Depuis avril 2025, le Maroc fait face à une vague grandissante de cyberattaques qui dépassent de loin les simples violations de routine. Des hackers ont pénétré l’épine dorsale numérique de l’État — bases de données de sécurité sociale, services du cadastre, portails ministériels — exposant les données personnelles et financières de près de deux millions de citoyens et d’environ 500 000 entreprises. Ce qui avait débuté comme des intrusions isolées s’est transformé en une campagne soutenue et multi-vectorielle que les analystes en sécurité décrivent comme une stratégie de « kill chain » visant les systèmes d’information les plus critiques du Maroc. Pour les entrepreneurs, développeurs et professionnels du numérique qui bâtissent leur avenir sur l’économie en pleine numérisation du pays, comprendre cette crise n’est plus une option : c’est une nécessité opérationnelle.
Principaux enseignements
- Depuis avril 2025, des cyberattaques coordonnées ont compromis la Caisse nationale de sécurité sociale (CNSS), le service du cadastre (ANCFCC) et plusieurs sites ministériels, exposant les données d’environ 2 millions de personnes et 500 000 entreprises.
- Les attaques sont largement attribuées à des collectifs de hackers liés à l’Algérie, notamment « JabaRoot DZ », avec des motivations liées à la géopolitique du Sahara marocain — bien que des groupes pro-russes et pro-israéliens aient également ciblé des institutions marocaines.
- Le Maroc a répondu par une nouvelle stratégie nationale de cybersécurité mettant l’accent sur la « sécurité dès la conception », mais des vulnérabilités structurelles subsistent, notamment là où les systèmes hérités cohabitent avec la transformation numérique rapide.
Anatomie d’une escalade : de la CNSS au service du cadastre
La crise s’est cristallisée début avril 2025, lorsqu’un collectif de hackers se réclamant de « JabaRoot DZ » (aussi orthographié « Jabaroot ») a piraté le site du ministère de l’Inclusion économique, des Petites entreprises, de l’Emploi et des Compétences. L’intrusion n’était pourtant que le point d’entrée. En quelques jours, les attaquants ont pivoté vers des cibles bien plus conséquentes.
La Caisse nationale de sécurité sociale (CNSS) constitue la brèche la plus dommageable de la campagne. Selon la société de cybersécurité Resecurity, les acteurs de la menace ont diffusé un fichier CSV contenant les informations personnelles de 1 996 026 employés au sein des entreprises marocaines. Le Center for Strategic and International Studies (CSIS) a ensuite classé l’incident comme un événement cyber mondial majeur, notant que les données personnelles et financières de près de deux millions de personnes issues d’environ 500 000 entreprises avaient été exposées.
Ces données ont été publiées sur Telegram et comprenaient les fiches de paie, les détails d’emploi et — selon un reportage de Associated Press — des informations liées à des responsables de partis politiques, des dirigeants d’entreprises publiques et au bureau de liaison israélien à Rabat. La CNSS a reconnu une faille de sécurité tout en affirmant que de nombreux documents circulant en ligne étaient « trompeurs, inexacts ou incomplets ».
En l’espace de deux mois, le même collectif a revendiqué une deuxième brèche majeure, cette fois en ciblant l’Agence nationale de conservation foncière, du cadastre et de la cartographie (ANCFCC). Les plateformes liées aux titres fonciers, aux hypothèques et aux historiques de transaction ont été compromises, faisant craindre la manipulation des registres fonciers et l’insécurité juridique dans les secteurs de l’immobilier et de la finance.
Fin 2025, la campagne s’est étendue pour inclure des attaques par déni de service distribué (DDoS). Une série d’assauts, programmée en pleine nuit de samedi, a mis hors ligne les sites du ministère de l’Agriculture, de la Direction générale des impôts et du ministère chargé des Relations avec le Parlement. L’analyste Hassan Kharjouj a décrit ce schéma comme une « kill chain » : une infiltration pour extraire des données sensibles, suivie d’un DDoS simultané pour submerger les capacités de réponse — déclenché délibérément au moment où les équipes techniques sont au plus bas.
Troisième au niveau mondial en une semaine : les chiffres de la crise
La fréquence des attaques a été vertigineuse. La plateforme de cybersécurité HackManac a rapporté qu’entre le 4 et le 10 juin, le Maroc a subi 27 cyberattaques spécifiques, se classant troisième au niveau mondial pour le nombre d’incidents sur cette période. L’Institut marocain d’analyse de politiques (MIPA) a qualifié l’expansion de l’empreinte numérique du pays d’« environnement idéal pour les cyberattaques ».
Vous trouverez ci-dessous un récapitulatif des brèches les plus significatives confirmées pendant cette période :
| Institution ciblée | Date | Type d’attaque | Données/impact exposés |
|---|---|---|---|
| CNSS (Caisse de sécurité sociale) | avril 2025 | Violation/exfiltration de données | ~2 millions de personnes ; ~500 000 entreprises ; données de salaire, d’emploi et financières |
| Ministère de l’Emploi | avril 2025 | Compromission du site/web fuite de données | Liée à la brèche de la CNSS ; dossiers administratifs sensibles |
| ANCFCC (Service du cadastre) | juin 2025 | Intrusion système | Dossiers fonciers, titres de propriété et plateformes transactionnelles compromis |
| Plusieurs ministères (Agriculture, Impôts, Relations parlementaires) | fin 2025 | DDoS | Sites gouvernementaux désactivés ou gravement ralenties pendant la fenêtre d’attaque |
| Banques et entités gouvernementales | Semaine de juin 2025 | Varié (attribué à « Keymous+ ») | 27 attaques enregistrées en une semaine ; 16,6 To de données compromis au niveau mondial sur la même période |
Qui est derrière ces attaques — et pourquoi maintenant ?
Le paysage de l’attribution est complexe, mais un schéma clair se dessine. Le gouvernement marocain, les médias locaux et les analystes internationaux pointent régulièrement les collectifs de hackers liés à l’Algérie comme principaux auteurs. « JabaRoot DZ » demeure l’acteur le plus cité, mais d’autres groupes — dont « Keymous+ » — ont concentré leurs attaques sur les banques et les organismes gouvernementaux marocains.
Le porte-parole du gouvernement, Mustapha Baitas, a explicitement lié le timing des attaques d’avril 2025 au soutien renouvelé des États-Unis à la souveraineté du Maroc sur le Sahara, qualifiant les intrusions de « criminelles ». Les déclarations des hackers sur Telegram ont présenté ces brèches comme des représailles à un prétendu « harcèlement » du Maroc envers l’Algérie sur les réseaux sociaux, menaçant de nouvelles attaques si des sites algériens étaient ciblés.
Toutefois, le panorama des menaces n’est pas unidimensionnel. Le rapport de CYFIRMA, « Decoding Cyberattacks on Morocco », a identifié plusieurs acteurs en présence : le groupe pro-russe « NoName057 » a revendiqué 46 attaques dans le monde la même semaine où le Maroc en subissait 27, tandis que des groupes hacktivistes pro-israéliens ont ciblé le Maroc en raison de la position du pays sur la Palestine. Parallèlement, des collectifs liés au Maroc — Army Black Moroccan, Moroccan Cyber Forces, Moroccan Soldiers — ont lancé des opérations de représailles contre des cibles algériennes et pro-israéliennes, créant ce que les analystes décrivent comme un conflit de cyber-proxys.
Pour les professionnels du numérique qui lisent cet article, cette multiplicité d’acteurs a une implication grave : la posture de cybersécurité du Maroc doit désormais se défendre contre des menaces issues de plusieurs vecteurs géopolitiques simultanément, et pas seulement d’une rivalité régionale unique.
Ce que cela implique pour les entrepreneurs et les professionnels du numérique
La seule brèche de la CNSS a exposé les données de 500 000 entreprises. Pour les startups et PME marocaines, ce n’est pas un problème lointain qui concerne uniquement le gouvernement : c’est un risque commercial direct. Les données de paie divulguées, les dossiers d’emploi et les affiliations d’entreprise constituent un terreau idéal pour des campagnes de phishing ciblées, des compromissions de messageries professionnelles et des attaques d’ingénierie sociale contre la direction des entreprises.
Considérez les risques en cascade :
- Usurpation d’identité et fraude : avec près de deux millions d’identifiants personnels circulant sur Telegram, les employés de tous les secteurs sont exposés à des tentatives de fraude à l’identité et à l’ouverture de comptes frauduleux.
- Vulnérabilité de la chaîne d’approvisionnement : si votre startup fournit des services à des agences gouvernementales ou à des entreprises publiques ayant été compromises, vos propres données contractuelles, vos informations de paiement et vos canaux de communication peuvent être indirectement affectés.
- Contagion réputationnelle : les entreprises dont les données figurent dans les fuites de la CNSS peuvent subir une perte de confiance de la part des clients, même si la brèche provient d’une base de données gouvernementale hors de leur contrôle.
- Surveillance réglementaire : la loi n° 09-08 du Maroc sur la protection des données personnelles, appliquée par la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP), prévoit des sanctions en cas de non-conformité — et dans un contexte post-fuite, l’application de la réglementation sera certainement renforcée.
La brèche de l’ANCFCC soulève une préoccupation supplémentaire très concrète pour les entrepreneurs des secteurs de l’immobilier, de la construction et des services juridiques : si les registres fonciers et les titres de propriété peuvent être manipulés, l’intégrité des transactions liées aux actifs physiques devient incertaine. Les processus de due diligence devront tenir compte de cette nouvelle réalité.
Les failles structurelles : pourquoi la transformation numérique a dépassé la défense
La transformation numérique du Maroc est d’une ampleur réellement impressionnante : portails administratifs en ligne, services sociaux numérisés et plateformes fiscales dématerialisées ont simplifié les interactions entre citoyens, entreprises et État. Pourtant, ce succès a élargi la surface d’attaque plus rapidement que les capacités de défense n’ont eu le temps de mûrir.
Les analystes pointent plusieurs vulnérabilités systémiques mises en évidence par les attaques de 2025-2026 :
- Segmentation réseau insuffisante : les attaquants ayant piraté l’interface web d’un ministère ont pu se déplacer latéralement vers des bases de données sensibles comme la CNSS, suggérant que les systèmes critiques n’étaient pas suffisamment isolés des portails publics.
- Réponse aux incidents réactive : la campagne DDoS nocturne a exploité des schémas de staffing prévisibles — les équipes chargées de la réponse étaient réduites au moment des attaques, retardant la mitigation.
- Intégration de systèmes hérités déficiente : lorsque les anciennes infrastructures communiquent avec de nouvelles plateformes numériques, les contrôles de sécurité sont souvent appliqués de manière inégale, créant des brèches exploitables.
- Planification de la continuité d’activité limitée : le CSIS a souligné que les brèches ont révélé des faiblesses dans les protocoles de continuité, indiquant qu’après la détection, le rétablissement a été plus lent que nécessaire.
Pour les startups et les scale-ups évoluant dans cet environnement, la leçon est claire : une numérisation rapide sans architecture de sécurité intégrée est un multiplicateur de risques. Cette conclusion rejoint les tendances mondiales d’utilisation de l’IA pour la détection automatisée de vulnérabilités, où les outils automatisés sont de plus en plus utilisés pour identifier les failles avant que les adversaires ne les exploitent. L’écart entre l’ambition numérique du Maroc et sa maturité en matière de cyberdéfense n’est pas unique — mais l’intensité géopolitique des menaces qui le ciblent l’est certainement.
Réponse stratégique du Maroc : politique, régulation et capacité industrielle
L’État marocain n’est pas resté passif. À la suite des attaques, le gouvernement a lancé une nouvelle stratégie nationale de cybersécurité axée sur la sécurisation des systèmes d’information de l’État via la gestion des risques en amont, des audits systématiques et l’intégration de normes de cybersécurité dès la phase de conception — ce que les professionnels appellent la « sécurité dès la conception ».
L’architecture légale et réglementaire a également été renforcée. La Direction générale de la sécurité des systèmes d’information (DGSSI) a révisé des instruments clés, notamment la loi 05.20 et la Directive nationale sur la sécurité des systèmes d’information (DNSSI), pour répondre aux menaces modernes : phishing assisté par IA, DDoS automatisé et ingénierie sociale via deepfake. Des lois complémentaires — la loi n° 07-03 sur la cybercriminalité, la loi n° 09-08 sur la protection des données personnelles et la loi 53-03 sur les échanges électroniques sécurisés — composent un cadre réglementaire multi-couches qui, sur le papier, est conséquent.
Toutefois, le succès continu des attaques contre des cibles de haute valeur soulève une question difficile : existe-t-il un décalage entre la conception des politiques et la réalité opérationnelle ? Pour les entrepreneurs, cela crée une double injonction. Vous devez vous conformer à un régime réglementaire en évolution tout en reconnaissant que les normes imposées par l’État à elles seules ne suffiront pas à protéger votre entreprise contre des acteurs sophistiqués motivés par des enjeux géopolitiques.
L’émergence de méthodes d’attaque sophistiquées — dont les stratégies de kill chain et la reconnaissance assistée par IA — souligne pourquoi les organisations doivent aller au-delà des simples listes de contrôle de conformité. Des approches comme celles explorées dans la chasse aux vulnérabilités par IA représentent la posture de défense proactive qu’une sécurité réactive et axée sur la conformité ne peut égaler.
Le paysage des menaces évolue plus vite que la plupart des organisations ne l’imaginent
Le « hacking humain » traditionnel — e-mails de phishing artisanaux et tentatives d’intrusion par force brute — cède la place à des chaînes d’attaque automatisées et renforcées par l’IA. La DGSSI du Maroc a explicitement reconnu ce changement, mettant à jour ses directives pour tenir compte des menaces telles que le phishing vocal deepfake, le credential stuffing automatisé à grande échelle et les modèles de ransomware-as-a-service qui abaissent la barrière à l’entrée pour les adversaires.
Pour le développeur marocain, le CTO de startup ou le fondateur d’agence numérique, cette évolution exige une recalibration des modèles de menace. L’adversaire n’est plus un hacker isolé, mais potentiellement un collectif aligné sur un État, disposant d’outils avancés, de ressources conséquentes et de motivations géopolitiques dépassant la simple recherche de profit. Les implications quant à l’architecture des systèmes, à la gestion des données et à la formation des équipes sont profondes.
Le rapport de CYFIRMA avertit que, tant que les tensions régionales perdureront, les attaques viseront de plus en plus les infrastructures critiques, y compris les sites militaires, les sites gouvernementaux et les industries clés telles que le pétrole et le gaz. Pour les entreprises opérant dans ces secteurs ou à proximité, la préparation n’est plus théorique.
Mesures pratiques pour les professionnels du numérique et les dirigeants
Bien que les dimensions étatiques de cette crise puissent sembler hors de portée de toute organisation individuelle, des actions concrètes sont à la portée des entrepreneurs, développeurs et professionnels du numérique pour réduire leur exposition :
- Auditez votre exposition dans la chaîne d’approvisionnement : si les données de votre entreprise se trouvaient dans les systèmes de la CNSS ou de l’ANCFCC, considérez qu’elles sont peut-être compromises. Procédez à des réinitialisations d’identifiants, surveillez les activités de compte inhabituelles et informez vos employés des risques accrus de phishing.
- Mettez en place une architecture zero trust : la propagation latérale observée lors de la brèche de la CNSS — d’un piratage d’interface web à l’accès à la base de données centrale — illustre pourquoi la segmentation réseau et les contrôles d’accès au moindre privilège sont indispensables, même pour les plus petites organisations.
- Investissez dans la détection, pas seulement dans la prévention : le schéma kill chain démontre que des adversaires déterminés finiront par trouver une faille. Votre capacité à détecter rapidement un comportement anormal — et à le contenir — importe plus que toute défense périmétrique isolée.
- Adhérez au cadre réglementaire marocain en évolution : la conformité à la loi 09-08 et aux directives émergentes de la DGSSI n’est pas seulement une exigence légale ; c’est de plus en plus un atout concurrentiel lors des appels d’offres auprès d’États et de clients entreprise sensibles à la sécurité.
- Restez informé de la dimension géopolitique : comprendre pourquoi le Maroc est ciblé — et par qui — aide à anticiper les secteurs, les types de données et les vecteurs d’attaque susceptibles d’être privilégiés.
Une économie numérique assiégée requiert une réponse collective
Les cyberattaques visant les systèmes d’État et les infrastructures critiques du Maroc ne sont pas une tempête passagère. Elles traduisent un changement structurel dans l’environnement des menaces : des griefs géopolitiques qui se règlent par voie numérique, des frontières floues entre acteurs criminels et alignés sur des États, et des données de citoyens et d’entreprises ordinaires réduites à un enjeu collateral dans une confrontation plus vaste.
Pour les entrepreneurs et les professionnels du numérique du Maroc, cette crise est à la fois un avertissement et une opportunité. Un avertissement, car aucune organisation connectée à l’écosystème numérique n’est à l’abri. Une opportunité, car les acteurs qui construiront la résilience dès maintenant — en intégrant la sécurité à leurs produits, processus et culture — gagneront la confiance qu’exige de plus en plus un marché ébranlé. Le Maroc numérique de demain sera bâti par ceux qui auront compris que la cybersécurité n’est pas un centre de coût, mais le socle d’une croissance numérique durable.
Plus de actualités et tendances en cybersécurité
