Cybersécurité au Maroc : chiffres clés et analyse

Le Maroc a réalisé des avancées considérables en matière de technologie et de digitalisation, transformant les services administratifs, l’éducation et le fonctionnement de l’État. Cette évolution a fait basculer nos données et notre vie privée dans le domaine numérique — et pose une question centrale : le Maroc est-il prêt à relever les défis de la cybersécurité au Maroc ?

Cette page est une référence destinée aux journalistes, chercheurs, entreprises et professionnels IT. Chaque chiffre est attribué à sa source d’origine afin de pouvoir être vérifié et cité ; lorsque les sources divergent, nous expliquons pourquoi.

Dernière mise à jour : août 2026.

La cybersécurité au Maroc en bref (2026)

Indicateur	Dernier chiffre	Source (année)
Global Cybersecurity Index (UIT)	97,5/100 — Palier 1 « Role-modelling »	UIT, 5^e éd. (2024)
National Cyber Security Index	79,17 % — 44^e	e-Governance Academy (oct. 2025)
Cyberattaques recensées par la DGSSI	879 en 2025, dont 109 interventions directes	DGSSI (2025)
Tentatives d’attaques détectées (télémétrie)	20,7 millions au 1^er semestre 2025	Kaspersky Security Network (2025)
Affaires de cybercriminalité et chantage	13 643 en 2025	Bilan annuel DGSN (déc. 2025)
Détections de rançongiciels	1 076 en 2024 (9^e en Afrique)	INTERPOL / Trend Micro (2025)
Stratégie nationale en vigueur	Stratégie Nationale de Cybersécurité 2030	DGSSI (juillet 2024)
Autorité nationale de cybersécurité	DGSSI, avec le maCERT comme CERT national	Loi 05-20 (2020)

Chaque chiffre est sourcé dans les sections ci-dessous.

Statistiques clés de la cybersécurité au Maroc

1. Classement international

Global Cybersecurity Index (UIT) — Palier 1, 97,5/100

Dans la cinquième édition du Global Cybersecurity Index, publiée par l’Union Internationale des Télécommunications (UIT) en septembre 2024, le Maroc obtient 97,5/100 et entre dans le Palier 1 — « Role-modelling », le plus élevé des cinq paliers, seul pays du Maghreb à y figurer. (Rapport UIT, PDF ; DGSSI)
Ce que l’indice mesure : l’engagement d’un pays en matière de cybersécurité, via 83 indicateurs répartis en cinq piliers — juridique, technique, organisationnel, renforcement des capacités et coopération. L’édition 2024 a évalué 194 pays, chaque contribution étant vérifiée de manière indépendante. Scores du Maroc par pilier : 20/20 en juridique, organisationnel et coopération, 19,38/20 en renforcement des capacités et 18,12/20 en technique, pour une moyenne mondiale de 65,7/100.
Note méthodologique : depuis cette édition, l’UIT publie des paliers, et non un classement numéroté. Le Palier 1 couvre tous les scores de 95 à 100 et 46 pays le partagent. L’UIT précise que les classements dérivés du GCI « ne sont pas approuvés par l’UIT » — toute source attribuant au Maroc une « N^e place mondiale » sur l’édition 2024 invente donc un rang.

Pourquoi vous verrez parfois « 50^e, 82 % ». Ce chiffre provient de l’édition 2020, lorsque le GCI produisait encore un classement — une performance que la Stratégie Nationale de Cybersécurité 2030 marocaine cite elle-même comme un acquis de 2020. Les deux résultats sont séparés par quatre ans et un changement de méthodologie : ils ne se contredisent pas. En août 2026, l’édition 2024 reste la plus récente publiée par l’UIT.

National Cyber Security Index — 79,17 %, 44^e

Le NCSI, maintenu par l’e-Governance Academy estonienne, mesure quelque chose de plus restreint : la capacité effectivement mise en œuvre par un pays à prévenir les menaces et gérer les incidents, vérifiée sur pièces publiques. C’est une base de données vivante : les positions évoluent dès qu’un pays est réévalué. Lors de sa mise à jour du 15 octobre 2025, le Maroc obtient 79,17 %, au 44^e rang. (NCSI : Maroc)

Catégorie NCSI	Score
Protection des infrastructures d’information critiques	100 %
Sécurité des services numériques	100 %
Analyse et connaissance des cybermenaces	100 %
Protection des données personnelles	100 %
Recherche et développement en cybersécurité	100 %
Élaboration de la politique de cybersécurité	80 %
Contribution mondiale à la cybersécurité	67 %
Éducation et développement professionnel	60 %

Scores du Maroc par catégorie NCSI, mise à jour d’octobre 2025. Source : e-Governance Academy.

Bien lire la tendance. Des relevés antérieurs plaçaient le Maroc au 30^e rang (chiffre cité par la DGSSI) puis au 32^e avec 70,13 %. Le score du Maroc a progressé d’environ neuf points tandis que son rang reculait, parce que d’autres pays ont été réévalués et que le NCSI a réorganisé ses indicateurs — il faut donc citer le score et la date de mise à jour, pas le rang seul. Par ailleurs, la presse marocaine, relayant le baromètre des risques Allianz 2025, plaçait le Maroc parmi les 23 pays les plus exposés aux cyberattaques et seul pays arabe de cette liste (Le360) — il s’agit d’une reprise de seconde main d’une enquête commerciale, non d’un indice officiel.

Les axes de la cybersécurité au Maroc

Ce graphique présente les axes de la cybersécurité au Maroc en pourcentage, d’après l’évaluation NCSI 2024. Pour les chiffres actuels, voir le tableau ci-dessus. Source

2. Ampleur de la cybercriminalité

Ce que recense l’État. En 2025, la DGSSI a recensé 879 cyberattaques, dont 109 ont nécessité une intervention directe du maCERT, le centre national de veille, de détection et de réponse (source). En 2024, le Maroc avait bloqué 644 cyberattaques, avec 134 interventions de la DGSSI, 64 plateformes critiques renforcées et 16 alertes de vulnérabilité (source) — soit une hausse de 36 % d’une année sur l’autre. De janvier à septembre 2025, 76 applications mobiles d’organismes publics et d’infrastructures critiques ont été auditées ; 20 présentaient des failles jugées critiques.

Ce que montre la télémétrie des éditeurs. Des chiffres en dizaines de millions circulent largement et sont souvent attribués à tort à la DGSSI. Ils proviennent de la télémétrie — des détections automatisées qui comptent des tentatives bloquées, non des compromissions. Lors du KNext Rabat 2025, placé sous l’égide du ministère de la Transition numérique, Kaspersky a fait état de 20,7 millions de tentatives d’attaques détectées contre des systèmes marocains entre janvier et juin 2025 : environ 15 millions de menaces locales et 6 millions véhiculées par Internet, auxquelles s’ajoutent 2,1 millions d’attaques RDP, 800 000 exploitations de failles, 390 000 tentatives de vol d’identifiants, 230 000 détections de logiciels espions — vols d’identifiants et spywares progressant chacun de 22 % par rapport au 1^er semestre 2024 — et 8 000 portes dérobées. (Infomédiaire)

Ce que recense la police. Dans son bilan annuel 2025 (présenté le 17 décembre 2025), la DGSN fait état de 13 643 affaires liées aux crimes des technologies modernes et au chantage informatique, 3 131 contenus à caractère extorsif, 1 036 commissions rogatoires internationales et 415 personnes déférées devant la justice. Le chantage sexuel en ligne recule de 5 %, à 370 affaires (89 arrestations, 486 victimes dont 129 étrangers). La plateforme E-Blagh a reçu 25 876 signalements depuis son lancement en juin 2024 jusqu’à fin 2025. (SNRT News)

Hacktivisme et attaques à motivation politique

Des groupes hacktivistes pro-algériens comme Anonymous Algeria et EvilBbyte ont visé Maroc Telecom et Royal Air Maroc par des attaques DDoS, du vol de données et du défacement. Les fournisseurs d’accès marocains ont subi des compromissions RDP, et une attaque à Agadir a touché plus de 16 000 adresses IP. « Cyb3r Drag0nz » et « Team 1919 » ont divulgué les identifiants de 30 000 étudiants ; STORMOUS a exploité des vulnérabilités pour accéder à des réseaux ; et les campagnes de hameçonnage de « Starry Addax » ont ciblé des militants au Maroc et au Sahara. Source

Depuis avril 2025, l’acteur dominant est Jabaroot (aussi « JabarootDZ »), qui se présente comme algérien et revendique une série continue d’intrusions dans les institutions publiques marocaines. Plusieurs revendications restent non confirmées, et des chercheurs marocains alertent sur le fait que certains fichiers publiés pourraient être recyclés. Les revendications vérifiées et contestées sont distinguées dans la chronologie ci-dessous.

3. Impact financier

Les cyberattaques imposent des coûts réels à l’économie marocaine, en particulier dans les télécoms, le transport, la banque et les services publics. La source continentale la plus fiable est le rapport INTERPOL d’évaluation des cybermenaces en Afrique 2025 (4^e édition, mai 2025) :

Les incidents cyber sur le continent ont provoqué des pertes supérieures à 3 milliards de dollars entre 2019 et 2025, frappant surtout la finance, la santé, l’énergie et l’administration. (INTERPOL, PDF)
1 076 détections de rançongiciels au Maroc en 2024 (données Trend Micro), soit le 9^e rang africain — derrière l’Afrique du Sud et l’Égypte, qui en comptent respectivement 17 849 et 12 281.
Les arnaques en ligne par hameçonnage sont la cybermenace la plus répandue en Afrique, avec 34 % de tous les incidents détectés.
L’Égypte et le Maroc figurent parmi les pays les plus ciblés d’Afrique, en raison de leur taux de pénétration d’Internet et de la taille de leur économie.
Le plus grand nombre de cas de sextorsion assistée par IA a été enregistré au Maroc, au Mali, en Égypte et en Mauritanie.

À propos des anciens chiffres « 4 milliards de dollars / 8 % ». Ils proviennent du rapport INTERPOL 2024 et restent valables pour 2024. Ils ne sont pas comparables à l’édition 2025, qui donne un cumul 2019-2025 et non un montant annuel — une mesure différente, et non une révision à la baisse.

Rapport INTERPOL 2024 Télécharger

Cyberattaque bancaire de 2023 : CIH Bank a été victime d’une cyberattaque en 2023 au cours de laquelle 105 clients ont été trompés et 3 millions de dirhams dérobés — l’une des nombreuses attaques visant les banques marocaines ces dernières années.

Les chiffres largement relayés sur le coût moyen d’une compromission au Maroc, ou sur la taille du marché marocain de la cybersécurité, ne proviennent que de documents marketing d’éditeurs : ils sont délibérément exclus ici.

4. Initiatives gouvernementales

La Stratégie Nationale de Cybersécurité 2030, lancée en juillet 2024, a remplacé celle de 2012 — voir sa section dédiée. La stratégie de 2012 avait produit le cadre juridique actuel, le maCERT, une cartographie des infrastructures d’importance vitale et des régimes de qualification pour les prestataires de sécurité et d’audit.
Convention des Nations Unies contre la cybercriminalité : le 25 octobre 2025 à Hanoï, le Maroc a signé le premier traité onusien contre la cybercriminalité aux côtés de plus de 70 États dont 21 pays africains, le ministre de la Justice Abdellatif Ouahbi signant au nom du Royaume. Le texte couvre le hameçonnage, les rançongiciels, les contenus pédocriminels et le blanchiment, et accélère le partage transfrontalier de preuves. (ONU Info)
E-Blagh : la plateforme publique de signalement de la cybercriminalité de la DGSN, lancée en juin 2024, citée par INTERPOL comme bonne pratique continentale.
Leadership régional : le Maroc assure la vice-présidence du Réseau Africain des Autorités de Cybersécurité (ANCA) depuis 2022. Le directeur général de la DGSSI, le Général de Brigade Abdellah Boutrig, décrit une approche volontairement globale — gouvernance, droit, capacités opérationnelles, coopération et compétences menées de front. (SNRT News)
Vivier de compétences : la DGSSI a organisé la première compétition nationale de cybersécurité pour étudiants (16 février – 8 avril 2026), tandis que les Journées de sensibilisation menées avec les universités touchent plus de 50 000 participants par an.
Maroc Digital 2030 : la stratégie numérique nationale engage environ 11 milliards de dirhams (1,1 milliard de dollars) sur 2024-2026, avec pour cibles 240 000 emplois numériques et 3 000 startups, la cybersécurité figurant parmi les priorités affichées.

5. Les hackers marocains

Les hackers marocains ont été classés comme les plus dangereux d’Afrique du Nord selon le Global Digital Fraud Index 2024 de SumSub. Le rapport, cité par La Razón, place le Maroc troisième en Afrique avec une note globale de 3,51 points.

Groupes malveillants notables

Storm-0539 (Atlas Lion) : exploitation d’identités cloud et fraude aux cartes cadeaux, jusqu’à 100 000 dollars par jour via hameçonnage, faux domaines et usurpation d’associations caritatives.
Moroccan Ghosts : cyberespionnage et vols de données visant des entités publiques et privées.
Dark Atlas : groupe plus récent menant des attaques par rançongiciel contre des entreprises marocaines.

Une distinction est souvent brouillée dans la couverture de la cybersécurité au Maroc : les groupes basés au Maroc qui attaquent des cibles à l’étranger (Storm-0539) constituent un phénomène distinct des groupes qui attaquent le Maroc (Jabaroot). Le pays apparaît dans les rapports internationaux à la fois comme origine et comme destination de la cybercriminalité.

L’essor des hackers éthiques

Face aux hackers malveillants, les hackers éthiques montent en puissance pour lutter contre la cybercriminalité et améliorer la cybersécurité au Maroc. SecureWeb Hackers, un collectif de hackers éthiques et de chasseurs de bugs, a contribué à sécuriser les actifs en ligne d’entreprises, d’institutions publiques et d’universités dans le monde entier. Via Taghra.com, le collectif partage ses connaissances, tutoriels et bonnes pratiques.

Autres initiatives

Compétitions de cybersécurité : des événements comme l’Akasec CTF encouragent les jeunes talents, rejoints en 2026 par la première compétition nationale étudiante de la DGSSI.
Formations : les 5 meilleurs endroits pour étudier la cybersécurité au Maroc avec certifications : lire l’article.
Sensibilisation : évaluez votre propre exposition avec notre test gratuit de sensibilisation à la cybersécurité.

La Stratégie Nationale de Cybersécurité 2030 du Maroc

La Stratégie Nationale de Cybersécurité 2030 (SNC 2030) a été dévoilée par la DGSSI le 22 juillet 2024, en remplacement de celle de 2012. Elle définit l’action de l’État marocain en matière de cybersécurité jusqu’à la fin de la décennie et s’articule en 4 piliers → 11 objectifs stratégiques → 26 initiatives → 60 actions.

Sources primaires : page publications de la DGSSI · stratégie intégrale, FR (PDF) · résumé officiel, EN (PDF)

« Pour un cyberespace national fiable, sûr et résilient, soutenant la transformation digitale du Royaume, favorisant la prospérité économique et garantissant le bien-être des citoyens. »
Stratégie Nationale de Cybersécurité 2030, DGSSI

Pourquoi le Maroc l’a élaborée

La stratégie de 2012 avait produit ses principaux résultats — un cadre juridique dédié, le maCERT, une cartographie des infrastructures d’importance vitale, des programmes de formation et des partenariats internationaux — et la 50^e place obtenue au GCI 2020 était citée comme la preuve que l’approche fonctionnait. Mais les menaces ont évolué : le Maroc a donc actualisé sa posture plutôt que de la laisser se dégrader.

Une étude nationale des cyber-risques menée en amont a conclu que le paysage des menaces marocain correspond étroitement au paysage mondial, en distinguant trois menaces par leur fréquence et leur potentiel destructeur : les rançongiciels, capables de paralyser une entreprise ou un service public ; les attaques DDoS, qui rendent les services en ligne inaccessibles ; et l’ingénierie sociale. L’étude a également pointé la sécurité de la chaîne d’approvisionnement et les défis posés par l’intelligence artificielle, l’Internet des objets et le Big Data.

Les quatre piliers et onze objectifs

Pilier	Objectifs stratégiques
Pilier 1 Gouvernance nationale de la cybersécurité — cadre institutionnel et juridique Tenir le cadre à jour et faire réellement travailler ensemble les nombreux acteurs concernés.	• Maintenir et renforcer le cadre juridique et normatif (révision périodique, déclinaison sectorielle) • Améliorer les mécanismes de coordination nationale — entre les responsables de la protection des infrastructures d’importance vitale, entre les organes d’application de la loi et de renseignement cyber, et avec les acteurs privés
Pilier 2 Sécurité et résilience du cyberespace national Détecter les attaques, y survivre, et décider sur la base de données réelles.	• Éclairer la décision par des politiques fondées sur les données (vision d’ensemble, métriques, indicateurs) • Renforcer la prévention, la gestion et la réponse aux incidents et crises cyber, au niveau national et sectoriel • Promouvoir les standards et normes — régimes de qualification et de labellisation des produits, services et prestataires, et schémas nationaux de certification • Consolider la résilience des infrastructures d’importance vitale — cartographie à jour, dépendances intersectorielles, audits renforcés, opérateurs télécoms et numériques durcis
Pilier 3 Développement des capacités et sensibilisation Former assez de professionnels, et rendre les utilisateurs plus difficiles à tromper.	• Développer une culture de cybersécurité — sensibilisation des citoyens, campagnes publiques et privées, et modules de sensibilisation dès l’école • Soutenir l’écosystème national et l’innovation, y compris la R&D universitaire • Renforcer les ressources humaines — programmes universitaires et professionnels rehaussés, certification professionnelle, formation continue des responsables
Pilier 4 Coopération régionale et internationale Le cyberespace n’a pas de frontières, la réponse non plus.	• Renforcer la participation active aux enceintes internationales et le positionnement du Royaume • Développer la coopération bilatérale en matière de partage d’information et de renforcement des capacités

Source : DGSSI, Stratégie Nationale de Cybersécurité 2030.

Le rôle de la DGSSI, et le bilan à ce jour

La Direction Générale de la Sécurité des Systèmes d’Information (DGSSI), relevant de l’Administration de la Défense Nationale, est l’autorité nationale de cybersécurité du Maroc. Au titre de la loi 05-20, elle coordonne la stratégie de l’État, élabore les projets de textes législatifs et réglementaires, définit les mesures de protection et veille à leur application, qualifie les prestataires d’audit et de services de cybersécurité, opère le dispositif national de veille, détection et alerte via le maCERT, et assure le suivi de la mise en œuvre des plans d’action. L’évaluation ne repose pas sur la seule DGSSI : le Comité Stratégique de la Cybersécurité (CSC), créé par la loi 05-20, en apprécie le bilan.

Deux ans après, le bilan est contrasté. L’UIT a cité le lancement d’une stratégie à horizon 2030 parmi les points forts qui ont hissé le Maroc dans le Palier 1 du GCI, et l’activité d’audit, la charge de réponse à incident, la première compétition étudiante et la signature de la convention onusienne correspondent toutes à des objectifs précis. Pourtant, la fuite de la CNSS d’avril 2025 et l’incident de l’OFPPT d’avril 2026 sont tous deux postérieurs au lancement. Des spécialistes marocains estiment que la faiblesse persistante est organisationnelle, non technique : les RSSI n’ont souvent pas de siège stable au comité de direction, et travaillent donc avec des budgets limités et une autorité insuffisante. Une stratégie donne un cap ; elle ne corrige pas les systèmes.

Lois, régulateurs et institutions de la cybersécurité au Maroc

Le cadre marocain s’est construit progressivement sur une dizaine d’années. Pour une lecture pratique orientée entreprise, voir notre guide des principales lois marocaines de cybersécurité.

Texte	Année	Ce qu’il fait
DNSSI — Directive Nationale de la Sécurité des Systèmes d’Information	2014 mise à jour janv. 2023	Mesures de sécurité organisationnelles et techniques minimales pour les administrations publiques et les infrastructures d’importance vitale — le texte opérationnel sous la loi.
Décret 2-15-712	2016	Règles de sécurité pour les infrastructures d’importance vitale disposant de systèmes d’information sensibles, afin de garantir la continuité de fonctionnement.
Arrêté du Chef du Gouvernement sur les prestataires d’audit	2018	Critères d’homologation des prestataires auditant les systèmes d’information sensibles, et modalités de déroulement de l’audit.
Loi 05-20 relative à la cybersécurité	2020	La pierre angulaire. Règles de sécurité pour les entités, infrastructures d’importance vitale et opérateurs, et création des organes de gouvernance : autorité nationale de cybersécurité, Comité Stratégique de la Cybersécurité et comité de gestion des crises cybernétiques majeures.
Décret 2-21-406	2021	Décret d’application de la loi 05-20 — composition et fonctionnement des organes de gouvernance, obligations des entités, infrastructures d’importance vitale et opérateurs.
Loi 09-08 sur la protection des données personnelles	2009	Encadre le traitement licite des données personnelles et a créé la CNDP. Demeure le texte de référence en protection des données.
Loi 43-20 sur les services de confiance pour les transactions électroniques	2020	Signature électronique, identité numérique et services de confiance — citée par l’UIT parmi les points forts du Maroc au GCI.
Stratégie Nationale de Cybersécurité 2030	2024	Orientation politique et non texte contraignant : 4 piliers, 11 objectifs, 26 initiatives, 60 actions.
Convention de l’ONU contre la cybercriminalité	2025 signée en oct.	Coopération transfrontalière en matière de cybercriminalité. Signée, en attente de ratification.

Qui fait quoi

DGSSI — autorité nationale de cybersécurité : définit les mesures de protection, qualifie les prestataires, audite, coordonne la réponse.
maCERT — centre national de veille, de détection et de réponse aux attaques informatiques, rattaché à la DGSSI ; il est intervenu sur 109 incidents en 2025.
Comité Stratégique de la Cybersécurité (CSC) — arrête les orientations stratégiques, évalue l’activité de la DGSSI, fixe le périmètre des audits et donne son avis sur les projets de textes. Un comité de gestion des crises cybernétiques majeures distinct coordonne la réponse de crise et peut imposer des mesures aux infrastructures d’importance vitale.
CNDP — Commission Nationale de Contrôle de la Protection des Données à caractère Personnel, qui vérifie la licéité des traitements et le respect de la vie privée et des libertés fondamentales.
Lutte contre la cybercriminalité — partagée entre le ministère de la Justice, le Conseil Supérieur du Pouvoir Judiciaire, la Présidence du Ministère Public, la DGSN et la Gendarmerie Royale, chacun disposant d’unités dédiées.

Protection des données : de la sensibilisation à la sanction

Le changement le plus lourd de conséquences n’est pas une nouvelle loi, mais un changement de posture. Après une quinzaine d’années consacrées à la sensibilisation, la CNDP est passée en 2025 à l’application active de la loi 09-08, avec des campagnes de mise en conformité sectorielles assorties d’échéances et des courriers adressés aux entreprises. Les sanctions vont de l’avertissement et du retrait des autorisations de traitement jusqu’aux amendes et, dans certains cas, à des peines de trois mois à un an d’emprisonnement ; l’absence de déclaration d’un traitement constitue en soi une infraction.

La CNDP est également intervenue publiquement lors de la fuite de la CNSS : le 10 avril 2025, elle a rappelé que les données personnelles diffusées sur des canaux non autorisés restent protégées par la loi 09-08, que leur utilisation est illicite, et qu’elle instruirait les plaintes. À la mi-2026, aucun projet de loi remplaçant la loi 09-08 n’avait été déposé au Parlement, la CNDP travaillant avec le ministère de la Transition numérique sur un cadre d’IA responsable.

Bank Al-Maghrib, hameçonnage et authentification renforcée

La banque est le domaine où la cybersécurité au Maroc touche le plus grand nombre de citoyens, et celui où le régulateur a agi le plus concrètement. Détail complet : le tour de vis de Bank Al-Maghrib contre le phishing et les nouvelles règles bancaires 2026.

La menace qui pèse sur les clients des banques

Le schéma est constant et ne requiert aucun logiciel malveillant sophistiqué. Les fraudeurs envoient de faux SMS ou diffusent des liens malveillants sur les réseaux sociaux, en se faisant passer pour une banque ou une administration. La victime saisit ses véritables identifiants sur une page contrefaite convaincante. L’argent transite ensuite par des « comptes rebonds » — des comptes mules ouverts au nom de tiers — ce qui rompt la traçabilité entre la victime et l’auteur et rend le recouvrement comme les poursuites beaucoup plus difficiles.

Les fuites du secteur public depuis avril 2025 ont amplifié le phénomène : numéros de CIN, coordonnées, salaires et adresses exposés alimentent désormais des campagnes de SMS frauduleux ciblés usurpant banques et ministères, certaines pilotées depuis des « fermes à scam » à l’étranger. Ce sont les données d’identité volées qui transforment un hameçonnage générique en fraude personnalisée et crédible — voir notre guide pour repérer les e-mails de phishing.

Ce qu’a fait Bank Al-Maghrib, et ce qu’elle exige désormais

Juillet 2024 — un premier document d’orientation destiné aux banques sur la détection du hameçonnage et la communication auprès des clients.
17 juillet 2026 — Bank Al-Maghrib et l’Autorité Nationale du Renseignement Financier (ANRF) ont réuni les responsables bancaires à Rabat, sous la conduite du président de l’ANRF Jawhar Nfissi et du directeur de la supervision bancaire de BAM Nabil Badr, avec la contribution de la Banco de Portugal. Un second document d’orientation a suivi, consacré aux comptes rebonds.
23 juillet 2026 — le rapport annuel 2025 sur la supervision bancaire de BAM place les risques non financiers au cœur du dispositif de supervision et érige la cybersécurité en priorité : tableaux de bord du cyber-risque généralisés à tout le secteur, surveillance renforcée des prestataires critiques et guide de prévention des rançongiciels.

Le cœur technique du dispositif : un mot de passe volé ne doit pas suffire à déplacer de l’argent. Trois attentes sont posées aux banques — l’authentification multifacteur (MFA) pour l’accès au compte et la validation des opérations, car c’est le second facteur exigé au moment du virement, et pas seulement à la connexion, qui met en échec un attaquant détenant des identifiants volés ; la reconnaissance des appareils de confiance, afin qu’une connexion depuis un appareil inconnu soit contestée ; et des applications bancaires mobiles durcies, résistantes à la falsification et à l’interception.

Ce que cela change pour les banques, les clients et le pays

Pour les banques : les dispositifs anti-fraude passent du statut d’avantage concurrentiel à celui d’attente supervisée. Les banques doivent démontrer la couverture MFA, la logique de confiance des appareils et le durcissement applicatif, surveiller les comptes rebonds et remonter l’information via les nouveaux tableaux de bord — et les prestataires externalisés entrent désormais dans le périmètre de supervision.
Pour les clients : attendez-vous à davantage de demandes d’authentification et de confirmations d’opération — une friction qui existe parce qu’un mot de passe seul ne fait plus foi. N’approuvez jamais un code que vous n’avez pas déclenché, ne saisissez jamais vos identifiants depuis un lien reçu par SMS, et appelez votre banque sur un numéro que vous possédez déjà.
À l’échelle nationale : c’est l’un des premiers cas où un régulateur sectoriel marocain traduit un objectif national de cybersécurité en attentes contraignantes et vérifiables pour toute une industrie — précisément la « déclinaison sectorielle » prévue par le Pilier 1 — tout en traitant la conséquence directe des fuites : la fraude visant les citoyens.

Chronologie : la cybersécurité au Maroc de 2024 à 2026

Les développements ci-dessous ont modifié le paysage, plutôt que simplement alimenté l’actualité. Les revendications non confirmées sont signalées comme telles.

Date	Ce qui s’est passé	Pourquoi c’est important
Juin 2024	La DGSN lance E-Blagh, plateforme publique de signalement des crimes en ligne, lors de journées portes ouvertes à Agadir ayant réuni 2,1 millions de visiteurs, avec la participation de 845 établissements scolaires.	Un canal de signalement direct pour les citoyens — 25 876 signalements fin 2025, cité par INTERPOL comme bonne pratique.
22 juil. 2024	La DGSSI dévoile la Stratégie Nationale de Cybersécurité 2030. Bank Al-Maghrib publie sa première orientation anti-hameçonnage aux banques.	Fixe le cap national jusqu’en 2030, et constitue la première réponse sectorielle au hameçonnage de masse. (DGSSI)
Sept. 2024	L’UIT publie le 5^e Global Cybersecurity Index. Le Maroc obtient 97,5/100 et entre dans le Palier 1. Sur l’année, le Maroc bloque 644 cyberattaques.	La meilleure évaluation internationale jamais obtenue par le Maroc, et la base de comparaison pour la hausse de 2025. (UIT)
8 avr. 2025 Confirmé	Fuite de la CNSS — la plus vaste fuite de données confirmée de l’histoire du Maroc. Les fichiers publiés sur une chaîne Telegram animée par Jabaroot comprenaient 53 574 PDF d’attestations de salariés déclarés, un fichier couvrant 497 653 entités affiliées et un autre listant 1 945 915 salariés. Parmi les organisations concernées figuraient AXA et Al Barid Bank. Deux jours plus tard, la CNDP avertissait que l’usage des données divulguées est illicite au regard de la loi 09-08.	A exposé numéros de CIN, salaires et coordonnées bancaires à l’échelle nationale, déclenchant une vague de fraudes en aval — et le premier grand test du régulateur marocain des données. (Médias24)
Mai 2025	INTERPOL publie sa 4^e évaluation des cybermenaces en Afrique, citant le Maroc parmi les pays les plus ciblés du continent avec 1 076 détections de rançongiciels en 2024.	Situe le niveau de menace marocain dans un contexte continental vérifié. (INTERPOL, PDF)
Juin 2025 Démenti	Jabaroot vise la plateforme notariale Tawthiq et revendique une intrusion au ministère de la Justice portant sur quelque 5 000 magistrats et 35 000 fonctionnaires judiciaires. Le ministère a officiellement démenti tout piratage.	Illustre à quel point l’attribution est devenue contestée — revendication et démenti doivent être cités ensemble.
1^er sem. 2025	La télémétrie Kaspersky enregistre 20,7 millions de tentatives d’attaques contre des systèmes marocains. 76 applications mobiles publiques et d’infrastructures critiques sont auditées ; 20 présentent des failles critiques.	Révèle le trafic d’attaques automatisées derrière le nombre bien plus faible d’incidents recensés, et confirme officiellement des faiblesses persistantes.
Oct. 2025	Le Maroc signe la Convention de l’ONU contre la cybercriminalité à Hanoï le 25 octobre. Deux semaines plus tôt, le NCSI actualise le Maroc à 79,17 %, 44^e.	Engage le Maroc dans le premier cadre mondial de coopération transfrontalière contre la cybercriminalité. (ONU Info)
Déc. 2025	La DGSN fait état de 13 643 affaires de cybercriminalité et de chantage pour 2025 ; la DGSSI recense 879 cyberattaques, dont 109 ayant nécessité l’intervention du maCERT.	La mesure officielle la plus claire de la cybercriminalité touchant les citoyens, et une hausse d’environ 36 % des incidents par rapport à 2024. (SNRT)
Févr.-avr. 2026	La DGSSI organise la première compétition nationale de cybersécurité pour les étudiants des universités et grandes écoles publiques et privées.	Mise en œuvre directe du Pilier 3 : le vivier national de compétences.
26 mars 2026 Non confirmé	Le groupe de rançongiciel Bashe (également suivi sous le nom d’APT73) revendique une intrusion chez 2M Maroc et l’exfiltration d’environ 30 Go de documents internes, e-mails et fichiers financiers. Non confirmé officiellement.	Des opérateurs de rançongiciel à motivation financière ciblent désormais les médias marocains, en parallèle du hacktivisme politique.
8-10 avr. 2026 Non confirmé	Jabaroot revendique une intrusion à la CNOPS, publiant un fichier censé contenir les noms, numéros d’immatriculation et adresses de plus de 3 millions d’adhérents — un an jour pour jour après la CNSS. Jamais confirmé ; des chercheurs ont relevé l’absence des horodatages présents dans la fuite CNSS et l’hypothèse de données recyclées.	Survient au moment de la fusion des régimes CNSS et CNOPS, ce qui soulève des questions de gouvernance des données — et illustre pourquoi les revendications non vérifiées doivent être signalées.
12-14 avr. 2026 Confirmé	L’OFPPT confirme un incident sur sa plateforme d’orientation « My Way » : un fichier CSV diffusé sur le dark web contenant les données d’environ 100 000 jeunes utilisateurs — noms, téléphones, e-mails et numéros de CIN. Attribué à l’usage frauduleux d’un compte légitime compromis, et non à une compromission technique directe.	Un cas rare de communication publique rapide et détaillée sur une fuite dans le secteur public marocain — la référence de transparence à laquelle les autres sont désormais comparés.
Juil. 2026	Bank Al-Maghrib et l’ANRF réunissent les banques à Rabat (17 juillet) : orientation sur les comptes rebonds, et attentes en matière de MFA, d’appareils de confiance et de durcissement applicatif. Le 23 juillet, le rapport de supervision de BAM généralise les tableaux de bord du cyber-risque à tout le secteur.	Traduit la politique nationale de cybersécurité en obligations supervisées pour un secteur entier, et ancre le cyber-risque dans la supervision prudentielle. (analyse SecureWeb)

Trois constantes se dégagent. La maturité institutionnelle et l’exposition opérationnelle ont progressé de concert — sept mois séparent l’entrée au Palier 1 de la plus grande fuite de données de l’histoire du pays. C’est le secteur public, et non les entreprises privées, qui a encaissé les incidents les plus lourds. Et la confirmation est devenue la partie la plus difficile du récit : plusieurs revendications largement relayées n’ont jamais été confirmées, une a été officiellement démentie, et seul l’OFPPT a communiqué en détail de sa propre initiative.

Entreprises marocaines : réalité du terrain, défis et bonnes pratiques

L’analyse SecureWeb au Maroc

Notre évaluation de la cybersécurité au Maroc (côté entreprises) fait ressortir plusieurs tendances :

53 % des entreprises marocaines que nous avons contactées ne se préoccupent pas de cybersécurité, même après que nous leur avons expliqué les risques liés à leurs vulnérabilités.
40 % des entreprises attendent de leur unique informaticien qu’il gère l’ensemble des questions de sécurité.
78 % des entreprises n’adoptent une stratégie de cybersécurité qu’après avoir subi un piratage ou une fuite.
Seules 4 % des entreprises font preuve de bonnes pratiques solides de manière proactive.

Note méthodologique : ces pourcentages proviennent des échanges de SecureWeb avec des organisations marocaines dans le cadre de missions d’évaluation et de divulgation de vulnérabilités. Ils décrivent les organisations que nous avons contactées et ne constituent pas une enquête nationale statistiquement représentative. Ils sont publiés parce qu’il n’existe pas de données indépendantes comparables sur la posture de sécurité des PME marocaines.

Les défis de la cybersécurité au Maroc

Malgré les efforts engagés, la cybersécurité au Maroc reste confrontée à des défis importants.

Technologies obsolètes : les sites des administrations et des universités reposent encore sur des socles vieillissants aux pratiques de sécurité insuffisantes — ce que confirme officiellement le constat de 2025 selon lequel 20 des 76 applications mobiles publiques et d’infrastructures critiques auditées présentaient des failles critiques.
Pénurie de professionnels qualifiés : de nombreux postes restent non pourvus faute d’adéquation entre les besoins des employeurs et les compétences disponibles. Le directeur général de la DGSSI a lui-même pointé un déficit de profils opérationnels qualifiés, appelant à adapter les cursus aux besoins du terrain.
Gouvernance, et pas seulement technologie : les responsables de la sécurité des systèmes d’information n’ont souvent pas de siège permanent au comité de direction, ce qui les laisse avec des budgets contraints et une autorité insuffisante. L’accent reste mis sur les tests d’intrusion et les produits, plutôt que sur des processus durables et la résilience.
Notification des fuites et recours des citoyens : aucun outil public ne permet à un citoyen marocain de vérifier si ses données figurent dans une base compromise, et les institutions concernées ont souvent communiqué tardivement, voire pas du tout.
Absence de programmes de Bug Bounty : le Maroc ne dispose pas de BBP/VDP, ces dispositifs qui récompensent les chercheurs signalant des failles avant que les attaquants ne les exploitent.
Pas de formation au code sécurisé : les pratiques de développement sécurisé ne sont pas priorisées, laissant la place aux vulnérabilités.

Bonnes pratiques pour les particuliers et les organisations

Pour les particuliers :

Utilisez des mots de passe forts et uniques, et activez l’authentification à deux facteurs (2FA).
Mettez régulièrement vos logiciels à jour et évitez de cliquer sur des liens suspects.
Traitez comme suspects les SMS et appels non sollicités qui citent vos vraies informations — après les fuites de 2025-2026, le fait qu’un fraudeur connaisse votre nom ou votre CIN ne prouve rien. Apprenez à reconnaître les messages de hameçonnage et ce que deviennent les données divulguées sur le dark web.
N’approuvez jamais un code d’authentification ou une notification bancaire que vous n’avez pas déclenché vous-même.
Vous ne savez pas où vous en êtes ? Faites notre test gratuit de sensibilisation à la cybersécurité pour identifier vos points faibles.

Pour les organisations :

Réalisez des audits de sécurité réguliers et des tests d’intrusion.
Formez vos équipes contre les erreurs courantes, à la vigilance anti-hameçonnage et au code sécurisé, et investissez en cybersécurité selon votre secteur.
Imposez la MFA sur tout service exposé sur Internet et restreignez les accès distants — le seul RDP a concentré 2,1 millions d’attaques recensées contre des systèmes marocains au 1^er semestre 2025.
Évaluez vos fournisseurs et tiers — l’incident de l’OFPPT découle de l’usage détourné d’un compte légitime, et la stratégie nationale comme Bank Al-Maghrib traitent désormais le risque prestataire comme un enjeu de premier ordre.
Si vous traitez des données personnelles, révisez dès maintenant votre conformité à la loi 09-08 — la CNDP est passée de la sensibilisation à la sanction en 2025.

Questions fréquentes

Quel est le classement du Maroc en cybersécurité ?

Au Global Cybersecurity Index 2024 de l’UIT, le Maroc obtient 97,5/100 et figure au Palier 1 — le plus élevé des cinq paliers, et le seul pays du Maghreb à y accéder. L’UIT publie des paliers, pas un classement. Au NCSI, distinct, il obtient 79,17 %, 44^e, en octobre 2025.

Quel organisme est responsable de la cybersécurité au Maroc ?

La DGSSI, relevant de l’Administration de la Défense Nationale, avec le maCERT comme CERT national. Les enquêtes sur la cybercriminalité relèvent de la DGSN et de la Gendarmerie Royale ; les données personnelles, de la CNDP.

Quelle est la plus grande fuite de données au Maroc ?

La fuite de la CNSS d’avril 2025 — des fichiers couvrant 497 653 entités affiliées et 1 945 915 salariés.

Quelle est la principale loi marocaine de cybersécurité ?

La loi 05-20 relative à la cybersécurité (2020), entrée en vigueur par le décret 2-21-406 (2021), qui fixe les obligations des entités, infrastructures d’importance vitale et opérateurs et crée les organes de gouvernance. Les données personnelles relèvent de la loi 09-08 (2009).

Quelle est la principale cybermenace au Maroc ?

L’étude nationale des risques cite les rançongiciels, les attaques DDoS et l’ingénierie sociale. En pratique, le hameçonnage domine : INTERPOL attribue 34 % des incidents cyber détectés en Afrique à des arnaques par hameçonnage, et les plus lourdes pertes récentes subies par les citoyens marocains proviennent de fraudes bâties sur des données divulguées.

Conclusion

À mesure que le Maroc avance dans sa transformation numérique, prioriser des pratiques de cybersécurité solides est essentiel pour réduire la cybercriminalité et bâtir un environnement numérique plus sûr pour tous.

La période 2024-2026 rend le défi particulièrement lisible. Le Maroc dispose d’une stratégie nationale crédible, d’une autorité reconnue, d’une évaluation internationale de Palier 1 et, dans la banque, d’un régulateur qui traduit la politique en obligations applicables. Il compte aussi la plus grande fuite de données de son histoire, une pénurie de compétences reconnue par la DGSSI elle-même, et des institutions qui n’ont pas systématiquement prévenu les citoyens de l’exposition de leurs données. Les deux constats sont vrais simultanément, et tout état des lieux honnête de la cybersécurité au Maroc doit les tenir ensemble.

Table of Contents