Depuis plusieurs jours, le Sénégal est secoué par des informations faisant état d’une cyberattaque majeure visant la Direction de l’Automatisation des Fichiers (DAF), l’institution en charge de la gestion des données d’état civil et d’identification des citoyens.
Au-delà des rumeurs et de l’émotion, il est essentiel de comprendre calmement ce qui est en jeu, pourquoi cette affaire est grave, et ce qu’elle révèle de notre maturité numérique.

1. La DAF, c’est quoi exactement ?

La DAF est un service stratégique de l’État sénégalais. Elle gère notamment :

• les données d’identité (état civil),
• la production des cartes nationales d’identité,
• des informations sensibles liées aux citoyens sénégalais.

En clair : la DAF détient des données critiques, dont certaines peuvent être biométriques ou utilisées pour l’identification officielle des personnes.

C’est donc une infrastructure critique nationale.

2. Que sait-on réellement de la cyberattaque ?

Ce qui est confirmé publiquement

• Un incident informatique sérieux a touché les systèmes de la DAF.
• Les autorités ont annoncé une suspension temporaire de la production des cartes nationales d’identité, mesure classique en cas de suspicion de compromission, afin d’éviter des dommages supplémentaires.

Cette décision est en soi responsable : quand un système sensible est suspecté d’être compromis, on stoppe, on analyse, on sécurise.

Ce qui est revendiqué mais pas encore officiellement confirmé

• Un groupe de cybercriminels affirme avoir :
  • accédé aux systèmes,
  • exfiltré une quantité massive de données,
  • incluant potentiellement des données personnelles et biométriques.
• Des chiffres très élevés circulent (en téraoctets).

Important :
Dans le monde de la cybersécurité, une revendication n’est pas une preuve.
Les groupes criminels exagèrent parfois pour :

• faire pression,
• négocier,
• attirer l’attention.

Tant qu’une enquête technique complète n’est pas terminée, la prudence est essentielle.

3. Pourquoi cette attaque est-elle particulièrement grave ?

Même sans connaître l’ampleur exacte, le simple fait que la DAF soit ciblée est extrêmement sérieux.

a) La nature des données

Les données d’identité sont :

• permanentes (on ne change pas de biométrie comme un mot de passe),
• réutilisables pour la fraude,
• exploitables sur le long terme.

Une fuite d’identité n’est pas un incident temporaire, c’est un risque durable.

b) L’impact sur les citoyens

Si des données personnelles sont compromises, les risques incluent :

• usurpation d’identité,
• fraude administrative,
• arnaques ciblées,
• atteinte à la vie privée.

c) L’impact sur l’État

• perte de confiance des citoyens,
• atteinte à la crédibilité des services publics,
• coûts élevés de remédiation,
• exposition géopolitique si les données circulent hors du pays.

4. Pourquoi les services publics sont-ils autant attaqués ?

Cette attaque n’est pas un cas isolé. Les services publics sont aujourd’hui des cibles privilégiées pour plusieurs raisons :

a) Valeur des données

Les données publiques (identité, fiscalité, santé) ont une valeur énorme sur le cybercrime.

b) Retard en cybersécurité

Beaucoup d’administrations :

• utilisent des systèmes anciens,
• manquent de mises à jour régulières,
• ont peu de moyens dédiés à la sécurité.

c) Accès trop larges

• comptes administrateurs mal protégés,
• mots de passe faibles,
• absence d’authentification forte.

d) Sous-traitance mal sécurisée

Les attaquants passent souvent par :

• un prestataire,
• un accès distant,
• un compte oublié.

5. Comment se déroule généralement ce type d’attaque ?

Sans entrer dans des détails techniques complexes, le scénario typique est souvent le suivant :

1. Entrée discrète
   Phishing, mot de passe volé, faille non corrigée.
2. Déplacement interne
   L’attaquant explore le réseau sans être détecté.
3. Accès aux systèmes sensibles
   Bases de données, serveurs critiques.
4. Exfiltration ou sabotage
   Copie des données, chiffrement ou destruction partielle.

Ce processus peut durer des semaines ou des mois avant d’être découvert.

6. Quelle posture adopter face à une attaque comme celle de la DAF ?

La bonne posture (et non la panique)

• Isoler les systèmes touchés
• Préserver les preuves numériques
• Auditer en profondeur
• Corriger les failles
• Restaurer progressivement et sûrement

Communiquer trop vite ou nier trop tôt peut aggraver la situation.

7. Quelles leçons pour le Sénégal ?

Cette affaire doit être un électrochoc positif, pas seulement un scandale.

a) La cybersécurité est une question de souveraineté

Un État moderne doit être capable de :

• protéger ses données,
• détecter les attaques,
• réagir rapidement.

b) L’accès au numérique sans sécurité est dangereux

Dans un contexte d’extension rapide de l’Internet (fibre, mobile, satellite),
connecter sans sécuriser, c’est exposer.

c) Le déficit d’experts est réel

Il faut :

• former massivement,
• retenir les talents,
• structurer des équipes nationales de réponse.

8. Comment prévenir ce type d’attaque à l’avenir ?

Voici des mesures simples mais efficaces :

• Authentification forte (MFA) sur tous les accès sensibles
• Segmentation des réseaux (tout ne doit pas communiquer avec tout)
• Sauvegardes hors ligne et tests réguliers
• Journalisation et supervision (savoir ce qui se passe)
• Audits de sécurité réguliers
• Plans de gestion de crise cyber testés à l’avance

La cybersécurité n’est pas un produit, c’est un processus continu.

9. Cette attaque peut-elle avoir un impact sur les élections ?

Indirectement, oui.

Même si les systèmes électoraux ne sont pas touchés :

• la fuite de données peut alimenter la désinformation,
• des informations volées peuvent être manipulées,
• la confiance numérique peut être fragilisée.

La protection du cyberespace est désormais indissociable de la stabilité démocratique.

Leçons à retenir

L’affaire de la DAF nous rappelle une vérité fondamentale :

Le numérique est une force, mais sans sécurité, il devient une vulnérabilité.

Le Sénégal a fait d’importants progrès en matière de digitalisation.
Le défi aujourd’hui n’est plus seulement d’être connecté, mais d’être :

• maître de ses données,
• capable de se défendre,
• prêt à réagir.

Cette cyberattaque doit être comprise non comme une fatalité, mais comme une alerte stratégique pour bâtir un numérique plus sûr, plus souverain et plus résilient.