Cybersécurité en Afrique : nouvel enjeu pour les TPE/PME

Avec des cyberattaques d'ampleur comme Wannacry ou NotPetya, il est devenu la norme pour les médias occidentaux de couvrir ces événements auprès du grand public.

Face à ce postulat, une croyance collective s’est établie. Ne voyant pas de couverture médiatique sur des événements ayant ciblé des entreprises sur le continent africain, nous pouvons penser que ce dernier serait hors d’atteinte soit en raison d’une connectivité plus faible, soit parce qu’elle n’intéresserait pas les cybercriminels.

Or depuis l’année 2005, comme le rapporte l’Union Internationale des Télécommunications⁽¹⁾, le continent africain connaît un taux d’adoption à Internet qui est deux fois plus élevé que la moyenne constatée dans le reste du monde.

Si cette progression varie d’un pays à l’autre, elle a permis à de nombreuses entreprises, en particulier les petites et moyennes entreprises (PME), de se digitaliser rapidement — tout en s’exposant à de nouvelles menaces.

Cette situation pose interroge : pourquoi les entreprises africaines, et notamment les PME, sont-elles autant ciblées ? Quels sont les facteurs qui expliquent leur exposition ? Quelles mesures concrètes peuvent être mises en œuvre pour améliorer leur niveau de protection ?

Internet, plateforme de micro-paiement, utilisation de l’intelligence artificielle dans l’agriculture, l’adoption des nouvelles technologies sur le continent africain se fait à marche forcée, transformant par la même occasion le paysage économique local.

Une situation qui n’échappe pas aux cybercriminels, qui voient dans cette adoption technologique une nouvelle source de revenus potentielle pour les années à venir. Ainsi, les cyberattaques se multiplient à mesure que l'adoption de la digitalisation progresse sur le continent.

Dès 2021 et malgré le faible niveau de déploiement d’Internet en Afrique francophone subsaharienne, 25 % des PME de moins de 100 salariés de cette zone ont déclaré avoir été victimes d’une cyberattaque⁽²⁾.

Depuis cette période, l’adoption d’ Internet s’est accélérée avec une progression de 8 % sur un an dès l’année 2023 ⁽³⁾. Si ce chiffre peut sembler faible, rappelons que le continent africain est peuplé de 1,5 milliards d’habitants. Ces maigres 8% représentent donc des pays comme la France et l’Italie qui adopteraient chaque année Internet sur l’ensemble de leur territoire.

Cette adoption est donc massive et profite aux petites comme aux moyennes entreprises (PME), lesquelles représentent près de 90 % du tissu entrepreneurial et 40 % du produit intérieur brut⁽⁴⁾.

Pour ces entreprises, cette transformation numérique représente un véritable levier de croissance : elles dépendent désormais de l’extension et de la fiabilité des infrastructures numériques pour améliorer leur productivité et accéder à de nouveaux marchés à condition de protéger leur système d’information face aux cybercriminels.

Comme le rapporte Franck Kié, Directeur général du Ciberobs Consulting et fondateur du Cyber Africa Forum, auprès du micro de RFI en 2024 : 

« Depuis l’année dernière, on recense environ 1 800 cyberattaques par semaine sur le continent, contre une moyenne mondiale d’environ 1 500 faisant de l'Afrique la région la plus touchée par les cybercriminels ». ⁽⁵⁾.

Une situation qui s'explique par une transformation profonde de la cybercriminalité en Afrique, tant dans ses méthodes que dans ses cibles et son organisation.

À l’origine, les figures les plus visibles étaient les brouteurs, des cyberdélinquants souvent jeunes, peu formés mais très actifs, opérant principalement depuis l’Afrique de l’Ouest. Leurs techniques reposaient sur des arnaques sentimentales ou financières menées par messagerie, visant des victimes en Europe ou en Amérique du Nord. L’un des groupes les plus emblématiques est celui des Yahoo Boys, très présents au Nigeria.

Avec le temps, ces activités ont évolué vers des formes plus structurées. Une partie des Yahoo Boys s’est organisée en véritables réseaux criminels, à l’image de Black Axe⁽⁶⁾, un groupement mafieux désormais impliqué dans des attaques de grande envergure. Ces groupes se sont professionnalisés et se spécialisent notamment dans la compromission de courriels professionnels (BEC), ainsi que dans l’utilisation de logiciels malveillants comme les trojans ou les ransomwares.

Si les cibles restaient historiquement concentrées sur les pays occidentaux, de plus en plus d’attaques visent aujourd’hui des entreprises africaines. D’après le rapport Interpol 2025, la cybercriminalité représente désormais 30 % des actes criminels recensés en Afrique de l’Ouest et de l’Est ⁽⁷⁾, confirmant un changement d’échelle qui appelle des réponses coordonnées à l’échelle continentale.

C’est notamment pour faire face à cette situation que des initiatives comme le Cyber Africa Forum⁽⁸⁾ se développent, avec l'édition 2025 prévue à Cotonou, visant à renforcer le dialogue, le partage d’expériences et la montée en compétence des acteurs africains en cybersécurité.

Car dans les faits, de nombreuses entreprises africaines tardent à adapter leur posture. Une position partagée dans les colonnes de Batonga Media par Hervé Bah, Partner chez CiberObs Consulting, également participant au Cyber Africa Forum, qui observe une véritable passivité du côté des entreprises : 

 « La plupart du temps, on considère que tant que l’on n’est pas touché personnellement, ce n’est pas grave, c’est le problème du voisin. Une vision accentuée par le fait que beaucoup d’entreprises voient la cybersécurité avant tout comme un coût supplémentaire, et non comme un investissement nécessaire »⁽⁹⁾.

Ce manque de préparation se révèle notamment lors des attaques par ransomware. « Normalement, dans ce genre de situation, la règle devrait être de ne pas négocier. Malheureusement, la plupart des entreprises choisissent de payer, car elles découvrent que leurs sauvegardes sont inexploitables ou que la politique de sauvegarde n’a pas été sérieusement appliquée. Au final, elles se retrouvent dans l’incapacité de restaurer leurs données et de reprendre leur activité. »

Si les entreprises commencent enfin à prendre en compte la mesure du problème, ces avancées restent encore insuffisantes pour répondre à l’ampleur de la menace.

Un retard qui s’explique aussi par le manque de régulation et de coordination au niveau des États. Dix ans après la signature de la Convention de Malabo⁽¹⁰⁾ sur la cybersécurité et la protection des données, seulement une quinzaine de pays africains l’ont ratifiée.

Pour s’adapter à l’évolution du paysage numérique et faire face à la multiplication des cybermenaces, les entreprises africaines peuvent mettre en œuvre plusieurs actions concrètes, parmi lesquelles :

Intégrer la cybersécurité dans la stratégie d’entreprise

Selon une enquête de PWC sur la cybersécurité en Afrique francophone, plus de 70 % des responsables interrogés considèrent encore la cybersécurité comme une mission purement technique⁽¹¹⁾, sans implication réelle du top management.

Or, la cybersécurité ne peut plus être perçue comme une simple préoccupation technique et doit s'inscrire dans l’enjeu de gouvernance. Les dirigeants sont invités à se saisir du sujet, et à inscrire la gestion du risque cyber au même niveau que les autres risques stratégiques de l’entreprise.

Développer une culture du risque et de la préparation

L’anticipation reste la première ligne de défense. La mise en place d’un plan de gestion de crise cyber, adapté à la réalité de l’entreprise, doit devenir une priorité. Pour l'entreprise il s'agit d'identifier les responsabilités, les scénarios d’incident, les circuits de décision et les modes de communication.

Comme le souligne Hervé Bah dans son échange avec le média Agence Ecofin : « la préparation repose sur la capacité à réagir vite, selon des protocoles connus de tous : qui prévenir, quelles décisions prendre, quelles informations transmettre. » ⁽¹²⁾

Miser sur la formation et le développement des compétences

Face à des menaces de plus en plus ciblées, la sensibilisation du personnel reste un maillon central de la résilience. Malgré la multiplication des initiatives de formation, le rapport d'Interpol⁽¹³⁾ montre que les escroqueries en ligne, en particulier via le phishing, figurent parmi les cybercrimes les plus fréquemment signalés en Afrique. Les attaques par ransomware, le business email compromise (BEC) et la sextorsion numérique restent également très répandues.

Il est donc nécessaire de former l’ensemble des équipes, à tous les niveaux, sur les risques courants (phishing, ransomware, compromission via des partenaires) via des ateliers pratiques, des simulations.

Adapter les moyens à la taille et aux contraintes de l’entreprise

Les petites et moyennes entreprises, souvent dotées de ressources limitées, peuvent commencer par des actions accessibles : réaliser un état des lieux de leurs vulnérabilités, mettre en place des protections de base comme des antivirus, des sauvegardes régulières et une bonne gestion des mots de passe. Certaines fonctions peuvent aussi être confiées à des prestataires externes spécialisés.

L’enjeu principal est de mettre en place un socle minimal de sécurité : restreindre les accès aux informations sensibles, assurer la sauvegarde des données, et former les équipes aux bons réflexes en matière de cybersécurité.

Renforcer la coordination et la communication

En cas d’incident, informer les équipes, les clients et les partenaires sans délai permet de limiter l’impact d’une attaque et d’éviter les rumeurs ou la désinformation.

À ce titre, le rapport Interpol⁽¹⁴⁾ souligne que la sous-déclaration des incidents freine l’action des forces de l’ordre, souvent par peur d’être pointées du doigt ou faute d’outils adaptés. Encourager la déclaration rapide et transparente des incidents constitue un levier important pour renforcer la réponse collective face aux cybermenaces.

Présente dans 18 pays du continent, Orange Cyberdefense s’appuie sur une équipe d'analystes et experts pour offrir une surveillance continue et une réponse rapide aux incidents.

Nous accompagnons les petites et moyennes entreprises africaines dans la protection de leurs systèmes d’information grâce à une offre Micro-SOC, pensée pour les besoins des structures à taille humaine.

Les Micro-SOC d’Orange Cyberdefense permettent aux TPE et PME d’externaliser tout ou partie de leur sécurité informatique, avec des solutions managées, packagées et évolutives. Cette approche comprend à la fois la détection et la gestion des menaces, un accompagnement conseil personnalisé, ainsi qu’une intégration sur-mesure des outils de sécurité les plus adaptés à chaque secteur d’activité.

Grâce à cette expertise de proximité et à des outils adaptés, même les plus petites structures bénéficient d’un niveau de protection jusque-là réservé aux grandes entreprises, avec la garantie d’un accompagnement sur le long terme pour anticiper et contrer les cybermenaces.

Pour en savoir plus, contactez nos experts dès aujourd'hui.