Cyberattaques en Tunisie : état de la menace et comment y répondre

La Tunisie possède une économie numérique dense : des banques et assureurs passés rapidement au digital, un important secteur d’offshoring et de services IT, des services publics qui migrent vers l’e-administration, et des milliers de PME qui vendent sur les réseaux sociaux. Le pays est donc une cible attractive, et les attaques que nous voyons sur le terrain sont les mêmes qu’ailleurs, avec quelques particularités locales.

Les menaces que nous rencontrons le plus souvent

• Phishing et fraude dans les langues locales. Faux messages de banques, de La Poste, de sociétés de livraison ou des impôts, en français, en arabe et de plus en plus en dialecte tunisien, désormais rédigés sans fautes grâce à l’IA. Ils visent les données de carte, les accès e-banking et les codes à usage unique.
• Compromission de messagerie (fraude au président ou au fournisseur). Une boîte mail de fournisseur ou de dirigeant piratée sert à modifier le RIB d’une facture. Peu coûteux pour l’attaquant, très coûteux pour la victime, en particulier dans l’import-export.
• Ransomware. Accès distants exposés, VPN non patchés et mots de passe réutilisés restent les portes d’entrée habituelles. Au niveau mondial, Verizon relève un ransomware dans 44 % des violations de son rapport 2025, et les PME sont touchées autant que les grands groupes.
• DDoS et défiguration. Des groupes hacktivistes ciblent régulièrement les sites gouvernementaux et médiatiques lors d’événements politiques et régionaux. La Tunisie figure sur cette carte depuis « Operation Tunisia » en 2011.
• Risque tiers. Les prestataires d’offshoring et d’IT disposent d’accès chez des clients en Europe et dans le Golfe, ce qui en fait un tremplin. Verizon indique que des tiers étaient impliqués dans 30 % des violations en 2025, deux fois plus que l’année précédente.

Un cadre légal qui se renforce

La Tunisie a été pionnière : la loi 2004-5 a rendu les audits de sécurité périodiques obligatoires pour de nombreuses organisations il y a vingt ans. Le décret-loi 2023-17 du 11 mars 2023 relatif à la cybersécurité a remplacé l’ancienne ANSI par l’Agence nationale de la cybersécurité (ANCS), qui abrite le CERT national (tunCERT), et a renforcé les obligations des opérateurs d’infrastructures critiques et vitales : gestion des risques, notification des incidents et audits réguliers.

Deux autres textes comptent au quotidien. Le décret-loi 2022-54 définit les infractions liées aux systèmes d’information, de l’accès frauduleux à l’atteinte aux données. La loi organique 2004-63 encadre les données personnelles, sous l’autorité de l’INPDP. Les banques et assureurs y ajoutent les exigences de leurs régulateurs, comme les circulaires de la Banque centrale de Tunisie sur le risque informatique.

Des contraintes locales à prendre en compte

Les budgets sécurité sont serrés, surtout pour les PME. Les profils qualifiés sont très demandés et beaucoup partent en Europe ou dans le Golfe. Des systèmes anciens restent en production pendant des années. Et de nombreuses équipes n’ont toujours pas de surveillance continue. Rien de tout cela n’est une raison d’abandonner, mais cela plaide pour des contrôles simples et bien tenus, et pour l’automatisation partout où le temps d’un analyste est rare.

Un plan d’action sur 90 jours

• Jours 1 à 30 : fermer les portes évidentes. MFA sur la messagerie, le VPN et les comptes d’administration ; suppression du RDP exposé ; correctifs sur les systèmes exposés à Internet ; vérification que les sauvegardes sont hors ligne et qu’une restauration fonctionne réellement.
• Jours 31 à 60 : voir ce qui se passe. Centraliser les journaux (pare-feu, VPN, Active Directory, messagerie) dans un SIEM, déployer un EDR sur les serveurs et postes, et mettre en place un processus de tri des alertes avec des responsables clairs.
• Jours 61 à 90 : se préparer et le prouver. Rédiger un plan de réponse aux incidents incluant les étapes de notification à l’ANCS, mener un exercice de crise ransomware, former les équipes au phishing en langues locales et aligner les preuves sur les exigences d’audit et de protection des données.

La plupart des attaques réussies ne demandent pas un attaquant sophistiqué. Il suffit d’un service exposé, d’un mot de passe réutilisé et de personne pour regarder les journaux.