Banque d'Ouganda (2024) : quand des transferts frauduleux atteignent une banque centrale

Les banques centrales occupent le sommet de la chaîne de confiance financière — c'est précisément pourquoi les informations venues de Kampala fin 2024 ont attiré l'attention mondiale. Cet épisode se décrit encore au mieux par ce qui a été publiquement rapporté — et confirmé par les autorités — plutôt que comme une histoire définitivement établie.

Ce qui s'est passé

Fin novembre 2024, le journal public ougandais New Vision a rapporté que des comptes de la Banque d'Ouganda avaient été compromis et qu'environ 62 milliards de shillings ougandais — de l'ordre de 16 à 17 millions de dollars américains à l'époque — avaient été transférés frauduleusement. L'article attribuait l'intrusion à des acteurs décrits comme un groupe se faisant appeler « Waste », présenté comme basé en Asie du Sud-Est ; la presse ougandaise a également désigné en des termes similaires les comptes de la banque centrale concernés. Reuters a ensuite rapporté que deux responsables avaient confirmé qu'un incident s'était produit, et que le ministère ougandais des Finances avait reconnu l'affaire.

Selon ces informations, une partie des fonds a été transférée vers des comptes à l'étranger — les destinations citées incluaient le Japon et le Royaume-Uni — tandis que d'autres portions ont circulé par des canaux nationaux. Les autorités ougandaises ont déclaré qu'une partie des fonds avait été bloquée ou récupérée, les montants exacts variant toutefois selon les sources.

Des enquêtes ont été ouvertes sur plusieurs fronts : la Direction des enquêtes criminelles de la police ougandaise, et un audit spécial du Vérificateur général ordonné à la demande de la présidence. Des reportages ougandais ultérieurs et des procédures judiciaires en 2025 ont indiqué que les enquêteurs examinaient une possible implication interne parallèlement au récit d'une intrusion externe, et plusieurs personnes — dont, selon la presse, des agents de la banque et du ministère — ont été mises en cause. Le compte rendu officiel complet du mode opératoire n'a pas été publié dans son intégralité ; les explications concurrentes doivent donc être considérées comme non tranchées.

Comment l'attaque a fonctionné

Les conclusions forensiques n'étant pas entièrement publiques, la mécanique doit être exposée avec prudence. Le tableau publiquement rapporté — instructions de paiement frauduleuses exécutées au sein de processus de paiement légitimes de la banque centrale, fonds acheminés vers des bénéficiaires étrangers et nationaux, récupération partielle après détection — correspond au fonctionnement général des grandes fraudes aux systèmes de paiement : identifiants compromis et accès à l'infrastructure de paiement, abus d'un accès légitime par un initié, ou combinaison des deux. Les enquêteurs ougandais ont eux-mêmes publiquement exploré ces deux pistes. Ce qui est clair, c'est que les contrôles décisifs dans de tels cas sont ceux de l'identité, de l'autorisation et de la vérification autour de l'initiation des paiements — des contrôles de la couche humaine autant que techniques.

L'impact

La perte rapportée était significative, même après récupération partielle. Au-delà de l'argent, l'incident a déclenché un audit spécial de la banque centrale, un examen parlementaire, des poursuites pénales et d'inconfortables questions régionales : si des instructions frauduleuses peuvent être exécutées contre une banque centrale, chaque banque commerciale et chaque trésorerie de la région doit réexaminer ses propres contrôles de paiement. La confiance, une fois mise en doute au sommet de la chaîne, coûte cher à reconstruire.

Leçons pour les organisations africaines

L'initiation des paiements est le processus le plus critique. Autorisation à plusieurs personnes, plafonds stricts et confirmation par canal distinct doivent s'appliquer à chaque instruction de valeur élevée — sans exception d'urgence ni de hiérarchie.
Risque interne et intrusion externe ne s'excluent pas. Les vraies fraudes mêlent souvent les deux ; contrôles et surveillance doivent envisager l'un comme l'autre.
La sécurité des identifiants et des sessions des opérateurs de paiement — MFA résistante au phishing, gestion des accès privilégiés, révocation immédiate — détermine jusqu'où un intrus peut aller.
La vitesse de détection conditionne la récupération. Les fonds sauvés furent ceux gelés rapidement.
Préparez-vous à l'examen public. Les institutions financières doivent partir du principe que les incidents deviennent publics et planifier leur communication en conséquence.

Sources

Reportages de New Vision sur la compromission et les montants rapportés (2024)
Couverture de Reuters confirmant un incident auprès de responsables ougandais (2024)
Daily Monitor et la presse ougandaise ultérieure sur les enquêtes et procédures judiciaires (2024–2025)

Que le premier domino soit un opérateur hameçonné ou un initié complice, c'est la couche humaine qui décide de l'issue — mesurez la vôtre avec notre évaluation gratuite de maturité du risque humain.