Chanas Assurances S.A.
L'attaque contre Chanas Assurances s'inscrit dans une vague de cyber-extorsion ciblant les leaders du secteur financier en Afrique Centrale.
- Nature de l'attaque : Infiltration des systèmes de l'entreprise par le groupe de ransomware "Fog". Après avoir pénétré le réseau, les attaquants ont exfiltré des fichiers avant de chiffrer les serveurs pour paralyser l'activité et exiger une rançon.
- Volume de données : Environ 6 Go de données sensibles ont été dérobés.
- Données compromises : Bien que le détail complet ne soit pas public, ce type d'attaque chez un assureur expose généralement :
- Les contrats de police d'assurance (détails des biens assurés, montants des primes).
- Les bases de données clients (identités, contacts).
- Des documents internes et financiers (PV de conseils d'administration, rapports stratégiques).
- Impact : Sérieux. Outre le risque de réputation, l'entreprise a dû faire face à des perturbations opérationnelles majeures. De plus, en septembre 2025, Chanas a confirmé l'ouverture de procédures judiciaires pour des soupçons de malversations internes, ce qui peut suggérer une vulnérabilité accrue liée à une instabilité de gouvernance au moment de l'attaque.
Note de sourçage (OBS-CC, 9 septembre 2026) — Le champ Sources portait la seule mention « Communiqué Chanas Assurances S.A. », sans référence datée. La source réellement identifiable est l'alerte publique du chercheur en cybersécurité Clément Domingo (SaxX), datée du 28 novembre 2024 à 14 h 48 UTC — soit exactement la date que portait déjà la fiche. Elle nomme l'entreprise, le groupe de rançongiciel et mentionne une demande de rançon.
Ce qui reste non établi : le montant de la rançon, le volume de données exfiltrées, la réponse de l'entreprise, et l'existence d'une éventuelle notification aux assurés. Aucune communication publique de Chanas Assurances n'a été retrouvée — l'incident n'est connu que par un tiers.
Ce que cet incident donne à voir du cadre camerounais : ce qui est obligatoire, ce qui ne l'est pas, et ce dont personne n'a à rendre compte.
Exfiltration de données chez un assureur, revendiquée sur un site de fuite. Les données d'assurance sont des données personnelles, souvent patrimoniales ou de santé, et leur violation appelle la notification des personnes concernées. Aucune notification publique n'est documentée, et l'autorité qui devrait la recevoir n'était pas opérante à la date des faits : l'obligation est exigible dans son principe, son effectivité ne l'est pas.
L'incident n'est connu que par la revendication du groupe attaquant sur son propre site de fuite. L'établissement n'a rien publié. C'est donc l'attaquant — ni la victime, ni une autorité — qui informe le public camerounais qu'une base d'assurés a été compromise.
- Sécurisation des Accès Distants : L'audit des passerelles VPN et la mise en place d'une authentification multifacteur (MFA) robuste pour tous les accès externes.
- Surveillance du Dark Web : Mettre en place une veille active pour détecter la mise en vente d'identifiants d'employés de l'entreprise avant que l'attaque ne se produise.
- Segmentation Réseau : Isoler les bases de données clients des serveurs web pour empêcher un attaquant ayant pénétré le site internet de naviguer librement vers les données sensibles.
Clément Domingo (SaxX), chercheur en cybersécurité — alerte publiée le 28 novembre 2024 à 14 h 48 UTC
https://x.com/_SaxX_/status/1862146588765745421
« CYBERALERT 🇨🇲 CAMEROUN | Chanas Assurances S.A. victime d'une cyberattaque par le groupe cybercriminel "Fog" ! Le groupe de ransomware FOG a attaqué Chanas Assurances S.A. au Cameroun. D'après mes informations, une demande de rançon a été émise ! »
Contexte sur le mode opératoire du groupe Fog : KPMG, note de veille du 19 novembre 2024
https://assets.kpmg.com/content/dam/kpmgsites/in/pdf/2024/11/kpmg-ctip-fog-ransomware-19-nov-2024.pdf.coredownload.inline.pdf