Une alerte au phishing (hameçonnage) usurpant la BCEAO circule depuis le 23 octobre 2026 parmi les professionnels de la cybersécurité de l'UEMOA. Elle vise les banques, les émetteurs de monnaie électronique et les fintechs qui raccordent leurs services à PI-SPI, la plateforme de paiement instantané de la Banque centrale. Le domaine en cause, bceao-int.com, n'appartient pas à la BCEAO. Son seul vrai domaine est bceao.int.
BOSAKA a vérifié les données techniques publiques de ce domaine. Elles confirment le signalement.
À retenir :
- le vrai domaine de la BCEAO est bceao.int (avec un point, sans tiret) ;
- bceao-int.com a été créé le 21 octobre 2026 à 16 h 31 (UTC) ;
- il est configuré pour envoyer et recevoir des courriels, sans site web associé ;
- la cible : les acteurs de PI-SPI au Bénin et dans toute l'UEMOA ;
- n'ouvrez aucune pièce jointe et ne cliquez sur aucun lien venant de ce domaine.
Le mail de phishing signalé
Selon l'alerte, le courriel porte un objet très « métier » : « PI-SPI – Consolidation du déploiement opérationnel et renforcement de l'utilisation des services ». Il contient une pièce jointe nommée BCEAO_PI-SPI_Orientations_Partenaires.pdf. L'expéditeur affiché est une adresse en @bceao-int.com.
Ces éléments du message proviennent du signalement. BOSAKA n'a pas eu le courriel en main. À la date de publication, aucun communiqué de la BCEAO sur cette campagne ne figurait sur son site officiel.
Ce que BOSAKA a vérifié sur le faux domaine
Nous avons interrogé les registres publics (RDAP de Verisign et base de l'IANA) et le DNS le 23 octobre 2026.
| Élément | bceao-int.com (faux) | bceao.int (officiel) |
|---|---|---|
| Date de création | 21 octobre 2026, 16 h 31 UTC | 25 septembre 1998 |
| Titulaire déclaré | non public | Banque Centrale des États de l'Afrique de l'Ouest |
| Registre | .com, bureau d'enregistrement grand public (PDR Ltd) | .int, géré par l'IANA |
| Serveurs DNS | Cloudflare | serveurs propres à la BCEAO |
| Messagerie | redirection via un service de courriel grand public | infrastructure de la BCEAO |
| Site web | aucune adresse IP publiée | site officiel actif |
Trois indices trahissent l'usurpation :
- Un domaine tout neuf : il a moins de 48 heures au moment des envois signalés.
- Une configuration tournée vers le mail : serveurs de messagerie actifs, mais aucun site web. C'est typique d'un domaine créé pour une campagne d'hameçonnage.
- Une politique anti-usurpation laxiste : sa règle DMARC est en mode « p=none », c'est-à-dire sans blocage.
Pourquoi le .int est la bonne référence
L'extension .int est réservée aux organisations créées par traité international. Elle est gérée directement par l'IANA. Un particulier ne peut pas l'acheter. La BCEAO utilise bceao.int depuis 1998, et pispi.bceao.int pour la plateforme PI-SPI.
À l'inverse, n'importe qui peut acheter un .com en quelques minutes. Le piège tient à un seul caractère : un tiret à la place du point.
PI-SPI, une cible attractive
PI-SPI a été lancée le 30 septembre 2025. Elle permet des virements instantanés en franc CFA, 24 h/24, dans les huit pays de l'UEMOA, dont le Bénin. Banques, institutions de microfinance, émetteurs de monnaie électronique et établissements de paiement y participent.
La plateforme est en plein déploiement. Selon Financial Afrik, son usage devient obligatoire pour les transactions interopérables de monnaie électronique à partir du 2 novembre 2026. Le 8 octobre, la BCEAO a aussi annoncé la connexion des Trésors publics. Les équipes techniques reçoivent donc beaucoup de consignes : un faux document « d'orientation » peut sembler parfaitement normal.
Consignes pour les équipes IT et sécurité
L'alerte recommande trois actions immédiates :
- bloquer bceao-int.com sur les passerelles de messagerie, les proxys et les résolveurs DNS ;
- rechercher dans les journaux de messagerie si le domaine a déjà été reçu, et si des clics ou des ouvertures de pièce jointe ont eu lieu ;
- sensibiliser les équipes, surtout celles qui travaillent sur l'intégration de PI-SPI.
En cas d'ouverture de la pièce jointe, isolez le poste concerné et prévenez votre équipe de sécurité. Changez les mots de passe saisis après l'ouverture, et signalez l'incident aux autorités compétentes de votre pays.
Ce que ça change pour le Bénin et la sous-région
Les banques, opérateurs de mobile money et fintechs béninois raccordés à PI-SPI sont directement concernés. Une intrusion chez un seul acteur pourrait toucher des comptes clients dans toute l'Union.
Pour les particuliers, la règle reste simple : la BCEAO ne vous écrit pas pour vos comptes ou vos cartes. Elle a déjà averti par le passé contre des messages utilisant son logo, et rappelle que ses canaux officiels sont son site bceao.int et la presse.
Relisez nos conseils pour éviter les arnaques au mobile money et notre article sur l'opération Serengeti III d'Interpol.
Questions fréquentes
Quel est le vrai site de la BCEAO ?
Le seul domaine officiel est bceao.int, et pispi.bceao.int pour PI-SPI. Toute adresse en bceao-int.com, ou toute autre variante, doit être considérée comme frauduleuse.
J'ai reçu ce mail, que faire ?
N'ouvrez pas la pièce jointe et ne répondez pas. Transmettez le message à votre service informatique ou de sécurité, puis supprimez-le.
La BCEAO a-t-elle confirmé l'attaque ?
À la date de publication, aucun communiqué n'était visible sur bceao.int. Les données techniques du faux domaine, elles, sont publiques et vérifiables.
Sources : Registre RDAP Verisign, bceao-int.com, consulté le 23 octobre 2026 · IANA, base whois du domaine bceao.int · PI-SPI, foire aux questions (BCEAO) · Financial Afrik, 4 octobre 2026 · BCEAO, communiqué du 8 octobre 2026 · BCEAO, communiqué sur les messages frauduleux
Photo d'illustration : Clé ancienne et ordinateur portable, Nikowsk, CC BY-SA 4.0, via Wikimedia Commons
BOSAKA OFFICE vous accompagne dans vos démarches administratives, comptables et fiscales. Appel et WhatsApp : 01 41 74 52 64 · Gbègnigan, rue du supermarché Carrefour des Fruits.
