Assise dans sa boutique à Lomé, Dora SEGBEFIA, vendeuse en ligne de produits dits d’alimentation générale, raconte avec amertume dans une vidéo publiée sur le réseau social TikTok, comment elle a vu disparaître en quelques secondes toutes ses économies.

Tout commence par un appel. A l’autre bout du fil, un homme et une femme affirment être des agents de Yas Togo, l’un des opérateurs de téléphonie mobile et de paiement mobile qu’elle utilise pour ses transactions. Ils évoquent une tentative de piratage sur son compte et proposent de l’aider à changer son code secret. D’abord méfiante, Mme Dora est vite déstabilisée lorsque l’interlocuteur lui donne avec précision des informations personnelles telles que son nom complet, sa date de naissance, et même quelques détails sur ses dernières transactions. En même temps, elle reçoit un message… signé “Mixx by Yas”, l’expéditeur habituel de la plateforme mobile. En confiance, elle suit les instructions. Quelques secondes plus tard, son compte est vidé.

« Tout mon argent, les recettes de la semaine, tout a disparu. Je ne comprends pas comment quelqu’un peut avoir toutes mes informations comme ça. Ce réseau est censé nous protéger », s’alarme-t-elle.

La face visible d’un phénomène qui se répand

Mme Dora n’est pas un cas isolé. Au Togo, les signalements de tentatives d’arnaques téléphoniques ou de messages frauduleux ne cessent d’augmenter, selon les opérateurs eux-mêmes. Les plateformes de paiement numérique sont devenues des cibles privilégiées d’actes de cybercriminalité, mêlant ingénierie sociale, usurpation d’identité numérique et contournement des systèmes de sécurité classiques.

Dans une réponse transmise à notre rédaction, Mixx by Yas, cet opérateur de paiement mobile, reconnaît être conscient de la recrudescence des arnaques par téléphone et SMS, mais réfute toute compromission de ses systèmes.  « Mixx by Yas n’a détecté aucune fuite de données personnelles. Nos systèmes sont sécurisés par du chiffrement, des contrôles d’accès rigoureux et une surveillance continue », assure Déla Djaou, chargé relation presse et média de l’entreprise.

Concernant les SMS frauduleux signés “Mixx by Yas”, l’opérateur parle de “SMS spoofing”, une technique utilisée pour faire croire qu’un message vient d’un expéditeur légitime : « Ce n’est pas une faille de nos systèmes, mais une manipulation de l’infrastructure SMS globale par des fraudeurs. »

Mixx by Yas dit avoir mis en place un ensemble de mécanismes de détection, de signalement, et une politique de remboursement dans certains cas, si la faille vient de leur côté. « En revanche, si l’utilisateur a lui-même communiqué son code ou ses identifiants, aucun remboursement n’est garanti », a précisé M. Djaou en ajoutant qu’une campagne de sensibilisation sur plusieurs mois est actuellement en cours.

Un écosystème vulnérable selon l’ANCy

Du côté de l’Agence nationale de la cybersécurité (ANCy), le constat est que les techniques d’ingénierie sociale, comme celle subie par Mme Dora, se développent grâce à une combinaison de facteurs humains, techniques et organisationnels.

« L’accès à des données personnelles peut résulter de failles techniques notamment des systèmes non mis à jour ou des mots de passe faibles, de la négligence humaine ou de fuites internes. Même des applications tierces non vérifiées peuvent collecter illégalement des données sensibles », explique le directeur Général de l’ANCy, Gbota Gwaliba.

Concernant la capacité à faire apparaître un SMS comme venant d’un opérateur l’ANCy affirme que c’est techniquement possible. « C’est rare mais réalisable, surtout avec l’essor de l’intelligence artificielle qui facilite la falsification », a expliqué le Commandant Gwaliba.

Pour pouvoir être à l’abri de ces fraudes, l’ANCy rappelle mener plusieurs actions, telles que les campagnes de sensibilisation en ligne et sur le terrain, le renforcement des capacités pour les professionnels et la publication d’alertes sur son site, centre national de réponse aux incidents.

« La vigilance des utilisateurs est la première ligne de défense. Ne jamais fournir d’informations sensibles par téléphone ou SMS, toujours vérifier les sources, et signaler tout comportement suspect », recommandent les premiers responsables de l’ANCy.

Par contre, à ce jour, l’Autorité de régulation des communications électroniques et des postes (ARCEP) au Togo n’a pas encore réagi officiellement à nos sollicitations sur les cas d’usurpation d’identité numérique, de fuites potentielles de données et sur la nécessité de renforcer le cadre réglementaire. Ce silence pose question, dans un contexte où la confiance numérique est mise à rude épreuve.

Avec la numérisation croissante des services publics et privés, dont les paiements, le Togo mise sur les infrastructures publiques numériques (IPN) pour centraliser, sécuriser et connecter l’ensemble des services digitaux. Mais cette transformation n’est pas sans risque.

Les IPN mal protégées peuvent devenir des cibles massives pour les cyberattaques, compromettant à la fois les données des citoyens et la stabilité des services. Le besoin de régulation forte, de coordination entre acteurs, et de transparence sur les incidents est plus urgent que jamais.

Que faire ?

COMBETEY Combey, expert en communication digitale et fact checking confie qu’il est vivement conseillé de ne jamais partager son numéro d’identification personnel appelé code PIN ou mot de passe à usage unique (OTP), même à un prétendu agent.

« Aucun agent sérieux ne vous demandera votre code PIN, mot de passe ou code de vérification. Il est important de se méfier des messages alarmants ou trop alléchants car les arnaqueurs aiment jouer sur la peur ou la promesse de gain rapide », conseille-t-il et d’ajouter « N’hésitez pas de toujours bien vérifier l’expéditeur des messages et appels et si vous êtes dans un petit doute, appeler le service client via les canaux officiels. C’est pareil pour les liens douteux souvent partagés par mail ou whatsapp. Activez la double authentification (2FA) dans la mesure du possible ». Aussi, il recommande d’installer les mises à jour de sécurité sur les téléphones et applications et aussi se former régulièrement via les plateformes de l’ANCy ou du CERT.

L’histoire de Mme Dora n’est qu’un exemple parmi d’autres, mais elle cristallise un mal croissant : l’insuffisance de protection face aux cybermenaces qui ciblent les paiements numériques au Togo. La confiance dans les infrastructures numériques ne peut se construire sans un engagement fort des opérateurs, une régulation efficace, une vigilance constante des citoyens et des sanctions exemplaires.

Ce reportage à été produit dans le cadre de la subvention de journalisme sur les IPN organisée par la fondation des médias pour l’Afrique de l’ouest et Co-Develop.