Une cyberfraude d'ampleur vient de frapper la microfinance en Afrique de l'Ouest. Au Sénégal, des pirates ont exploité en septembre 2026 une faille de Avia, la plateforme de services financiers numériques exploitée par GSIE Technology pour l'institution de microfinance ACEP. Selon la presse sénégalaise, 1 219 comptes clients ont été consultés frauduleusement. Les institutions de microfinance (IMF) du Bénin, de plus en plus connectées, ont tout intérêt à en tirer les leçons.
Cyberfraude Avia : ce qui s'est passé
Les faits ont été révélés le 13 octobre 2026 par le quotidien sénégalais Libération, puis repris par plusieurs médias. GSIE Technology a porté plainte contre X, notamment pour accès frauduleux à un système informatique, escroquerie, vol de données personnelles et association de malfaiteurs. L'enquête est conduite par la Division spéciale de cybersécurité de la police sénégalaise.
La chronologie rapportée est la même dans toutes les sources :
| Date (2026) | Étape de l'attaque |
|---|---|
| 12 et 13 septembre | Exploitation d'une faille applicative, dépôt de programmes malveillants, vol d'identifiants et de mots de passe |
| 22 septembre au soir | Connexions automatisées sur 1 219 comptes clients |
| Nuit du 22 au 23 septembre | Création automatique de 39 portefeuilles électroniques sous de faux noms |
| 23 septembre | 842 transferts tentés depuis 35 comptes, pour environ 168,2 millions FCFA |
| 23 septembre, après-midi | 79 virements instantanés exécutés vers 8 comptes Orange Money |
Selon la presse, les 842 transferts (168,2 millions FCFA) ont été bloqués avant tout retrait. En revanche, la deuxième série de 79 virements a abouti. Le montant réellement détourné varie selon les sources : un peu plus de 11 millions FCFA pour certains médias, plus de 14 millions pour d'autres. Aucun chiffre officiel n'a été publié à ce stade.
Une jeune femme de 22 ans, qui aurait reçu 1,8 million FCFA sur son compte, a été interpellée. Elle affirme avoir été sollicitée depuis la Côte d'Ivoire pour retirer l'argent contre une commission. Sa version n'est pas prouvée. L'enquête pointe le recours à des « mules financières » pour faire sortir l'argent.
Pourquoi les IMF béninoises sont concernées
Au Bénin aussi, les IMF ouvrent leurs services au numérique : applications mobiles, consultation des comptes en ligne, virements vers le Mobile Money. C'est un progrès pour les clients. Mais chaque nouveau service ouvert sur Internet est aussi une nouvelle porte d'entrée pour les fraudeurs.
L'affaire Avia montre plusieurs faiblesses classiques :
- une faille non corrigée dans une application exposée sur Internet ;
- des interfaces d'administration accessibles à des personnes non autorisées ;
- des identifiants volés suffisant à se connecter aux comptes ;
- des virements instantanés vers le Mobile Money, difficiles à rattraper une fois partis.
Elle montre aussi ce qui a fonctionné : une détection rapide a permis de bloquer l'essentiel des transferts, soit environ 168 millions FCFA.
10 réflexes pour les dirigeants d'IMF
- Faire auditer régulièrement vos applications et votre site par un expert indépendant (test d'intrusion), surtout avant toute mise en ligne.
- Appliquer les correctifs de sécurité sans attendre, y compris chez votre prestataire informatique.
- Protéger les accès d'administration : réseau privé, double authentification, liste d'adresses autorisées.
- Imposer la double authentification (code par SMS ou application) aux clients pour les connexions et les virements.
- Surveiller les anomalies en temps réel : connexions en masse, création de nombreux comptes ou portefeuilles, transferts répétés de même montant.
- Fixer des plafonds de virements instantanés, avec validation renforcée au-delà d'un seuil.
- Exiger des garanties de votre prestataire dans le contrat : niveau de sécurité, délai d'alerte en cas d'incident, journaux conservés, responsabilités.
- Préparer un plan de réponse : qui coupe quoi, qui prévient qui (clients, autorités, partenaires Mobile Money) et en combien de temps.
- Former le personnel au repérage de l'hameçonnage et des fraudes internes.
- Informer les clients : ne jamais communiquer ses codes, et signaler toute opération inconnue.
En cas d'incident au Bénin, les plaintes pour cybercriminalité peuvent être portées auprès de l'Office central de répression de la cybercriminalité (OCRC). Le bjCSIRT, l'équipe nationale de réponse aux incidents informatiques, accompagne aussi les organisations.
Ce que les clients doivent savoir
Les clients ont aussi un rôle à jouer. Ne prêtez jamais votre compte Mobile Money à un inconnu, même contre une commission : c'est exactement le rôle de « mule » recherché par les fraudeurs, et cela peut mener devant la justice. Nos 7 réflexes pour ne pas se faire arnaquer au Mobile Money restent valables.
Vous dirigez une IMF ou une PME et souhaitez être accompagné sur l'organisation, les procédures ou la conformité ? Découvrez les services de BOSAKA OFFICE.
Questions fréquentes
Combien d'argent a été volé dans l'affaire Avia ?
Selon la presse sénégalaise, environ 168,2 millions FCFA de transferts ont été bloqués. Les virements qui ont abouti représentent un peu plus de 11 millions ou plus de 14 millions FCFA selon les sources. Aucun chiffre officiel n'a été publié.
Les IMF du Bénin sont-elles touchées ?
Non, l'affaire concerne le Sénégal. Mais les IMF béninoises qui proposent des services en ligne sont exposées aux mêmes types d'attaques.
Qu'est-ce qu'une « mule financière » ?
C'est une personne qui accepte de recevoir de l'argent sur son compte puis de le retirer ou le transférer pour un tiers, souvent contre une commission. C'est un maillon essentiel des fraudes, et c'est illégal.
Sources : AfriqueITNews, 15 octobre 2026 · Dakaractu, d'après Libération, 13 octobre 2026 · Pulse Sénégal, 14 octobre 2026 · Osiris, d'après Senenews, 13 octobre 2026 · Senego, 13 octobre 2026
BOSAKA OFFICE vous accompagne dans vos démarches administratives, comptables et fiscales. Appel et WhatsApp : 01 41 74 52 64 · Gbègnigan, rue du supermarché Carrefour des Fruits.
