BICEC — Défaillance système (novembre-décembre 2023)

1. La nature de l'incident

Entre novembre et décembre 2023, la BICEC connaît une défaillance prolongée de son système d'information, dans le sillage d'une migration informatique. L'épisode se déroule en deux temps, de sens opposé.

• Phase 1 — débits sans délivrance de billets (à partir de novembre 2023). Des clients voient leur compte débité alors que le guichet automatique ne délivre aucun billet. Un mois plus tard, la presse rapporte que « les réclamations sont faites depuis un mois, aucune solution n'est trouvée ».
• Phase 2 — l'inversion du 26 décembre 2023, entre 20 h et 23 h. Le dysfonctionnement s'inverse : des retraits sont effectués sans être débités des comptes. La presse évoque « plusieurs milliards de francs CFA non tracés ». La direction met hors service l'ensemble des guichets automatiques du pays.

2. Pourquoi cette fiche n'est pas classée comme une attaque

Les deux sources disponibles qualifient l'événement de bug informatique et de panne informatique majeure, et l'attribuent à une migration du système d'information. Aucune ne fait état d'une intrusion, d'une revendication ou d'un acteur malveillant. En l'absence de tout élément en ce sens, l'OBS-CC le classe en défaillance système et non en cyberattaque.

3. Ce qui reste non établi

• Le montant réel. « Plusieurs milliards de FCFA » est une estimation de presse, non un chiffre bancaire. Aucun montant n'a été confirmé.
• La position de la banque. Aucune communication officielle de la BICEC sur cet épisode n'a été retrouvée.
• La date de début. Les sources situent le début des dysfonctionnements « le mois dernier » par rapport au 27 décembre, soit novembre 2023, sans jour précis. La fiche est datée du 26 décembre, seul moment documenté avec précision.

4. Portée pour la gouvernance

Rapporté au cadre en vigueur aujourd'hui, l'épisode illustre un angle mort : un incident affectant la disponibilité et l'intégrité d'un service financier à l'échelle nationale, sans violation de données personnelles avérée, n'entre dans aucune obligation de déclaration. L'article 22 de la loi n° 2024/017 ne couvre que les violations de données à caractère personnel.

5. À ne pas confondre

Cette fiche est distincte de l'alerte au faux site d'e-banking du 10 mars 2023, qui relève d'une campagne de phishing sans lien établi avec la présente défaillance.