Ouganda, octobre 2020 : la compromission d'agrégateur qui a gelé le mobile money

En Afrique de l'Est, le mobile money n'est pas une application — c'est le système de paiement. Aussi, quand un unique intermédiaire technologique a été compromis en Ouganda en octobre 2020, l'effet a été immédiat et national : les deux plus grands opérateurs du pays ont suspendu des services clés de mobile money le temps que les enquêteurs établissent ce qui s'était passé.

Ce qui s'est passé

Début octobre 2020, Pegasus Technologies — un agrégateur basé à Kampala qui traite les transactions entre les plateformes de mobile money des télécoms et les banques — a subi une compromission de ses systèmes. MTN Uganda et Airtel Uganda, avec la Stanbic Bank, ont confirmé qu'un prestataire tiers avait connu un incident de sécurité et ont suspendu par précaution les transactions entre comptes bancaires et portefeuilles mobiles ainsi que les services associés, le temps de contenir l'incident. La suspension a duré plusieurs jours avant un rétablissement progressif des services.

La police ougandaise a confirmé l'ouverture d'une enquête et procédé à des arrestations de suspects, dont des individus liés au stratagème. Les montants de fraude rapportés ont varié selon les sources : la police et les médias ont évoqué des pertes en milliards de shillings ougandais, un chiffre d'environ 3,2 milliards UGX ayant été largement repris, certaines estimations allant au-delà. Les opérateurs ont déclaré que les soldes des comptes clients n'avaient pas été affectés — les pertes ont été supportées au sein de l'écosystème transactionnel plutôt que prélevées sur les portefeuilles individuels.

Comment l'attaque a fonctionné

Les détails techniques complets n'ont jamais été publiés, et les poursuites judiciaires ont limité les déclarations publiques des parties. La police ougandaise et la presse ont décrit un stratagème dans lequel les attaquants ont utilisé l'accès de l'agrégateur compromis pour déclencher des transactions frauduleuses, des rapports pointant l'utilisation de cartes SIM enregistrées sous de fausses identités pour recevoir et encaisser les fonds — une opération combinant compromission de système et fraude à l'identité classique sur le terrain.

Cette combinaison est la marque du crime visant le mobile money : une brèche technique ne rapporte que s'il existe un réseau humain de cartes SIM, d'agents et de points de retrait pour faire circuler l'argent. Inversement, la connaissance interne du fonctionnement de l'agrégation et du règlement a une valeur énorme pour les attaquants — c'est pourquoi les employés et partenaires des infrastructures financières sont des cibles de recrutement et d'ingénierie sociale, quel qu'ait été le vecteur initial dans ce cas.

L'impact

Pendant plusieurs jours, les transferts entre banques et portefeuilles mobiles — une artère financière quotidienne pour les entreprises et les ménages — ont été indisponibles sur les deux réseaux dominants du pays. La perte directe liée à la fraude, quel que soit le chiffre retenu, a été substantielle pour l'écosystème. Au-delà de l'argent, l'incident a révélé une fragilité structurelle : l'accès aux paiements de millions d'utilisateurs dépendait de la sécurité d'un seul agrégateur dont la plupart n'avaient jamais entendu parler. Les régulateurs et opérateurs de la région en ont pris acte, et le cas reste une référence dans les discussions sur le risque lié aux tiers dans la fintech africaine.

Enseignements pour les organisations africaines

Cartographiez vos intermédiaires critiques. Le maillon faible de la chaîne du mobile money n'était ni un opérateur télécom ni une banque, mais l'agrégateur entre les deux. Sachez quels tiers peuvent arrêter votre activité, et imposez-leur votre niveau d'exigence en sécurité.
L'assurance des tiers doit être continue. Les clauses de sécurité contractuelles comptent moins que la vérification permanente — audits, surveillance du comportement des API et exercices d'incident conjoints avec les partenaires critiques.
La fraude a besoin d'un réseau humain d'encaissement — surveillez-le. Enregistrements de SIM anormaux, comportements d'agents et schémas de transactions sont des occasions de détection que la seule supervision des systèmes ne voit pas.
Répétez la suspension coordonnée. MTN, Airtel et les banques ont arrêté les services de manière coordonnée pour contenir les pertes. Ce type de décision inter-entreprises est bien plus rapide quand le scénario existe à l'avance.
Protégez les personnes qui détiennent les clés. Le personnel des intermédiaires de paiement détient des connaissances et des accès qui valent des milliards ; il mérite une sensibilisation ciblée contre le recrutement, la corruption et l'ingénierie sociale.

Sources

Communiqués publics de MTN Uganda, Airtel Uganda et Stanbic Bank, octobre 2020
Déclarations de la police ougandaise sur l'enquête et les arrestations, 2020
Reportages du Daily Monitor et d'autres médias ougandais, 2020
Couverture de Reuters et des médias régionaux sur la suspension des services, 2020

Toute chaîne de paiement comporte un maillon humain quelque part — mesurez la solidité du vôtre avec l'évaluation gratuite de maturité du risque humain.