des organisations de défense des droits. Mauritanie : la loi 2017-020 a créé une autorité de protection des données personnelles, constituée en 2022, et nous n’avons pas pu confirmer son degré d’application. Prenez un avis juridique pour tout cas précis. Nous ne sommes pas juristes.

11. Perspectives pour le T4 2026 et le T1 2027

Ce sont nos prévisions, pas des constats, et chacune repose sur les données ci-dessus.

1. Le flux des sites de fuite reste bas, à 5 à 12 revendications par trimestre. Le registre trimestriel a été de 5, 10 et 5, et rien n’a été listé après le 25 septembre. C’est un scénario qualitatif, pas une prévision statistique. Il suppose une couverture de collecte et des règles d’attribution globalement stables, et un autre lot comme celui des quatre en un jour le ferait bouger.
2. Les prestataires de services restent dans le viseur. Les sociétés d’externalisation, d’intérim et de conseil ont attiré des revendications de quatre groupes : attendez-vous à en voir aussi de nouvelles marques, et davantage de sites maghrébins sous contrôle étranger dans les annonces.
3. Les annonces de forums et d’hacktivisme continuent de suivre l’actualité. La période post-électorale au Maroc, la rivalité Maroc–Algérie et les institutions libyennes sont des thèmes probables. Un seul pseudonyme prolifique peut ajouter huit annonces en dix jours : le décompte d’un trimestre peut donc basculer sur une seule personne.
4. Les opérateurs critiques libyens restent exposés avec une faible visibilité. La banque centrale, une société pétrolière et la société des ports sont nommées dans des ensembles différents, et le pays n’a pas de régime de protection des données pour imposer la divulgation.
5. Les obligations de signalement entrent dans la planification. La notification sous 72 heures de l’Algérie serait en vigueur, la DGSSI du Maroc demande une déclaration immédiate et l’agence tunisienne exige une déclaration : les groupes actifs dans plusieurs pays ont besoin d’un seul plan avec plusieurs horloges.

12. Que faire ce trimestre

1. Commencez par la bordure de votre réseau et vos applications web publiques. Recensez chaque VPN, pare-feu, passerelle d’accès distant, messagerie web et panneau d’administration exposé à Internet, ainsi que chaque application web publique. Fixez un objectif interne proposé de 48 heures pour corriger les failles activement exploitées, utilisez des mesures compensatoires lorsque la correction ne peut être immédiate, et hiérarchisez selon l’exploitation confirmée, l’exposition, la criticité de l’actif et les consignes de l’éditeur.
2. Vérifiez si vos identifiants sont en vente. Recherchez dans les journaux de voleurs d’informations, les combolists et les annonces de courtiers les comptes d’employés et de fournisseurs, y compris la messagerie web, changez les mots de passe des comptes dont les identifiants apparaissent, révoquez les sessions actives et vérifiez la réutilisation des mots de passe.
3. Si vous externalisez vers la région, demandez à votre prestataire ce qu’il détient. Exigez des preuves de MFA, d’EDR et de sauvegardes hors ligne, limitez les données clients qu’il conserve, et convenez à l’avance de la manière et du moment où il vous informera d’un incident.
4. Organismes publics : auditez avant qu’un forum ne le fasse à votre place. Testez chaque application web publique, retirez les panneaux par défaut et de test, et passez en revue qui a accès. Les audits du Maroc ont relevé 20 failles critiques dans 76 applications, ce qui donne l’ordre de grandeur à prévoir.
5. Vérifiez les données revendiquées avant d’agir. Si votre nom apparaît avec un nombre d’enregistrements, vérifiez d’où les données peuvent venir, quel âge elles ont et si elles correspondent à vos dossiers, puis décidez de la notification avec votre responsable de la protection des données. N’ouvrez pas de fichiers divulgués sur un poste de travail ordinaire : l’Agence de sécurité intérieure libyenne a averti que certains fichiers divulgués depuis sa banque centrale portent des logiciels malveillants.
6. Fixez vos délais de signalement et vos étapes d’escalade pour chaque pays où vous opérez. Sachez qui signale à quelle autorité, à quelle vitesse, qui informe le conseil, et répétez une déclaration publique aussi mesurée que celle de la banque centrale libyenne : niez ce que vous ne pouvez pas confirmer, ne niez pas ce qui est vrai.
7. Surveillez le nom de votre organisation. Les sites de fuite, les canaux Telegram et les forums de courtiers peuvent diffuser vos données avant que vous n’appreniez une violation. Une détection à ce stade peut faire gagner des jours.

Sources

• Ransomware.live, country victim records
• RansomLook, group and post records
• Teiss, Central Bank of Libya says data breach has been contained
• TelQuel, Cyberattaques en hausse : la DGSSI exige une déclaration immédiate des incidents
• ThreatCluster, citing Libya Herald, Malware found in alleged leaked data from the Central Bank of Libya
• Resecurity, Cybercriminals attacked the National Social Security Fund of Morocco
• CybelAngel, Escalating cyber hostilities in North Africa (CNSS breach update)
• Hespress, Morocco says 879 cyber-incidents reported in 2025 amid expanded audits
• Morocco World News, Morocco sets September 23 as date for parliamentary elections
• Regulations.ai, Morocco Cybersecurity Law 05-20
• CMS, Data protection and cyber security laws in Algeria
• InCyber, Tunisia expands scope of national cybersecurity agency
• Libya Law Society, Law No. 5 of 2022 on combating cybercrimes
• Proven Data, Qilin attack chain and MITRE ATT&CK TTPs

Les sources sont liées dans leur langue d’origine. Le flux de forums que nous avons échantillonné est un service commercial et n’est pas lié.