Sénégal : le Trésor public piraté, 70 Go de données sur le dark web

La Direction générale de la Comptabilité publique et du Trésor (DGCPT) ^[1] a reconnu, par un communiqué signé de son directeur général Amadou Tidiane Gaye ^[2], « la survenue d’un incident technique affectant une partie de ses systèmes d’information » ^[3] depuis le dimanche 10 mai 2026 ^[4]. La formule est neutre. La réalité l’est moins: selon plusieurs sources dont l’Agence de presse sénégalaise ^[5], rapportées par Digital Business Africa, 70 Go de données sensibles ^[6] circulent désormais sur le dark web, un volume « pouvant représenter des millions de documents administratifs ou des centaines de milliers de fichiers numériques » ^[7] selon eMédia.

LES ENJEUX

Souveraineté numérique de l'État

Quatre administrations sensibles pénétrées en huit mois: impôts, état civil, agence numérique, comptabilité publique. Aucune doctrine de réponse permanente identifiée.

Données citoyennes exposées

70 Go du Trésor (paies, coordonnées bancaires de l'État, dette) s'ajoutent au 1 To volé à la DGID et aux données biométriques de la DAF concernant 18 millions de Sénégalais.

Hypothèse des rançons payées

Un expert pointe la possibilité que les victimes précédentes aient cédé, créant un appel d'air pour les attaquants. Cumul des rançons connues: près de 6,25 milliards FCFA.

Opacité de la communication d'État

Le mot « cyberattaque » est systématiquement remplacé par « incident technique ». Aucune notification publique au titre de la loi 2008-12 sur les données personnelles.

Cadre légal sous-utilisé

L'article 431-7 du Code pénal sénégalais et la loi 2008-12 imposent des obligations claires à l'État comme aux attaquants, mais leur application reste invisible.

L’institution, rattachée au ministère des Finances et du Budget ^[8], centralise les flux d’encaissement et de décaissement de l’État, gère la dette publique et coordonne les opérations comptables de l’ensemble des administrations ^[9]. Une cellule de crise a été activée « avec des agents de la Présidence, de la Primature, de la DSC » pour freiner l’attaque ^[10], rapporte La Vie Sénégalaise. Mais les autorités n’ont « pas détaillé la nature exacte de l’incident ni son impact sur les services administratifs et financiers concernés » ^[11], et la DGCPT « n’a pas précisé la typologie des fichiers compromis, ni l’identité présumée des assaillants » ^[12].

Jamais trois sans quatre

L’attaque n’est pas un accident isolé. Elle clôt une séquence de huit mois pendant laquelle trois piliers de l’administration sénégalaise ont été frappés. En octobre 2025 ^[13], la Direction générale des Impôts et des Domaines (DGID) ^[14] a été paralysée plus d’une semaine ^[15] par le groupe Black Shrantac ^[16], qui a affirmé détenir 1 To de données fiscales ^[17] et réclamé une rançon de 250 000 dollars ^[18] - un autre décompte, cité par Senenews, évoque 6,5 milliards de F CFA ^[19]. En février 2026 ^[20], la Direction de l’Automatisation des Fichiers (DAF) ^[21], qui produit les cartes nationales d’identité ^[22], a été visée par The Green Blood ^[23]: 18 millions de Sénégalais ^[24] concernés, et une demande de rançon évoquée à 6 milliards de FCFA ^[25] selon Digital Business Africa. En mars-avril 2026 ^[26], Sénégal Numérique signalait à son tour des tentatives répétées d’intrusion ^[27].

Sur le volume exfiltré lors de l’attaque DAF, les sources divergent dans des proportions vertigineuses: Digital Business Africa évoque 139 téraoctets de données cryptées puis transférées vers le dark web ^[28], quand La Vie Sénégalaise et d’autres médias retiennent 139 gigaoctets ^[29] - un écart d’un facteur mille que la DAF n’a jamais tranché officiellement. Cette discordance, jamais arbitrée par l’État, illustre à elle seule la rareté des données vérifiables dans ces affaires.

« Trois administrations stratégiques, touchant à l’identité civile, à la fiscalité et désormais à la comptabilité publique, ont donc été ciblées en moins d’un an » ^[30], résume Africtelegraph. Avant cela, l’ARTP avait été piratée en 2022 ^[31], et en mai 2023 des dizaines de sites officiels, dont celui de la présidence, avaient été paralysés ^[32] par la Mysterious Team ^[33], un groupe se qualifiant de « hacktiviste pro-islamiste » bangladais ^[34] actif depuis 2020 ^[35], selon Le Monde.

Ce que contient un coffre du Trésor

Le Trésor n’est pas une administration comme une autre. La DGCPT centralise les flux d’encaissement et de décaissement de l’État, gère la dette publique et coordonne la comptabilité de l’ensemble des administrations ^[9]. Les 70 Go qui circulent désormais peuvent donc, en théorie, contenir le détail des paies des fonctionnaires, les coordonnées bancaires des fournisseurs de l’État, les échéanciers de remboursement de la dette, les mandats de paiement engagés ou les comptes des collectivités. EMédia estime que ce volume représente « des millions de documents administratifs ou des centaines de milliers de fichiers numériques » ^[7].

Le risque pour les citoyens et les entreprises n’est pas théorique: usurpation d’identité bancaire des agents publics, détournement de virements via faux ordres ciblant des fournisseurs identifiés, montage de fraudes fiscales croisant les données déjà fuitées de la DGID. Le spécialiste SaxX, qui suit ces attaques, alertait dès février sur le piratage de la DAF: « Je crains qu’une publication totale des données du piratage de la DAF dans les prochaines semaines ne mène à la création de filières parallèles de faux papiers » ^[36]. Croisées avec les comptes bancaires du Trésor, les pièces d’identité de la DAF prennent une autre valeur de revente.

Le cadre légal: ce que la loi sénégalaise prévoit

On se souvient que le Sénégal s’est doté dès 2008 d’un arsenal législatif spécifique: la loi 2008-11 sur la cybercriminalité, qui a intégré au Code pénal les articles 431-7 et suivants, et la loi 2008-12 sur la protection des données à caractère personnel, qui a institué la Commission de protection des données personnelles (CDP). L’article 431-7 du Code pénal sénégalais réprime l’accès et le maintien frauduleux dans un système de traitement automatisé de données, peines aggravées lorsque le système appartient à une personne publique. La loi 2008-12 impose au responsable de traitement, en cas de violation de données, d’en informer la CDP et, lorsque la fuite présente un risque élevé pour les droits des personnes, d’en avertir les intéressés.

À ce stade, aucune communication publique de la CDP ni de la DGCPT n’évoque la notification réglementaire prévue par ce texte adopté en 2008 ^[37]. Pour le Dr Mohamadou Lô, juriste spécialisé interrogé par Tech Observateur ^[38], le diagnostic est ancien: « Dans notre pays, beaucoup d’attaques se produisent, mais personne n’en parle. Chacun tente de régler le problème discrètement, entre quatre murs » ^[39].

« Incident technique »: anatomie d’une sémantique

Le mot revient à chaque épisode. « Incident affectant une partie des systèmes » pour la DGCPT ^[3]. « Intrusion informatique » suivie d’une « suspension temporaire des services » pour la DGID ^[40]. Mesures de continuité pour la DAF. Aucun des trois communiqués officiels n’emploie le mot « cyberattaque », alors même que les revendications publiques des groupes Black Shrantac, The Green Blood et les fuites sur le dark web sont documentées par la presse spécialisée et confirmées par l’APS ^[5]. La formule rituelle « rassure et remercie les usagers pour leur compréhension et leur patience » ^[41] est reprise quasi mot pour mot d’une attaque à l’autre.

Cette doctrine du minimum n’a rien de propre au Sénégal - on l’a vue à l’œuvre dans de nombreuses administrations européennes -, mais elle produit ici un effet de contraste violent avec les volumes annoncés (1 To, 139 Go ou To, 70 Go) et avec les rançons réclamées par les groupes Black Shrantac et The Green Blood ^[19][25]. La rhétorique de l’« incident » devient ainsi le marqueur visible d’une absence de doctrine de transparence.

L’hypothèse des rançons payées

Pour Gorguy Souleymane Ka ^[42], spécialiste en sécurité des systèmes d’information interrogé par Senenews, la répétition n’a rien d’un hasard: « Oui, clairement, et ce depuis deux ans. Il devrait voir si cela est dû à un niveau de maturité globale en matière de cybersécurité trop bas, ou alors parce que les victimes payaient les rançons, donnant ainsi un avantage aux cyberattaquants » ^[43]. L’hypothèse est lourde: un État qui paie devient une cible. Aucune source consultée ne confirme ni n’infirme que les rançons précédentes aient été versées.

L’analyste Clément Domingo ^[44], cité par Digital Business Africa, élargit le cadre: « L’Afrique est devenue, depuis quelques mois, le  »bac à sable » des cybercriminels. C’est là où ils testent leurs nouvelles armes » ^[45]. Et de pointer un déni structurel: « Il y a une énorme méconnaissance de nos dirigeants et de la population: on pense qu’il n’y a pas de cyberattaques en Afrique. Personne n’en parle » ^[46].

Souveraineté numérique: l’architecture qui manque

Quatre administrations financières et identitaires pénétrées en huit mois interrogent l’architecture même de la cyberdéfense de l’État. La cellule de crise activée pour la DGCPT a réuni des agents « de la Présidence, de la Primature, de la DSC » ^[10] - soit une coordination ad hoc, mobilisée après-coup, plutôt qu’un dispositif permanent de détection et de réponse. Aucune source consultée ne mentionne l’intervention d’un CERT national identifié comme tel; Sénégal Numérique SA, héritière de l’ex-Adie, gère l’infrastructure Web gouvernementale ^[47] mais a elle-même été visée par des tentatives répétées en mars-avril 2026 ^[27].

Clément Domingo plaide depuis février pour « capitaliser et bâtir un meilleur bouclier cyber pour le Sénégal » ^[48]. La question, désormais, dépasse la technique: c’est celle d’une doctrine de souveraineté numérique consolidée, articulant détection en amont, obligation de notification, audit indépendant des administrations sensibles et capacité de réponse coordonnée. À défaut, chaque attaque consomme un peu plus la confiance des citoyens dans la numérisation des services publics.

Une séquence qui interroge

La séquence sénégalaise - quatre administrations en huit mois, dont le Trésor - pose la question de la réponse institutionnelle. Là où d’autres États frappés par des cyberattaques d’ampleur ont nommément désigné l’attaquant et publié des bilans réguliers, Dakar parle d’« incident technique ». Le contraste sémantique, à lui seul, dit l’écart de doctrine.

Ce que les sources ne disent pas

Aucune source ne nomme à ce stade le groupe responsable de l’attaque contre la DGCPT. Aucune ne précise si une rançon a été demandée, ni son montant. Aucune n’explique pourquoi quatre administrations distinctes, censées disposer de systèmes cloisonnés, ont pu être pénétrées en moins de huit mois. Le porte-parole gouvernemental Abdou Karim Fofana ^[49], qui avait commenté l’attaque DDoS de 2023, ne s’est pas exprimé publiquement à la date de publication. Le calendrier de rétablissement des services - « les équipes techniques s’emploient à rétablir les systèmes [.] dans les meilleurs délais » ^[50] - reste indéterminé ^[51].

► Lire aussi: Cybersécurité: l'Afrique de l'Ouest sous pression croissante