En début d'année, une banque de la sous-région a été victime d'une intrusion informatique ayant abouti, selon la presse, au détournement de plus d'un milliard de francs CFA. Le mode opératoire mérite l'attention de toute institution financière : plus de 3 400 retraits frauduleux effectués en une seule nuit, sur des distributeurs répartis dans plusieurs villes du pays. Deux suspects ont été interpellés alors qu'ils tentaient de quitter le territoire.

L'établissement concerné n'a pas communiqué publiquement. Nous ne nommerons donc pas la banque : l'intérêt de ce cas n'est pas de désigner une organisation, mais de comprendre un mode opératoire qui peut viser n'importe laquelle d'entre elles.

Pourquoi cette lecture

En octobre 2019, alors que je travaillais chez NCR Corporation, j'étais au siège de Mastercard pour des travaux portant sur la sécurité des distributeurs automatiques. On y apprend rapidement une chose : la sécurité d'un ATM ne se joue jamais dans la machine elle-même. Elle se joue dans la chaîne complète — autorisation, seuils, supervision — et surtout dans le délai entre l'apparition d'une anomalie et le moment où quelqu'un peut réellement agir.

C'est cette grille de lecture que nous appliquons ici.

1. L'intrusion est numérique, l'extraction est physique

C'est le point le plus souvent manqué dans les commentaires de ce type d'incident.

Les attaquants n'ont pas procédé par virements. Ils ont retiré du liquide. Cela suppose une organisation matérielle au sol : des porteurs de cartes, une répartition géographique, une coordination horaire. L'intrusion informatique n'était que la première moitié de l'opération.

La conséquence est importante. Aucune institution ne peut se rassurer en se disant que ses services en ligne sont limités, ou que sa banque à distance est peu développée. Dès lors qu'un système d'information pilote des autorisations de retrait, la couche numérique et la couche physique forment un seul et même périmètre d'attaque.

Cela signifie aussi que la réponse à incident ne peut pas rester cantonnée à la DSI. Un incident de ce type engage simultanément la sécurité informatique, la monétique, le réseau d'agences et, très vite, la communication et le juridique. Si ces fonctions ne se sont jamais parlé avant l'incident, elles ne se parleront pas pendant.

2. L'heure choisie n'est pas un hasard

Une opération nocturne exploite trois faiblesses structurelles simultanées.

Les équipes de supervision sont réduites, parfois absentes. Les alertes générées automatiquement attendent l'ouverture des bureaux. Et le passage de minuit réinitialise les compteurs de retrait journaliers — ce qui permet, sur une même nuit à cheval sur deux jours calendaires, de doubler mécaniquement les plafonds disponibles.

La question pertinente n'est donc pas de savoir si l'institution dispose d'un système de détection. La plupart en disposent. La question est :

Qui regarde à trois heures du matin, et et que peut-il décider seul ?

Beaucoup d'organisations découvrent, pendant un incident, que leur dispositif d'astreinte permet de constater mais pas d'agir. L'opérateur de nuit voit l'anomalie, tente de joindre un responsable, et attend. Pendant ce temps, les retraits continuent.

3. La détection n'était pas le problème

Il faut un temps considérable pour réaliser 3 400 retraits. Ce n'est pas un événement instantané : c'est un signal qui se déploie sur plusieurs heures, avec une signature statistique massive.

Un tel volume, concentré sur quelques villes, dans une plage horaire inhabituelle, sur un nombre restreint de terminaux, constitue une anomalie que même des règles de corrélation simples devraient remonter. Il ne s'agit pas ici d'intelligence artificielle ni de technologie avancée : il s'agit de règles de seuil et de corrélation d'événements.

Si le signal existait et que l'opération a pu se dérouler, alors le problème ne se situe pas au niveau de la détection. Il se situe entre la détection et la décision.

L'écart entre détecter et pouvoir arrêter

Le rapport 2026 d'INTERPOL sur la cybermenace en Afrique formule ce constat à l'échelle continentale. Les institutions financières savent souvent identifier les transactions suspectes, mais ne disposent ni de l'autorité légale ni des canaux techniques pour bloquer rapidement une opération — un gel de compte ou un blocage de carte pouvant nécessiter des procédures de plusieurs jours. Le rapport qualifie cette situation d'angle mort dangereux.

Cet écart n'est pas technologique. Il est organisationnel et juridique. Et c'est dans cet écart que les fonds partent.

Les questions à poser dans votre organisation

Quatre questions permettent d'évaluer rapidement votre exposition à ce type de scénario.

Quel est votre délai réel entre anomalie et alerte humaine ? Non pas le délai théorique inscrit dans la procédure, mais celui mesuré lors du dernier incident réel ou du dernier exercice.

Qui détient l'autorité de suspension en dehors des heures ouvrées ? Si la réponse implique de réveiller trois personnes dans un ordre précis, vous avez une procédure, pas une capacité d'intervention.

Vos règles de corrélation couvrent-elles le volume et la dispersion géographique, ou seulement les montants unitaires ? Trois mille retraits de faible montant peuvent passer sous tous les seuils individuels.

Vos compteurs se réinitialisent-ils à minuit ? Et si oui, cette bascule est-elle surveillée comme un moment de risque particulier ?

Conclusion

Ce type d'incident ne relève pas de la fatalité technologique. Les attaquants n'ont pas eu besoin d'une capacité exceptionnelle : ils ont eu besoin d'une fenêtre. Quelques heures pendant lesquelles le système voyait, mais où personne ne pouvait décider.

Réduire cette fenêtre ne demande pas nécessairement d'investissement lourd. Cela demande de cartographier le chemin réel entre une alerte et une action, puis de supprimer les étapes qui n'apportent rien d'autre qu'un délai.

C'est un travail de gouvernance autant que de technique.

Comko Digital accompagne les entreprises et institutions d'Afrique de l'Ouest sur la supervision, la détection d'anomalies et la préparation à la réponse à incident.