Le 17 juillet 2026, Bank Al-Maghrib (BAM) et la Cellule de renseignement financier du Maroc, l’Autorité Nationale du Renseignement Financier (ANRF), ont réuni des responsables bancaires et de conformité à Rabat pour un atelier national sur la fraude financière. Le résultat est une répression du phishing Bank Al-Maghrib qui va bien au-delà d’une campagne de sensibilisation publique : elle comprend un nouveau document d’orientation ciblant les comptes bancaires mules et des instructions concrètes pour que les banques déploient l’authentification multifacteur (MFA) obligatoire, la reconnaissance des appareils de confiance, et une sécurité renforcée des applications mobiles.
Pour les entreprises marocaines, cela a une importance immédiate. Si votre entreprise opère avec une banque au Maroc, la façon dont vous vous connectez et approuvez les transactions est sur le point de changer ; comprendre pourquoi peut vous aider à éviter de devenir une victime involontaire, ou pire, un suspect.
Ce que change réellement la répression du phishing Bank Al-Maghrib
La répression du phishing Bank Al-Maghrib a débuté par un atelier animé par le président de l’ANRF, Jawhar Nfissi, et le directeur de la supervision bancaire de BAM, Nabil Badr, aux côtés d’une session comparative menée par Diogo Lencastre de la Banco de Portugal — un signal que le Maroc positionne la fraude numérique comme une priorité de supervision internationale, et non comme un problème purement local.
La réponse de BAM s’articule autour de deux documents d’orientation distincts, qu’il convient de bien différencier :
1. Un second document d’orientation, un an plus tard
En juillet 2024, BAM avait publié son premier guide de bonnes pratiques contre le phishing à destination des établissements de crédit, axé sur la manière dont les banques doivent détecter les tentatives de phishing ciblant leurs clients et communiquer à leur sujet. L’annonce de juillet 2026 constitue un second document, distinct — celui-ci porte spécifiquement sur les « comptes rebonds », ou comptes bancaires mules, et précise comment les banques doivent les identifier, les détecter et les traiter.
2. De nouvelles exigences techniques pour les banques
Selon Nabil Badr, les fraudeurs réussissent de plus en plus non pas en piratant directement les systèmes bancaires, mais en recourant à l’ingénierie sociale pour piéger les utilisateurs individuels — faux SMS bancaires, liens malveillants partagés sur les réseaux sociaux, et usurpation d’identité d’établissements financiers. La réponse de BAM prend la forme d’un ensemble d’exigences de sécurité concrètes pour les canaux numériques et mobiles des banques :
- Authentification multifacteur (MFA) obligatoire pour l’accès aux comptes comme pour la validation des transactions — un mot de passe seul ne suffira plus pour se connecter ou déplacer des fonds.
- Reconnaissance des appareils de confiance — les applications bancaires apprendront quels téléphones et ordinateurs un client utilise habituellement, et traiteront les connexions depuis un appareil non reconnu comme présentant un risque plus élevé, déclenchant généralement une vérification supplémentaire.
- Sécurité renforcée des applications bancaires mobiles, avec un durcissement des applications elles-mêmes contre la falsification et l’interception.
Pourquoi la répression du phishing Bank Al-Maghrib compte pour les entreprises marocaines
Il s’agit d’un signal réglementaire aux conséquences opérationnelles bien réelles, et pas seulement d’une campagne de sensibilisation. Deux conséquences directes en découlent.
D’abord, l’expérience de connexion et d’approbation sur les portails et applications bancaires professionnels va évoluer à mesure que les banques déploient la MFA et les vérifications d’appareils de confiance.
Ensuite, de façon moins évidente : toute entreprise qui envoie ou reçoit régulièrement des virements via des comptes bancaires marocains devrait comprendre ce qu’est un « compte rebond », car le nouveau guide de détection signifie que les banques surveillent désormais activement les schémas que créent les comptes mules.
Qui est concerné
- Les banques et établissements financiers, qui doivent mettre en œuvre les nouvelles exigences de MFA et de reconnaissance des appareils.
- Les PME et grandes entreprises disposant de comptes bancaires professionnels au Maroc, dont les processus de connexion et d’approbation des transactions vont changer.
- Les entreprises d’e-commerce et toute société qui envoie ou reçoit régulièrement des paiements, dont les schémas de transaction pourraient faire l’objet d’un examen bancaire plus poussé.
- Les équipes conformité et LCB-FT, alors que le Maroc se prépare à son évaluation périodique par le GAFIMOAN (Groupe d’action financière du Moyen-Orient et de l’Afrique du Nord).
- Les clients bancaires particuliers, qui sont la cible directe des campagnes de phishing et d’usurpation d’identité que cette initiative vise à contrer.
Que sont les « comptes rebonds » (comptes bancaires mules) ?
Un « compte rebond », ou compte mule, est un compte bancaire utilisé comme étape intermédiaire pour des fonds volés ou obtenus frauduleusement. Plutôt que de transférer l’argent directement du compte de la victime vers le sien, le fraudeur le fait d’abord transiter par un ou plusieurs comptes mules.
Cette étape n’a qu’un seul objectif : rompre le lien entre la victime et le fraudeur, rendant l’argent volé plus difficile à tracer et à récupérer.
Comment les campagnes de phishing alimentent les comptes rebonds
Le lien entre le phishing et les comptes mules constitue l’ensemble de la chaîne de fraude. Les fraudeurs envoient un faux SMS bancaire, un email ou un message sur les réseaux sociaux se faisant passer pour une banque, incitant la cible à « vérifier » son compte ou à « confirmer » une transaction sur une page de connexion imitant celle de la banque. Une fois les identifiants capturés, les fonds sont transférés.
C’est précisément pourquoi BAM traite les deux extrémités de la chaîne ensemble : la MFA et la reconnaissance des appareils de confiance rendent plus difficile le déverrouillage d’un compte à partir de simples identifiants volés, tandis que le guide sur les comptes mules complique la disparition propre des fonds volés une fois qu’ils ont quitté le compte.
Pourquoi maintenant ?
Cette annonce ne survient pas isolément. Elle s’appuie sur le Comité national de lutte contre la fraude financière, créé en février 2025 et coordonné par l’ANRF, qui réunit les institutions chargées de détecter et de démanteler les réseaux de fraude. Elle intervient également alors que le Maroc se prépare à son évaluation périodique par le GAFIMOAN, l’organisme régional qui évalue les dispositifs de lutte contre le blanchiment d’argent et le financement du terrorisme des pays membres.
Ce que les entreprises marocaines doivent faire dès maintenant
Pour accompagner la répression du phishing Bank Al-Maghrib, vous n’avez pas besoin d’attendre que votre banque termine le déploiement de ses nouveaux contrôles pour réduire votre propre exposition. Voici des mesures concrètes à prendre dès aujourd’hui :
- Activez la MFA partout où votre banque la propose.
- Vérifiez indépendamment toute communication bancaire inattendue.
- Formez le personnel qui gère les paiements.
- Ne partagez jamais vos OTP (mots de passe à usage unique) ou codes de vérification.
- Vérifiez la liste de vos appareils (dans les applications bancaires qui prennent en charge la reconnaissance des appareils de confiance).
Recommandations
Au-delà de la vigilance individuelle, les entreprises qui traitent un volume important de paiements via des banques marocaines devraient saisir l’occasion pour revoir leur propre dispositif de prévention de la fraude : confirmez quels membres du personnel ont accès aux comptes bancaires et pourquoi, documentez votre procédure de vérification des changements de coordonnées de paiement de vos fournisseurs ou partenaires, et assurez-vous que votre plan de réponse aux incidents prévoit la marche à suivre si un compte professionnel est un jour signalé ou gelé.
L’orientation donnée par BAM et l’ANRF est claire : la défense contre le phishing et la détection de la fraude financière convergent vers un cadre coordonné unique. Les entreprises qui prennent les devants — authentification forte, personnel formé, et réflexe de vérifier avant de faire confiance — seront bien mieux positionnées que celles qui attendent que leur banque effectue le changement à leur place.
