Opération Serengeti III : 1 462 arrestations cybercrime

Ce qui s'est passé

Entre le 29 juin et le 31 août 2026, INTERPOL a coordonné l'Opération Serengeti III, une vaste campagne de répression de la cybercriminalité menée conjointement par les forces de l'ordre de 21 pays, dont 20 nations africaines et les États-Unis. L'opération a abouti à l'arrestation de 1 462 suspects et au démantèlement de 10 909 réseaux malveillants actifs sur le continent africain et au-delà. Plus de 105 millions de dollars en fonds illicites ont été récupérés au cours de l'opération, un chiffre qui représente néanmoins une fraction des pertes totales estimées à 385 millions de dollars infligées aux 65 929 victimes identifiées.

L'organisation internationale de police criminelle a bénéficié du soutien opérationnel de Group-IB, société de cybersécurité basée à Singapour, qui a fourni des renseignements sur les menaces et une analyse technique des infrastructures malveillantes. Selon Group-IB, la qualité du renseignement transmis aux équipes locales a été déterminante pour identifier les têtes de réseau et remonter jusqu'aux donneurs d'ordre, souvent installés hors du continent africain.

Les schémas d'attaque documentés dans le cadre de Serengeti III couvrent un spectre particulièrement large de la cybercriminalité. La fraude financière en ligne représente la catégorie la plus importante en volume, avec des arnaques ciblant principalement les particuliers via de faux sites de trading, des plateformes d'investissement fictives et des schémas de type Ponzi proposés sur les réseaux sociaux. Ces attaques exploitent souvent la confiance et la méconnaissance des victimes en matière d'investissement en actifs numériques.

Le Business Email Compromise (BEC) figure également en bonne place dans le bilan de l'opération. Cette technique, consistant à usurper l'identité d'un dirigeant ou d'un partenaire commercial pour détourner des virements, a causé des pertes considérables à des entreprises de taille intermédiaire. Les attaquants utilisaient dans certains cas des outils d'intelligence artificielle générative pour rédiger des e-mails de phishing en langue locale, augmentant significativement leur taux de succès face à des filtres antispam non entraînés sur ces dialectes.

Des attaques par ransomware ont également été documentées, ciblant des administrations locales et des hôpitaux dans plusieurs pays participants. Ces intrusions suivaient généralement le schéma classique : compromission initiale via un e-mail de phishing, déplacement latéral au sein du réseau, exfiltration de données sensibles, puis chiffrement des systèmes pour exiger une rançon. Dans au moins trois cas documentés, les attaquants ont combiné l'extorsion traditionnelle avec une menace de publication des données pour maximiser la pression sur les victimes.

L'arnaque au service à la clientèle constitue une autre modalité d'attaque fréquemment rencontrée lors de Serengeti III. Des individus se faisant passer pour des agents de banques, d'opérateurs télécom ou de plateformes de commerce en ligne ont ciblé des consommateurs pour leur soutirer leurs identifiants ou les convaincre d'effectuer des virements vers des comptes contrôlés par les criminels. Cette forme d'ingénierie sociale tire parti de la légitimité perçue de certains acteurs du marché numérique africain en pleine croissance.

Parmi les pays les plus actifs dans l'opération figurent le Kenya, le Nigeria, le Ghana et l'Afrique du Sud, qui ont chacun contribué des ressources humaines et techniques significatives. La coordination internationale a impliqué des échanges de renseignements en temps réel via les canaux sécurisés d'INTERPOL, permettant des arrestations simultanées dans plusieurs pays pour éviter les fuites d'information et les délocalisations précipitées des suspects.

L'Opération Serengeti III s'inscrit dans la continuité de deux vagues précédentes : Serengeti I, menée entre septembre et octobre 2024, et Serengeti II, conduite entre juin et août 2025. Ces trois opérations combinées ont désormais abouti à plus de 4 000 arrestations au total, positionnant INTERPOL comme acteur central de la lutte contre la cybercriminalité en Afrique. Le communiqué officiel de l'organisation souligne que les résultats de 2026 dépassent en volume et en qualité ceux des deux éditions précédentes, grâce notamment à une meilleure coopération entre les services de renseignement et les acteurs privés de la cybersécurité.

Pourquoi c'est important

L'Afrique est devenue un terrain fertile pour la cybercriminalité organisée pour plusieurs raisons structurelles. La rapide adoption des services financiers mobiles — M-Pesa au Kenya, MTN Mobile Money en Afrique de l'Ouest — a créé une base d'utilisateurs numériques importante qui n'a pas toujours été accompagnée d'une sensibilisation proportionnelle aux risques. Les opérateurs télécom et les fintechs locales se retrouvent en première ligne d'une menace qu'ils n'ont pas toujours les ressources pour contrer efficacement.

Pour les entreprises européennes et françaises, Serengeti III envoie un signal important : les réseaux criminels démantelés en Afrique ne ciblaient pas uniquement des victimes locales. Plusieurs des schémas BEC documentés impliquaient des entreprises françaises et européennes comme cibles finales de détournements de fonds, les comptes de transit étant situés sur le continent africain. La dimension internationale de ces réseaux oblige les RSSI à intégrer les risques géographiques dans leur modélisation des menaces.

L'utilisation croissante de l'intelligence artificielle générative par les cybercriminels africains est un signal préoccupant documenté pour la première fois à cette échelle dans un rapport INTERPOL. Les e-mails de phishing rédigés en langue locale, les deepfakes vocaux utilisés pour simuler la voix d'un dirigeant dans des attaques BEC, ou encore les chatbots frauduleux imitant un service client bancaire représentent une évolution qualitative de la menace. Ces techniques, jusqu'ici réservées à des groupes APT sophistiqués, sont désormais accessibles à des opérateurs cybercriminels de niveau intermédiaire grâce à la démocratisation des outils IA.

Le montant de 105 millions de dollars récupérés, bien qu'impressionnant en valeur absolue, ne représente que 27 % des pertes identifiées — et les pertes réelles sont probablement bien supérieures, de nombreuses victimes ne signalant jamais les incidents. Ce ratio illustre la difficulté structurelle de la récupération des actifs dans les affaires de cybercriminalité internationale, où la rapidité des mouvements de fonds via des portefeuilles crypto ou des comptes mules rend le gel des avoirs extrêmement complexe.

Ce qu'il faut retenir

• Serengeti III confirme que les réseaux cybercriminels africains ont atteint un niveau de sophistication qui dépasse les frontières du continent et menace directement les entreprises européennes.
• L'IA générative est désormais intégrée dans les techniques d'attaque des groupes criminels de niveau intermédiaire, rendant les méthodes traditionnelles de détection du phishing moins efficaces.
• Les équipes sécurité doivent revoir leurs procédures de vérification des virements (double canal, confirmation vocale) et former leurs équipes financières à reconnaître les signaux d'une attaque BEC.