Une cyberattaque visant la plateforme de services financiers numériques Avia, exploitée par GSIE Technology pour le compte de l’institution de microfinance ACEP au Sénégal, a permis à des pirates d’accéder frauduleusement à 1 219 comptes clients et de tenter de détourner plus de 168 millions de francs CFA. Si la majorité des transferts frauduleux ont été bloqués, plusieurs opérations ont abouti, entraînant des pertes financières de plusieurs millions de FCFA.
Révélée à la mi-octobre 2026, cette affaire met en lumière les risques qui pèsent sur les plateformes de microfinance et de paiement mobile en Afrique de l’Ouest. Selon les informations rapportées par Seneweb, les attaquants auraient exploité une faille applicative les 12 et 13 septembre pour installer des programmes malveillants et récupérer des identifiants de connexion.
L’enquête, confiée à la Division spéciale de cybersécurité (DSC), a également conduit à l’interpellation d’une jeune femme soupçonnée d’avoir reçu une partie des fonds détournés. Les investigations portent notamment sur l’utilisation de comptes intermédiaires pour transférer et retirer l’argent issu des opérations frauduleuses.
Une faille applicative à l’origine de la compromission de 1 219 comptes
D’après les informations publiées par AfriqueITNews, les premières activités malveillantes ont été observées les 12 et 13 septembre 2026.
Les cybercriminels auraient exploité une vulnérabilité de l’application pour y installer des programmes malveillants appelés web shells. Ces outils permettent à un attaquant de conserver un accès à un serveur compromis et d’exécuter certaines commandes à distance, selon les privilèges obtenus.
Une fois implantés, ces composants auraient facilité la récupération d’informations d’authentification, notamment des identifiants et des mots de passe de clients. Les attaquants auraient ensuite exploité ces données pour accéder de manière automatisée à 1 219 comptes.
Cette technique présente un risque particulier pour les services financiers numériques : les pirates n’ont pas nécessairement besoin de compromettre individuellement chaque utilisateur si une intrusion dans l’infrastructure applicative leur donne accès aux données d’authentification nécessaires.
Il faut toutefois préciser que les détails techniques complets de la vulnérabilité, son identifiant éventuel et les mesures correctives appliquées par GSIE Technology n’ont pas été établis par les sources consultées. Il n’est donc pas possible de déterminer avec certitude si la faille provenait d’un défaut de développement, d’une mauvaise configuration ou d’un autre problème de sécurité.
Comment les web shells facilitent-ils une cyberattaque ?
Un web shell est un programme malveillant installé sur un serveur web afin de permettre à un tiers non autorisé d’interagir avec le système compromis.
Selon ses fonctionnalités et les droits dont il dispose, il peut permettre de lancer des commandes, de consulter certains fichiers, de récupérer des informations ou de préparer d’autres étapes d’une intrusion.
Dans le cas d’Avia, les informations disponibles associent l’intrusion à l’installation de tels programmes et au vol de données de connexion. Elles ne permettent cependant pas de confirmer toutes les fonctions des outils utilisés ni leur mode précis d’installation.
Pour les opérateurs de plateformes financières, la présence d’un web shell doit être considérée comme un indicateur sérieux de compromission. Elle justifie notamment l’analyse des journaux, la recherche d’autres portes dérobées et la vérification des comptes susceptibles d’avoir été exposés.
168,2 millions de FCFA ciblés : la majorité des transferts bloqués
Le 23 septembre 2026, les attaquants auraient créé 39 portefeuilles électroniques fictifs avant de lancer 842 transferts frauduleux à partir de 35 comptes clients compromis.
Le montant cumulé de ces opérations atteignait 168 200 500 FCFA. Selon les informations publiées par SeneNews, GSIE Technology a détecté les opérations suffisamment tôt pour empêcher le retrait des fonds associés à ces tentatives.
Ces chiffres doivent être interprétés avec précision : les 168,2 millions de FCFA correspondent au montant des transferts frauduleux initiés, et non à une somme intégralement perdue par l’institution ou ses clients.
En revanche, certaines transactions ont effectivement abouti. Les informations relayées par plusieurs médias font état de 79 virements instantanés exécutés vers huit portefeuilles Orange Money.
Le préjudice financier rapporté par SeneNews et Seneweb s’élève à 11 043 000 FCFA, un montant inférieur aux quelque 14 millions de FCFA avancés dans l’article initial d’AfriqueITNews. En l’absence d’un bilan financier officiel consolidé permettant de réconcilier ces chiffres, le montant de 11,043 millions de FCFA est celui qui est corroboré par les publications consultées.
| Indicateur | Montant ou volume rapporté |
|---|---|
| Comptes clients compromis | 1 219 |
| Comptes utilisés pour les transferts frauduleux | 35 |
| Portefeuilles électroniques fictifs créés | 39 |
| Transferts frauduleux initiés | 842 |
| Montant total des transferts tentés | 168 200 500 FCFA |
| Virements instantanés exécutés | 79 |
| Portefeuilles Orange Money destinataires | 8 |
| Préjudice rapporté par plusieurs médias | 11 043 000 FCFA |
Cette opération illustre l’importance des mécanismes de détection des transactions anormales. Même lorsque des identifiants ont été compromis, la surveillance des mouvements financiers et la capacité à bloquer rapidement des opérations suspectes peuvent limiter considérablement les pertes.
Une enquête sur les bénéficiaires et les réseaux de transfert de fonds
Après la découverte de la fraude, GSIE Technology a saisi la Division spéciale de cybersécurité, chargée d’enquêter sur les activités informatiques suspectes et d’identifier les personnes impliquées.
Les investigations portent notamment sur les bénéficiaires des virements et sur les éventuels intermédiaires ayant facilité le transfert ou le retrait des sommes détournées.
Selon Pulse Sénégal, une élève de Terminale âgée de 22 ans, identifiée par les initiales A. A. Diop, a été interpellée dans le cadre de l’enquête après avoir reçu un transfert de 1,8 million de FCFA.
La jeune femme aurait expliqué aux enquêteurs qu’une personne l’avait contactée depuis la Côte d’Ivoire pour lui demander de retirer les fonds en échange d’une commission de 200 000 FCFA. Selon les informations publiées, elle n’aurait pas fourni d’éléments permettant d’étayer cette version.
Ces déclarations doivent être considérées comme des éléments rapportés dans le cadre de l’enquête, et non comme une preuve de l’implication d’un réseau ivoirien dans son ensemble. L’origine alléguée d’un appel ne permet pas, à elle seule, d’établir l’identité des auteurs de la cyberattaque ni leur localisation réelle.
Le rôle des « mules financières » dans les fraudes numériques
Dans les opérations de fraude financière, les criminels peuvent utiliser des personnes chargées de recevoir, de transférer ou de retirer des fonds provenant d’activités illicites. Ces intermédiaires sont couramment désignés comme des mules financières.
Certains savent que l’argent est d’origine frauduleuse, tandis que d’autres peuvent être manipulés au moyen de promesses de rémunération, de fausses offres d’emploi ou de prétextes commerciaux.
Le recours à ces intermédiaires peut compliquer le travail des enquêteurs en multipliant les comptes destinataires et les étapes de transfert. Il peut également permettre aux auteurs principaux de rester éloignés des opérations de retrait.
Dans l’affaire Avia, les informations publiées font état de plusieurs portefeuilles destinataires et d’une personne interpellée après avoir reçu une somme importante. L’enquête devra déterminer le rôle exact des bénéficiaires, leur éventuelle connaissance de l’origine des fonds et les liens qui pourraient exister entre les différents acteurs.
Les risques pour les clients de la microfinance et du mobile money
Cette cyberattaque rappelle que les services financiers numériques dépendent d’une chaîne de sécurité qui comprend les applications, les serveurs, les systèmes d’authentification et les mécanismes de transfert de fonds.
Une faille dans l’un de ces composants peut permettre à des attaquants de contourner les protections habituelles et d’exploiter des comptes sans avoir à prendre directement le contrôle du téléphone de chaque client.
Pour les utilisateurs, les conséquences possibles ne se limitent pas aux transferts non autorisés. Une compromission peut également exposer certaines informations personnelles, faciliter des tentatives d’hameçonnage ciblé ou permettre à des fraudeurs de se faire passer pour des conseillers financiers.
Les sources consultées ne précisent toutefois pas si des données personnelles autres que les identifiants de connexion ont été exfiltrées, ni si tous les titulaires des 1 219 comptes ont subi des opérations frauduleuses.
Les mesures que les utilisateurs peuvent prendre
Les clients des plateformes de microfinance et de paiement mobile peuvent réduire certains risques en adoptant plusieurs réflexes :
- Modifier leurs mots de passe dès qu’un prestataire leur signale une compromission.
- Ne jamais communiquer leurs codes confidentiels ou leurs codes de validation à un tiers.
- Vérifier régulièrement l’historique des transactions et les notifications de paiement.
- Signaler immédiatement toute opération inconnue au service client officiel.
- Se méfier des personnes proposant une commission pour recevoir, transférer ou retirer de l’argent pour leur compte.
- Conserver les preuves des transactions suspectes et des communications associées.
En cas de transfert non autorisé, il est important de contacter rapidement le prestataire financier afin de demander une vérification et, lorsque cela reste possible, le blocage de l’opération.
Les mesures de cybersécurité indispensables pour les plateformes financières
La protection des services de microfinance nécessite une approche qui combine prévention, surveillance et réponse aux incidents. La seule sécurisation des comptes utilisateurs ne suffit pas si l’application ou l’infrastructure qui traite les transactions peut être compromise.
1. Corriger les vulnérabilités applicatives
Les plateformes financières doivent appliquer rapidement les mises à jour de sécurité et vérifier les composants exposés à Internet. Les tests de sécurité réguliers, les revues de code et les évaluations des interfaces applicatives permettent d’identifier des faiblesses avant qu’elles ne soient exploitées.
2. Renforcer la protection des identifiants
Les mots de passe doivent être stockés de manière sécurisée, à l’aide de mécanismes de hachage adaptés. Les accès administratifs doivent être protégés par une authentification multifacteur lorsque cela est possible, et les droits accordés aux comptes techniques doivent être limités au strict nécessaire.
Il est également essentiel de renouveler les identifiants susceptibles d’avoir été exposés et d’invalider les sessions compromises.
3. Détecter les transactions inhabituelles
Des mécanismes antifraude doivent permettre de repérer les transferts en série, les créations répétées de bénéficiaires, les changements inhabituels de comportement et les opérations incompatibles avec les habitudes d’un compte.
Des seuils adaptatifs, des vérifications supplémentaires et des procédures de suspension temporaire peuvent aider à limiter les pertes lorsqu’une activité anormale est détectée.
4. Surveiller les serveurs et les applications
Les équipes techniques doivent rechercher les fichiers suspects, les modifications non autorisées et les communications inhabituelles vers l’extérieur. La centralisation des journaux et l’utilisation d’outils de détection peuvent faciliter l’identification d’une intrusion.
Après la découverte d’un web shell, il est nécessaire de vérifier l’ensemble du périmètre potentiellement compromis plutôt que de supprimer uniquement le fichier identifié.
5. Préparer un plan de réponse aux incidents
Les plateformes financières doivent disposer de procédures précises pour isoler un système compromis, préserver les preuves, bloquer les transactions frauduleuses et informer les personnes concernées.
Des exercices réguliers permettent de vérifier que les équipes techniques, les responsables opérationnels et les partenaires de paiement savent comment réagir lorsqu’une attaque menace la disponibilité des services ou les fonds des clients.
Conclusion
La cyberattaque contre Avia, exploitée par GSIE Technology pour le compte d’ACEP au Sénégal, démontre les conséquences possibles d’une compromission applicative dans le secteur financier. Les pirates auraient accédé à 1 219 comptes clients, puis tenté de transférer 168,2 millions de FCFA vers des portefeuilles fictifs. La détection des opérations a permis d’en bloquer la majorité, mais des virements ont abouti, occasionnant un préjudice de plusieurs millions de FCFA.
L’enquête de la Division spéciale de cybersécurité devra préciser les responsabilités, les circuits de transfert et le rôle éventuel des intermédiaires. Pour les établissements financiers, la priorité reste de renforcer la sécurité des applications, de surveiller les transactions et de détecter rapidement toute utilisation frauduleuse des comptes.
Cette affaire rappelle enfin que la lutte contre la cybercriminalité financière repose autant sur la robustesse des infrastructures numériques que sur la rapidité de réaction des équipes chargées de protéger les clients et leurs fonds.
SOURCE : Afrique IT
