Secteur bancaire camerounais (14 établissements)
Le 30 avril 2024, le chercheur en cybersécurité Clément Domingo signale publiquement qu'un acteur malveillant propose à la vente, pour quelques centaines de dollars, des milliers de comptes bancaires de personnes situées au Cameroun.
L'étendue annoncée par le vendeur
Le catalogue de données volées couvre au moins quatorze établissements, parmi lesquels :
- Afriland First Bank
- BICEC — Banque internationale du Cameroun pour l'épargne et le crédit
- BGFIBank Cameroun
- Ecobank (plusieurs entités du groupe)
- Société Générale de Banques au Cameroun
- United Bank for Africa
- Crédit Lyonnais Cameroun
- Unified Payment Services
Nature des données proposées : l'identité des détenteurs de cartes, et surtout les informations bancaires permettant d'opérer des prélèvements sur les comptes, voire de les vider.
Ce qui n'est pas établi
Le chercheur formule explicitement ses hypothèses au conditionnel et au titre du principe de précaution. Selon lui, la mise en vente laisserait penser que ces établissements ont pu subir, au cours des vingt-quatre mois précédents, une cyberattaque, une fuite d'informations, un cyberespionnage dans lequel les auteurs seraient toujours présents dans les systèmes, ou un partage d'accès entre plusieurs acteurs malveillants.
Aucune de ces hypothèses n'est démontrée. Aucune banque n'a confirmé de compromission, aucune autorité n'a publié de constat, et l'authenticité comme le volume réel des données proposées n'ont pas été vérifiés de manière indépendante. Le fait établi est la mise en vente, non la compromission de tel ou tel établissement.
Pourquoi cette fiche figure malgré tout dans la base
C'est le signalement de plus large portée sectorielle jamais recensé par l'Observatoire : quatorze établissements nommés d'un seul coup, soit une part substantielle du système bancaire camerounais. Le fait qu'aucun d'entre eux n'ait publiquement réagi — ni pour confirmer, ni pour démentir, ni pour informer ses clients — est en soi l'objet du constat.
Note de saisie (OBS-CC, 9 septembre 2026)
Épisode absent de la base jusqu'à cette date. Il est antérieur à la promulgation de la loi n° 2024/017 du 23 décembre 2024 : aucune obligation de notification ne s'appliquait alors, ce qui le rattache à l'enjeu G-02.
Ce que cet incident donne à voir du cadre camerounais : ce qui est obligatoire, ce qui ne l'est pas, et ce dont personne n'a à rendre compte.
Quatorze établissements sont nommés publiquement, et aucun ne réagit — ni pour confirmer, ni pour démentir, ni pour informer ses clients. L'alerte vient d'un chercheur indépendant, sans mandat ni pouvoir de constatation. Aucune autorité ne vérifie, aucune publication ne recense. Les personnes dont les données figureraient dans ce catalogue n'ont, à ce jour, aucun moyen de l'apprendre.
Les données proposées portent sur l'identité des détenteurs de cartes et les informations permettant d'opérer sur leurs comptes. Aucun établissement nommé n'a informé ses clients, aucun recours n'est ouvert à une personne dont les données figureraient dans ce catalogue, et rien ne permet à un titulaire de compte de savoir s'il est concerné.
- Pour chaque établissement nommé : vérifier l'authenticité des données proposées et informer les clients concernés, y compris en l'absence d'obligation légale.
- Établir un canal de signalement permettant à un chercheur en sécurité de porter une telle alerte auprès des établissements et de l'autorité, sans passer par la publication.
- Publier un constat, même négatif : l'absence de réaction publique de quatorze banques nommées est en soi une information pour leurs clients.
Clément Domingo (SaxX), chercheur en cybersécurité — publication du 30 avril 2024
https://www.linkedin.com/posts/clementdomingo_cyberalert-les-donnes-de-plusieurs-share-7190989523604905984-XD98/