Le chiffre est la partie la moins intéressante

J’ai passé quarante minutes à l’antenne à expliquer pourquoi le chiffre est la partie la moins intéressante.

L’évaluation continentale d’INTERPOL attribue à l’IA 55 % de la cybercriminalité déclarée en Afrique. Les pertes déclarées passent d’environ 192 à 484 millions de dollars en deux ans. Des centres d’arnaque actifs dans 72 % des pays sondés.

Ces chiffres voyagent bien. Ce qu’ils ne disent pas, c’est la vitesse.

C’est là que la conversation n’a cessé d’atterrir cette semaine sur Africa Pulse — non pas sur ce que font les criminels, mais sur la rapidité avec laquelle ils peuvent désormais le faire, et la lenteur avec laquelle tout ce qui est bâti pour les arrêter avance, en comparaison.

Trois choses auxquelles je n’ai cessé de revenir à l’antenne.

Les opérations d’arnaque ne sont plus artisanales

Une tentative d’escroquerie au faux ordre de virement exigeait autrefois quelqu’un capable d’écrire de manière convaincante dans la langue de la cible, de lire un organigramme, de choisir le bon moment. Les trois sont désormais automatisés, et la dix-millième tentative ne coûte pas plus cher que la première. Le volume a cessé d’être une contrainte.

Le mobile money, là où le continent est le plus exposé et le moins défendu

Il porte une large part du volume de transactions africain, souvent pour des gens qui n’ont aucune autre relation bancaire. La fraude, là, n’est pas une ligne dans un fichier de rapprochement. C’est le mois de quelqu’un.

Et la réponse institutionnelle tourne toujours à vitesse humaine

Une coopération transfrontalière qui se mesure en mois. Des textes juridiques rédigés pour une époque où l’attaquant était une personne. Des enquêteurs compétents et désespérément en sous-effectif.

C’est l’écart réel. Pas un écart technologique — un écart de vitesse d’horloge.

Ce que cela signifie dépend de la place où l’on se trouve.

Gouvernements : le goulot n’est pas la législation, c’est le délai entre un incident et une réponse utilisable. Une loi qui met onze mois à s’activer est une loi que l’attaquant peut contourner par anticipation.

Banques et fintechs : une procédure de vérification conçue pour attraper un faussaire humain négligent n’attrapera pas un dossier cohérent fabriqué par machine. Tester le KYC contre des identités synthétiques a cessé d’être un exercice de recherche.

Entreprises : le point faible est la boîte mail d’un fournisseur, bien avant votre pare-feu.

Et pour quiconque utilise un téléphone pour déplacer de l’argent : les anciens signaux d’alerte ont disparu. Les fautes d’orthographe, une photo maladroite, une tournure étrange — tout cela se corrige à moindre coût désormais. Confirmer par un deuxième canal est la seule habitude qui tienne encore.

Je préfère entendre les praticiens plutôt que répéter des statistiques. Si votre institution a déjà dû réécrire un contrôle parce qu’il avait été conçu pour un attaquant humain, dites-moi comment cela s’est passé.