Dans cet article
L'essentiel En 2026, les attaques qui touchent les PME algériennes ne sont pas les plus sophistiquées, ce sont les plus rentables : un message bien écrit, un mot de passe volé, une sauvegarde absente, un virement validé trop vite. Quatre menaces concentrent l'essentiel du risque. Les connaître, c'est déjà réduire l'exposition.
Le contexte en 2026
Les chiffres publics donnent l'ordre de grandeur. Kaspersky indique avoir bloqué plus de 13 millions de tentatives de phishing en Algérie en 2024. Les services de police ont recensé plus de 13 000 affaires de cybercriminalité en 2025. Le rapport d'Interpol sur l'Afrique publié en juin 2025 place les escroqueries par phishing en tête des infractions signalées et note la progression de la fraude au président.
Le cadre a aussi changé. La stratégie nationale de cybersécurité 2025-2029 a été adoptée fin 2025, et le décret 26-07 impose désormais une structure de cybersécurité dans chaque organisme public. Les entreprises privées ne sont pas visées directement, mais leurs clients publics vont exiger davantage d'elles.
Menace 1 : le phishing écrit par l'IA, en français et en darija
Le phishing de 2026 n'a plus de fautes d'orthographe. Les outils de génération de texte produisent des messages impeccables, en français comme en darija, qui imitent votre banque, votre opérateur, un transporteur ou votre propre service informatique.
Les formats qui fonctionnent le mieux : faux avis de livraison par SMS, faux message WhatsApp d'un "responsable IT" qui demande un code, fausse facture en PDF qui mène à une page de connexion copiée à l'identique.
Protection : sensibiliser les équipes avec des exemples réels et récents, imposer une vérification par un second canal pour toute demande d'identifiants ou de paiement, et activer la double authentification sur tous les comptes critiques.
Menace 2 : le vol d'identifiants et les accès distants exposés
Un attaquant n'a plus besoin de "pirater" un serveur s'il peut s'y connecter. Les logiciels voleurs d'identifiants, installés par une pièce jointe ou un logiciel téléchargé hors des circuits officiels, récupèrent les mots de passe enregistrés dans les navigateurs. Ces identifiants sont ensuite revendus.
Ils servent en priorité contre les accès distants laissés ouverts sur Internet : le bureau à distance Windows (RDP), les VPN sans double authentification, les messageries web. Beaucoup d'entreprises ont ouvert ces accès pendant les confinements de 2020 et ne les ont jamais refermés ni sécurisés.
Indicateurs d'exposition : un serveur joignable en RDP directement depuis Internet, un VPN protégé par un simple mot de passe, des comptes d'anciens employés encore actifs.
Protection : placer le RDP derrière un VPN, imposer la double authentification sur tout accès distant, verrouiller les comptes après plusieurs échecs, et désactiver les comptes dès le départ d'un collaborateur.
Menace 3 : le ransomware
Le ransomware chiffre vos données et exige une rançon pour les rendre. Les offres de "ransomware à la demande" permettent à des groupes peu qualifiés de lancer ces attaques, et les PME sont des cibles de choix : des données qui ont de la valeur, peu de défenses, et une forte pression pour reprendre l'activité vite.
Les points d'entrée sont presque toujours les mêmes : un message piégé, un accès distant volé (voir menace 2), un serveur jamais mis à jour. La plupart des incidents ne sont pas rendus publics, ce qui entretient l'idée fausse que "cela n'arrive qu'aux autres".
Protection : des sauvegardes testées, dont une copie hors ligne, des mises à jour appliquées sans attendre, un réseau segmenté pour qu'une machine infectée ne contamine pas tout, et un plan de réponse écrit avant l'incident.
Menace 4 : la fraude au virement, désormais avec la voix
La fraude au président et la fausse modification de RIB fournisseur restent les attaques les plus directement coûteuses. Le scénario : un message ou un appel d'un faux dirigeant, d'un faux directeur financier ou d'un faux fournisseur, qui demande un virement urgent ou un changement de coordonnées bancaires.
La nouveauté, ce sont les outils de clonage vocal. Quelques secondes d'enregistrement d'un dirigeant, trouvées dans une vidéo publique, suffisent à produire un message vocal crédible.
Protection : une double validation obligatoire pour tout virement et toute modification de coordonnées bancaires, un rappel systématique sur un numéro déjà connu (jamais celui donné dans le message), et une culture où vérifier une demande du dirigeant est normal, pas déplacé.
Ce que ces 4 menaces ont en commun
Aucune ne repose sur une faille technologique exotique. Elles exploitent des habitudes, des procédures absentes et des accès mal tenus. Un antivirus ne les arrête pas à lui seul. Ce qui fonctionne : des procédures simples appliquées par tous, des accès contrôlés, des sauvegardes vérifiées, et un point régulier sur l'exposition réelle de l'entreprise.
Questions fréquentes
Que faire si on a subi une attaque ransomware ?
Isoler immédiatement les machines touchées du réseau, sans les éteindre si possible. Ne pas payer la rançon avant d'avoir évalué toutes les options. Faire appel à un spécialiste de la réponse aux incidents. Vérifier l'état des sauvegardes avant toute restauration. Documenter chaque étape, pour la plainte comme pour les assurances. Les premières heures déterminent l'ampleur des dégâts.
À qui signaler une cyberattaque en Algérie ?
Une cyberattaque est une infraction : une plainte peut être déposée auprès des services de police ou de gendarmerie, qui disposent d'unités spécialisées dans la cybercriminalité. L'Agence de la sécurité des systèmes d'information (ASSI) est l'organisme national chargé de la sécurité des systèmes d'information, en particulier pour les institutions et les infrastructures critiques. Si des données personnelles sont touchées, l'Autorité nationale de protection des données à caractère personnel (ANPDP) est également concernée.
Le décret 26-07 concerne-t-il les entreprises privées ?
Pas directement : il vise les institutions, administrations et organismes publics. Mais une entreprise qui travaille pour eux, comme fournisseur ou sous-traitant, doit s'attendre à voir apparaître des clauses de sécurité dans ses contrats et à devoir démontrer ses propres mesures.