Alors que les services de l’Etat subissent une série d’attaques informatiques sans précédent -de la Daf au Trésor Public, avec plus de 70 Go de données exfiltrées-, la question de la résilience numérique du Sénégal est plus que jamais posée. Entre infrastructures obsolètes, fuites de données massives sur le Dark Web et enjeux de souveraineté nationale, le pays fait face à une explosion de menaces qui était pourtant prévisible dès 2024. Dans cet entretien, Dr Babacar Mbaye, enseignant-chercheur basé au Québec, livre une analyse sans concession sur le modus operandi des assaillants, l’urgence d’une gouvernance centralisée et la nécessité impérieuse de retenir les talents locaux pour protéger nos infrastructures critiques. Un plaidoyer pour faire de la cybersécurité un pilier de la souveraineté, au même titre que l’énergie.

Après la Daf, la Dgid, l’attaque récente contre le Trésor public a entraîné une fuite de 70 Go de données. Selon votre analyse, quel est le modus operandi type de ces groupes (DDoS, Ransomware, exfiltration) et pourquoi les services de l’Etat semblent-ils si vulnérables actuellement ? Or, Kaspersky annonçait déjà plus de 10 millions de menaces bloquées au Sénégal en 2024, montrant que l’explosion actuelle était prévisible.

Le mode opératoire observé ressemble surtout à des attaques combinant compromission des systèmes, exfiltration de données et extorsion, parfois accompagnées de DDoS pour créer une diversion ou accentuer la pression médiatique. En général, les as­saillants entrent via du phishing, des mots de passe faibles ou des serveurs non mis à jour, puis se déplacent dans le réseau pour récupérer des données sensibles avant de les publier ou de les monétiser sur le Dark Web.

Si les services de l’Etat paraissent vulnérables aujourd’­hui, c’est surtout à cause de facteurs structurels : infrastructures parfois obsolètes, manque de supervision continue, déficit d’experts cybersécurité et gouvernance de sécurité encore insuffisante. L’augmentation des attaques était malheureusement prévisible, car les administrations détiennent des données critiques mais n’ont pas toujours le même niveau de protection que les grandes institutions financières ou télécoms.

On parle souvent de groupes comme Myste­rious Team ou des collectifs d’hacktivistes. S’agit-il d’attaques opportunistes ou d’une offensive coordonnée contre la souveraineté numérique du Sénégal ?

Il faut rester prudent avant d’attribuer officiellement ces attaques, car seule une analyse technique approfondie permet de confirmer les responsables. Cela dit, plusieurs scénarios peuvent coexister : certaines attaques sont opportunistes, menées pour l’argent ou la visibilité, tandis que d’autres relèvent davantage de l’hacktivisme, avec des motivations politiques ou idéologiques. Lorsque plusieurs institutions stratégiques sont ciblées dans une période rapprochée, cela peut aussi traduire une volonté de fragiliser la confiance numérique de l’Etat. Aujourd’hui, la cybersécurité est devenue un enjeu de souveraineté nationale, au même titre que l’énergie ou les télécommunications.

Au-delà de la paralysie temporaire des services, quel est l’impact à long terme de la mise en ligne de données fiscales et administratives sur le Dark Web pour le citoyen sénégalais ?

L’impact peut être durable, aussi bien pour les citoyens que pour l’Etat. Pour les citoyens, une fuite de données peut entraîner des usurpations d’identité, des fraudes financières, du phishing ciblé ou encore du chantage numérique.

Pour l’Etat, le principal risque est une perte de confiance des citoyens envers les services numériques, avec des conséquences institutionnelles, économiques et même diplomatiques. Le problème, c’est qu’une donnée publiée sur le Dark Web ne disparaît pratiquement jamais : elle peut continuer à circuler pendant des années.

La stratégie nationale arrive à échéance. Quel bilan tirez-vous du volet «confiance numérique» ? Le retard dans certains projets d’infrastructures est-il la cause principale des failles observées ?

Le bilan est mitigé. Il y a eu des avancées sur le plan réglementaire et de la digitalisation, mais la maturité cybersécurité reste insuffisante dans plusieurs administrations. Le retard infrastructurel explique une partie du problème, notamment avec des systèmes anciens ou mal segmentés, mais ce n’est pas la cause principale. Les vraies failles viennent souvent du manque de gouvernance, de supervision continue, d’audits réguliers et de formation des utilisateurs.

Faut-il, comme certains experts le suggèrent, une agence nationale de cybersécurité dotée d’un pouvoir de contrôle et de sanction sur tous les ministères ?

Oui, parce qu’aujourd’hui, la cybersécurité de l’Etat reste fragmentée. Une agence nationale, avec un réel pouvoir de contrôle, permettrait d’imposer des standards minimums, de réaliser des audits obligatoires et de mieux coordonner les réponses aux incidents. Sans gouvernance centralisée, chaque ministère devient un point d’entrée potentiel.

La question du Cloud national est cruciale. Le fait que certaines données de l’Etat transitent ou soient stockées sur des infrastructures étrangères (ou non certifiées localement) est-il un facteur de risque majeur ?

Oui, surtout pour les données sensibles. Cela pose des questions de souveraineté, de contrôle juridique et de dépendance technologique. Si les infrastructures critiques ne sont pas maîtrisées localement, l’Etat perd une partie du contrôle sur ses données stratégiques. Cela ne veut pas dire qu’il faut rejeter totalement les clouds internationaux, mais les données critiques doivent être hébergées dans un cadre souverain et sécurisé.

L’autorisation de Starlink au Sénégal est un sujet brûlant. Est-ce une opportunité pour la résilience de notre connectivité ou une nouvelle porte dérobée difficile à sécuriser pour l’Etat ?

Les deux. Starlink peut renforcer la résilience de la connectivité nationale, surtout en cas de panne ou dans les zones isolées. Mais cela introduit aussi une dépendance à une infrastructure étrangère difficile à superviser totalement par l’Etat. Le défi sera donc d’intégrer cette technologie dans une architecture sécurisée et réglementée.

Sommes-nous trop dépendants de solutions de sécurité occidentales ou russes (comme Kaspersky, très présent au Sénégal) ? Comment favoriser une expertise et des outils «Made in Sénégal» ?

Oui, la dépendance technologique est réelle. Le Sénégal utilise principalement des solutions étrangères pour la cybersécurité. Pour développer un écosystème local, il faut investir dans la recherche, soutenir les startups cyber, encourager l’open source et surtout créer des passerelles fortes entre universités, Etat et secteur privé. Les com­pétences existent déjà ; le défi est de structurer l’écosystème.

Le Sénégal forme d’excellents ingénieurs, mais beaucoup partent à l’étranger. Comment retenir nos talents pour protéger nos propres infrastructures ?

Le problème n’est pas seulement le salaire. Beaucoup de talents partent parce qu’ils trouvent ailleurs de meilleurs projets, plus de reconnaissance et de meilleures conditions de travail. Il faut créer des centres d’excellence, financer les certifications, soutenir la recherche appliquée et intégrer davantage les experts locaux dans les projets stratégiques nationaux.

On dit souvent que le maillon faible est l’humain. Les fonctionnaires sénégalais sont-ils suffisamment sensibilisés aux gestes barrières numériques (phishing, hygiène des mots de passe) ?

Pas encore suffisamment. Le phishing, les mots de passe faibles et les mauvaises pratiques restent des vecteurs majeurs d’attaque. La sensibilisation doit devenir continue et obligatoire dans toutes les administrations, car même les meilleures technologies ne compensent pas une faible hygiène numérique.

Si vous aviez un budget d’urgence à allouer demain, quelle serait la priorité absolue : l’audit des systèmes existants, le recrutement de profils techniques (Soc/Cert) ou le renouvellement des équipements obsolètes ?

La priorité serait d’abord l’audit des systèmes existants. Il faut identifier précisément les vulnérabilités, les accès critiques et les systèmes exposés avant toute autre décision. Ensuite viendrait le renforcement des équipes Soc/Cert, puis le renouvellement progressif des équipements obsolètes.

Quel message adresseriez-vous aux autorités pour restaurer la confiance numérique des ­Sé­né­galais en 2026 ?

La confiance numérique ne se reconstruira pas uniquement avec des discours. Les citoyens attendent des actions concrètes : transparence sur les incidents, protection réelle des données et montée en puissance des capacités nationales de cybersécurité. La cybersécurité doit désormais être considérée comme un enjeu stratégique de souveraineté nationale.

Par Bocar SAKHO-bsakho@lequotidien.sn