Un réseau de cybercriminels a réussi à dérober plus de 700 000 CFA en contournant la sécurité du Coffre de l’application Wave, déclenchant l’inquiétude des utilisateurs sénégalais face à la vulnérabilité de leurs épargnes.
« Bonsoir @WaveSenegal mon père vient d’être arnaqué d’une valeur de 700 000 CFA. L’argent était dans son coffre depuis on va appeler et vous nous dites que ce sont des arnaques ivoiriennes. L’argent était dans le coffre !!!! » Voici ce que postait une utilisatrice sur X, ce vendredi à 21h27, exprimant son incompréhension et sa colère après la disparition de l’épargne de son père, pourtant placée dans le « Coffre », la fonctionnalité présentée par Wave comme l’un des espaces les plus sécurisés de son application. Un témoignage qui relance une question récurrente chez les utilisateurs sénégalais de mobile money : comment des pirates parviennent-ils à accéder à un compte protégé par un code personnel, et à vider une épargne censée être mise à l’abri des transferts et paiements du quotidien ?
Techniques de contournement utilisées par les escrocs
Contrairement à ce que l’on pourrait imaginer, ces arnaques ne reposent généralement pas sur un piratage direct du code secret de l’application, mais sur des techniques de contournement bien identifiées par les services de cybersécurité sénégalais. La plus répandue reste l’arnaque à la carte SIM, un mécanisme déjà documenté dans plusieurs affaires récentes impliquant Wave comme Orange Money.. Le procédé consiste, pour l’escroc, à se procurer les pièces d’identité de la victime, parfois falsifiées, puis à se présenter dans une agence de l’opérateur téléphonique pour demander la récupération de la carte SIM associée au numéro ciblé. Une fois cette étape franchie, l’auteur de l’arnaque prend le contrôle du numéro de téléphone lui-même, ce qui lui permet de réinitialiser les codes d’accès des applications financières qui y sont associées, Wave comme Orange Money., puis de transférer l’argent vers son propre compte avant de le retirer. C’est précisément ce type de scénario qui a permis à un réseau démantelé à Touba de subtiliser plus d’un million de francs CFA sur des comptes mobile money, ou qui a conduit à l’interpellation d’un homme à Guédiawaye après plusieurs tentatives de récupération frauduleuse de cartes SIM dans des agences de Sonatel.
D’autres arnaques, comme celles évoquées par la victime dans son message, reposent davantage sur l’ingénierie sociale que sur une faille technique. Des escrocs, souvent présentés comme opérant depuis la Côte d’Ivoire, se font passer pour des agents de Wave, de Sonatel, ou d’un autre opérateur, contactent directement leurs victimes par téléphone ou par message, et les incitent, sous divers prétextes, à communiquer leur code secret ou à cliquer sur des liens frauduleux reprenant le logo de l’application. Wave elle-même met régulièrement en garde ses utilisateurs contre ces pratiques sur ses réseaux sociaux, rappelant que ses agents ne demandent jamais de code PIN et que tout message suspect doit être ignoré avant d’être signalé au service client.Dans ce contexte, la fonction Coffre de Wave, censée offrir un niveau de sécurité supplémentaire en mettant de côté une partie de l’épargne de l’utilisateur, ne constitue pas pour autant un rempart absolu. Si l’accès au compte principal est compromis, que ce soit par un changement frauduleux de carte SIM ou par la communication involontaire du code secret, l’ensemble des fonds associés au numéro, y compris ceux placés dans le Coffre, deviennent accessibles à l’auteur de la fraude. Autrement dit, la sécurité du Coffre reste indissociable de celle du compte principal et du numéro de téléphone auquel il est rattaché, ce qui explique que des victimes puissent voir leur épargne s’évaporer alors même qu’elles pensaient l’avoir mise à l’abri.
Face à la multiplication de ces plaintes, les autorités sénégalaises ont renforcé ces derniers mois la coopération entre la Division spéciale de cybersécurité, la gendarmerie et les opérateurs de téléphonie et de monnaie électronique, plusieurs réseaux ayant déjà été démantelés à travers le pays. Interpol a par ailleurs annoncé, dans le cadre d’une opération régionale menée avec seize pays africains, l’arrestation de centaines de personnes et la saisie de plusieurs milliards de dollars liés à la cybercriminalité. En attendant que ces efforts se traduisent par un recul durable de ces arnaques, les opérateurs continuent de marteler les mêmes recommandations à leurs abonnés : ne jamais communiquer son code secret, se méfier de tout appel ou message se présentant comme émanant d’un agent officiel, et signaler sans délai toute tentative suspecte, avant même qu’un changement de carte SIM ne vienne ouvrir la voie à un vidage de compte.