Observatoire de Cybersécurité du Cameroun (OBS-CC) — analyse — juillet 2026
Le rançongiciel n’est pas une menace abstraite ou lointaine pour le Cameroun. En croisant les incidents documentés dans sa base, l’OBS-CC observe une série d’attaques revendiquées par des groupes internationaux contre des organisations camerounaises — la plus récente visant l’entreprise technologique Turbosoft en juillet 2026, attribuée au groupe SpaceBears. Derrière ces noms parfois folkloriques se cache une industrie criminelle structurée, dont les cibles au Cameroun dessinent un motif clair. Cet article propose une lecture d’ensemble : quels groupes, quels secteurs, quel mode opératoire, et comment s’y préparer.
Un secteur dans le viseur : l’assurance
Le fait le plus frappant des incidents documentés par l’OBS-CC est la surexposition du secteur de l’assurance. Le courtier ASCOMA Cameroun a été visé à deux reprises (par Akira en mars 2025, puis dans une revendication liée à Worldleaks en mai 2025, avec environ 1,5 To de données annoncées). Chanas Assurances a été frappé par le groupe Fog en novembre 2024 (environ 6 Go de données). Le Groupe ACTIVA figure parmi les cibles plus anciennes (2023). À ces cas s’ajoutent des institutions à données sensibles comme la CNPS (prévoyance sociale) et, désormais, une entreprise du secteur technologique.
Cette concentration n’est pas un hasard. Les assureurs concentrent des données personnelles et financières particulièrement monnayables (identités, contrats, coordonnées bancaires, données de santé), disposent d’une capacité de paiement, et se numérisent rapidement — parfois plus vite que leurs défenses. Pour un groupe criminel qui raisonne en retour sur investissement, c’est une cible de choix.
Qui sont ces groupes ?
SpaceBears (Turbosoft, CNPS). Apparu en avril 2024, ce groupe est affilié à l’opération ransomware-as-a-service Phobos et présente, fait notable, une vitrine « corporate » sur son site de fuite — loin de l’imagerie chaotique habituelle. Il pratique la double extorsion et cible plutôt des organisations de taille moyenne à petite (source : SOCRadar).
Akira (ASCOMA). Émergé en mars 2023, c’est l’un des groupes les plus prolifiques du moment : deuxième plus actif recensé par ransomware.live, avec des centaines de victimes revendiquées en 2025 et plus de 240 millions de dollars extorqués selon les estimations publiques. Il combine une exfiltration massive de données (jusqu’à 1 To dans certains cas documentés) et le chiffrement, et exploite un site de fuite au style rétro « écran vert » (sources : TRM Labs, Cybernews).
Fog (Chanas Assurances). Détecté pour la première fois en mai 2024, ce groupe s’introduit typiquement via des identifiants VPN SSL compromis (des campagnes ont été fortement corrélées à des accès SonicWall, avec suspicion d’exploitation de la faille CVE-2024-40766). Parti du secteur éducatif américain, il a rapidement pivoté vers la finance et l’assurance. Sa signature : publier non seulement les données volées, mais aussi les adresses IP des équipements compromis, pour accentuer la pression (sources : Kroll, The DFIR Report).
Worldleaks (revendication liée à ASCOMA). Il s’agit du nouveau nom de Hunters International, qui a annoncé sa fermeture le 4 juillet 2025 et s’est reconverti sous cette marque lancée début 2025. Changement de modèle notable : l’abandon revendiqué du chiffrement au profit du pur vol de données et du chantage à la publication — une « extorsion sans rançongiciel » (sources : Group-IB, Halcyon).
ALPHV/BlackCat et Play (Groupe ACTIVA, 2023). Ce sont les acteurs de la vague plus ancienne. ALPHV/BlackCat, longtemps l’un des cartels les plus actifs, a depuis disparu (sortie brutale début 2024). Leur présence dans la base rappelle que la menace est installée depuis plusieurs années au Cameroun, et non apparue récemment.
Le mode opératoire commun : la double extorsion
Malgré leurs différences, ces groupes partagent une logique. Le schéma classique est la double extorsion : chiffrer les systèmes de la victime et exfiltrer ses données, puis menacer de les publier sur un site de fuite si la rançon n’est pas payée. La trajectoire de Worldleaks illustre une évolution en cours : certains acteurs jugent désormais le chiffrement trop coûteux et risqué, et se concentrent sur le vol et le chantage à la publication.
Les portes d’entrée, elles, restent d’une banalité tenace : identifiants VPN ou RDP volés, hameçonnage, systèmes exposés non corrigés. Le cas de Fog — entrée par VPN SSL mal protégé — est un rappel direct pour toute organisation camerounaise exposant un accès distant sans authentification forte.
Ce que cela dit du risque camerounais
Trois enseignements se dégagent. D’abord, le ciblage est largement opportuniste et mondialisé : ces groupes ne visent pas le Cameroun en particulier, mais des organisations vulnérables et solvables, où qu’elles soient. Une entreprise camerounaise n’est pas « trop petite » ou « trop périphérique » pour être touchée. Ensuite, le modèle du site de fuite change la donne : même en cas de refus de payer, les données finissent souvent exposées publiquement — le préjudice n’est donc pas seulement l’interruption d’activité, mais la fuite durable d’informations sensibles. Enfin, la répétition sur un même secteur (l’assurance) suggère que les défenses sectorielles n’ont pas encore rattrapé le niveau de la menace.
Se préparer : les priorités
Face à cette menace, quelques mesures concentrent l’essentiel du bénéfice :
- Sauvegardes hors ligne et immuables, testées régulièrement — c’est la meilleure assurance contre le chiffrement.
- Authentification multifacteur partout, en priorité sur les accès distants (VPN, RDP) et les comptes à privilèges.
- Correctifs à jour sur les équipements exposés, notamment les passerelles VPN (la faille SonicWall CVE-2024-40766 est un exemple concret d’entrée exploitée).
- Détection et réponse (journalisation, EDR) et un plan de réponse à incident écrit, avec un contact de signalement identifié à l’avance.
- Segmentation du réseau pour limiter la propagation, et principe du moindre privilège.
En cas d’incident, le signalement au CIRT/ANTIC se fait via le numéro vert 8202 ou alerts@cirt.antic.cm. Sur le plan légal, l’atteinte relève de la loi n° 2010/012 (cybersécurité et cybercriminalité) ; et lorsque des données personnelles sont exfiltrées, la loi n° 2024/017 encadre désormais les obligations des responsables de traitement.
Position de l’OBS-CC
Les incidents cités sont issus de la base documentée par l’OBS-CC, à partir de revendications recoupées sur des sources de veille spécialisées (ransomware.live et autres). Les profils de groupes s’appuient sur des rapports publics de renseignement sur les menaces. Nous ne divulguons aucune donnée volée et ne relayons pas les sites de fuite ; l’objectif est analytique et préventif. Le message central est simple : le rançongiciel est déjà une réalité camerounaise, documentée, et l’assurance en est aujourd’hui la cible la plus visible. La préparation — sauvegardes, authentification forte, correctifs — reste la meilleure réponse.
Sources
- Base d’incidents OBS-CC (obs-cc.org) — incidents documentés : Turbosoft, ASCOMA Cameroun, Chanas Assurances, Groupe ACTIVA, CNPS.
- SOCRadar — Dark Web Profile: SpaceBears. Lien
- TRM Labs — Akira Ransomware Group. Lien
- The DFIR Report — Navigating Through the Fog (avr. 2025). Lien
- Group-IB — The story of Hunters International. Lien
- ransomware.live — suivi des groupes et victimes. ransomware.live
Méthodologie : incidents camerounais tirés de la base OBS-CC (fiabilité « Vérifié / Média public » selon les cas) ; profils des groupes recoupés sur des sources publiques de threat intelligence ; cadre légal vérifié. Signaler tout incident au 8202 ou à alerts@cirt.antic.cm.