C’est une autre menace technologique, invisible et sournoise. En Afrique de l’Ouest, les réseaux de cybercriminalité se sont considérablement renforcés et structurés ces dernières années. Ce ne sont plus seulement des amateurs utilisant des techniques basiques depuis des cybercafés mal équipés pour échapper à la pauvreté. Désormais, des experts bien formés lancent des offensives pour piller des individus ainsi que des entreprises de la région et d’ailleurs, selon l’étude coréalisée par Interpol et le laboratoire de sécurité informatique japonais, Trend Micro, rendue publique jeudi 9 mars.

Une variable explique en partie la sophistication de ces nouveaux réseaux mafieux : plus de la moitié des 10 millions de diplômés des 668 universités de la région englobant la dizaine de pays situés en Afrique de l’ouest ne trouvent pas d’emplois. Et de Bamako à Accra, en passant par Abidjan, Cotonou et Lagos, près de 50 % des gangsters œuvrant sur les territoires numériques sont des chômeurs.

Les « Yahoo Boys », de redoutables amateurs

Une nouvelle génération de cybercriminels ouest-africains a émergé. Elle se compose de jeunes diplômés sans emploi, regroupés pour certains au sein de gangs virtuels qui se vantent sur les réseaux sociaux de leurs cyberbraquages, échangent leurs techniques d’arnaques classiques et sophistiquées dans le monde réel. La plupart d’entre eux sont âgés de 19 à 39 ans.

Selon Interpol et Trend Micro, ils se répartissent en deux catégories. D’un côté, les « Yahoo boys » du nom des outils gratuits du géant de l’Internet américain qu’ils utilisaient autrefois. Ces novices du hacking maîtrisent les outils et les techniques simples mais éprouvés depuis bientôt deux décennies pour séduire leurs proies en ligne qu’ils tentent de harponner par e-mails. Ils n’inventent rien, n’innovent pas mais recyclent et améliorent continuellement – notamment dans la formulation et l’orthographe – les stratagèmes d’envoi de courriels de séduction, de propositions d’affaires ou des invitations à payer pour débloquer d’importantes sommes sur des comptes en banque. Cette « arnaque nigériane » a même hérité d’un nom de code, le « scam 419 », du nom de la loi 419 du Code pénal nigérian qui tente de la combattre.

L'accueil de la page Facebook d'un "scammer" africain. | D.R.

Le plus souvent, ces « Yahoo boys » orchestrent plusieurs tentatives de fraudes en même temps et varient les scénarios. Ces gamins aiment à musarder sur les réseaux sociaux à commencer par Facebook. Ils y repèrent régulièrement leurs victimes en utilisant de faux comptes. Et ils exhibent sur leurs pages officielles leurs butins transformés en bouteilles de champagne, montres, voitures et autres objets de luxe.

Les barons du cybercrime

D’un autre côté, les « cybercriminels en chef » eux bénéficient de l’expérience de « Yahoo boys » qu’ils furent autrefois. Ils ont, au fil des années, acquis des connaissances informatiques sur le terrain ou, pour certains, sur les bancs des universités. Et disposent désormais d’un sacré entregent.

Ces barons de la cybercriminalité ont recours à des logiciels plus complexes qu’ils acquièrent à peu de frais dans les tréfonds de l’Internet : le darkweb. Là, ils se fournissent auprès de hackers d’origine russe pour la plupart, selon la dernière étude d’Interpol et Trend Micro.

Leurs offensives nécessitent plus de temps et de compétences. Ils utilisent notamment des logiciels dédiés comme des « keyloggers » (espionnage de frappe au clavier), des « Rats » (Remote Access Tools/prise de contrôle à distance), mais aussi des outils plus sophistiqués d’envoi automatique d’e-mails, et désormais d’autres techniques plus élaborées de phishing (hameçonnage) ou de cryptolockers (racket par verrouillage de l’ordinateur). Cet arsenal de piraterie informatique s’installe habituellement sur les ordinateurs des victimes, à leur insu, via des virus, malwares et chevaux de Troie dissimulés dans des e-mails de spam (pourriels).

Elles ciblent en priorité des entreprises aux États-Unis d’abord (11 % des attaques) puis en Chine (10 %) et en Inde (5 %). Ces e-mails conçus pour piéger les entreprises sont de plus en plus élaborés : arnaques aux dirigeants de sociétés, demandes d’ordres de virements ou de changements d’identifiants bancaires… Plus de 400 entreprises sont ainsi ciblées chaque jour dans le monde par ces e-mails visant à gagner la confiance par ingénierie sociale, selon le FBI.

Nigeria, épicentre de la cybercriminalité africaine

Selon les autorités africaines désormais préoccupées par les ravages de la cybercriminalité, il est temps d’agir. Les estimations varient selon les sources mais plusieurs centaines de millions de dollars sont détournées par des cybercriminels chaque année sur le continent. La société d’antivirus, Kaspersky, prétend avoir neutralisé 49 millions de cyberattaques en Afrique, en 2014.

Pour se faire une idée des sommes détournées, il faut se plonger dans les études annuelles de l’IC3, (Internet Cyber Crime Center), une entité dépendante du FBI américain. On y apprend qu’en 2015, près de 31 000 victimes d’escroqueries classiques, comme celles pratiquées par les « Yahoo boys » africains, s’étaient fait délester de près de 50 millions de dollars.

Une étude menée en 2016 par le cabinet de sécurité Symantec met en exergue l’importance du Nigeria dans cette économie criminelle. Pas moins de 46 % des e-mails envoyés à des fins cybercriminelles proviennent de ce seul pays.

Dans son ouvrage sur le crime organisé au Nigeria (Hurst, 2016, non traduit), le chercheur Stephen Ellis relate avec précision la dissémination de réseaux de cybercriminels nigérians opérant en Afrique du Sud, en Côte d’Ivoire, en Grande-Bretagne ou en Australie. « Il y a même des collèges privés à Lagos [capitale économique du Nigeria] qui proposent des cours de fraudes à la carte de crédit et d’autres techniques [de cybercrimes] ». Ces enseignements sont facturés 70 000 nairas (210 euros) et sont dispensés le plus souvent la nuit. Plusieurs cybercriminels arrêtés au Nigeria en 2009 et 2010 étaient en contact régulier avec des hackers lituaniens et russes, spécialistes des arnaques et du piratage de comptes bancaires.

Le 1^er août 2016, Interpol annonçait l’arrestation de « Mike », le « Prince nigérian » de cette industrie criminelle. À lui tout seul, il aurait détourné dans sa poche plus de 60 millions de dollars, dont plus du quart au préjudice d’une seule entreprise.

Impunité et rites mystiques

« Nous avons un sérieux problème dans la région en matière de cybersécurité et plusieurs de nos pays sont listés en haut des classements internationaux en matière de cybercrimes », constate Dr Isaias Barreto da Rosa, commissaire de la Communauté des Etats d’Afrique de l’Ouest (Cedeao) qui s’apprête à lancer un programme de lutte contre la cybercriminalité.

En Afrique de l’Ouest, la cybercriminalité est de plus en plus souvent entrée dans les mœurs. Elle est même encouragée dans certaines sociétés où des rites mystiques protègent les cybercriminels. C’est le cas du « sakawa », au Ghana, un rituel lors duquel des chefs traditionnels et féticheurs apportent leur bienveillance à ces transactions électroniques illégales. Mais c’est au Nigeria, pays le plus peuplé d’Afrique, que les réseaux de cybercriminalité se sont traditionnellement le plus développés.

Les Etats de la Cedeao restent mal équipés et démunis face à cette menace. Pourtant, les plaintes de victimes ouest-africaines de ces cybercriminels ont augmenté ces dernières années, passant de 940 en 2013 à 2 182 deux ans plus tard.

Toutefois, le taux d’arrestations stagne à 30 %, selon l’étude d’Interpol et Trend Micro, ce qui renforce le sentiment d’impunité de la part de cybercriminels, futures recrues des mafias africaines de demain.