Le 8 avril 2025, le Maroc a été la cible d’une cyberattaque d’envergure, visant plusieurs institutions publiques et provoquant une onde de choc dans le pays et au-delà. Cette attaque, attribuée au groupe de hackers JabaROOT DZ, se réclamant d’Algérie, a exposé des milliers de documents confidentiels issus principalement de la Caisse nationale de sécurité sociale (CNSS) et du ministère de l’Emploi.
Que s’est-il passé ?
Selon plusieurs médias fiables, dont Médias24, LeSiteInfo et Afrique IT News, les hackers ont réussi à infiltrer les systèmes d’information et à extraire un volume massif de données :
- Un fichier Excel contenant près de 500 000 entreprises marocaines
- Environ 54 000 fichiers PDF révélant les salaires, les informations personnelles, les années de travail et d’autres données RH de milliers de salariés
- Des déclarations de salaires, parfois sur plusieurs années, d’entreprises privées et publiques
Les données ont ensuite été publiées sur la chaîne Telegram “Jabaroot”, une méthode désormais courante dans la guerre de l’information numérique.
Des conséquences lourdes pour la confiance numérique
En réaction, la CNSS a déclenché son protocole de sécurité informatique, indiquant que certaines données diffusées seraient inexactes ou manipulées. Cependant, cette fuite massive soulève de sérieuses questions de gouvernance numérique :
- Perte de confiance des citoyens vis-à-vis des services publics
- Risques de chantage, d’usurpation d’identité et de fraudes
- Potentiel d’exploitation par des groupes malveillants ou étatiques
L’intelligence artificielle, nouvelle arme des hackers
Ce qui rend cette attaque encore plus alarmante, c’est l’usage présumé d’outils basés sur l’IA pour automatiser la collecte, le tri et la diffusion des données. Cela marque un changement de paradigme dans la cybersécurité : l’adversaire devient plus rapide, plus intelligent et plus difficile à détecter.
Les experts pointent notamment :
- L’automatisation des attaques par reconnaissance de vulnérabilités
- Le traitement sémantique des documents volés pour en extraire les plus sensibles
- L’ingénierie sociale ciblée, facilitée par l’analyse des données personnelles via l’IA
Que dit le droit marocain ?
Selon la Loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, promulguée le 25 janvier 2008, toute entité traitant des données personnelles est tenue de garantir leur confidentialité et leur sécurité. Or, l’attaque soulève de possibles violations de cette loi, notamment en termes :
- de protection insuffisante des données
- de non-respect de l’obligation de notification des fuites
- de défaillance des systèmes d’authentification et de chiffrement
Cela met également en lumière la nécessité de renforcer les capacités de la CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel), qui peine parfois à faire appliquer la loi dans les institutions publiques.
Un appel urgent à l’action
Le Maroc n’est pas un cas isolé. Cette attaque rappelle que les pays africains, en plein virage numérique, sont devenus des cibles privilégiées des cybercriminels. Il devient impératif pour les États :
- De mettre en place un centre national de cybersécurité indépendant et proactif
- De former les agents publics aux bonnes pratiques de cybersécurité
- De migrer vers des infrastructures souveraines et mieux contrôlées
- Et surtout, d’adopter une cyberdéfense offensive, en coopération avec d’autres nations
La cyberattaque du 8 avril est bien plus qu’un simple incident technique. Elle pose la question de la souveraineté numérique, du respect des droits des citoyens, et de la capacité de nos institutions à protéger l’actif le plus précieux de l’ère numérique : la donnée.
Si cette alerte est bien entendue, elle pourrait marquer un tournant dans la stratégie cybersécuritaire du royaume — sinon, elle ne sera que la première d’une longue série.
