Une publication relayée sur les réseaux sociaux affirme qu’un jeu de données attribué à Al Barid Bank serait actuellement proposé à la vente sur le dark web. La banque postale marocaine assure, pour sa part, qu’aucune fuite critique n’a été constatée à ce stade et que les comptes ainsi que les cartes de ses clients demeurent sécurisés.
Selon le post repéré et relayé le 19 avril par le compte spécialisé DailyDarkWeb, les données prétendument compromises correspondraient à des « full logs database » de l’année 2025. Le message évoque notamment des informations liées aux virements instantanés, aux prélèvements automatiques, à l’émission de cartes bancaires, aux localisations d’agences ainsi qu’à des numéros de téléphone associés à des identifiants internes. Le jeu de données serait proposé à la vente, avec possibilité de négociation.
À ce stade, toutefois, rien ne permet de confirmer de manière indépendante l’authenticité, l’exhaustivité ou l’origine exacte de ce dataset. C’est tout l’enjeu de ce type de publication : l’existence d’une annonce sur un forum clandestin ne vaut pas, en elle-même, preuve d’une compromission massive ou d’une intrusion profonde dans les systèmes d’information d’une institution financière.
Dans un article publié dans la soirée du 19 avril, Le Desk indique qu’Al Barid Bank a pris connaissance des informations relayées et affirme que ses premières vérifications concluent que les données évoquées « ne présentent pas de caractère critique » et « ne permettent ni l’accès aux comptes clients ni l’utilisation de leurs cartes bancaires ». La banque ajoute que les investigations se poursuivent afin de déterminer l’origine et la nature exacte des données mentionnées.
L’élément qui retient particulièrement l’attention tient à la nature des informations revendiquées. Si les données décrites correspondent réellement à des journaux transactionnels, le risque ne se limiterait pas à une simple exposition d’identifiants ou de coordonnées. De tels logs peuvent permettre de reconstituer des habitudes d’usage, des montants, des temporalités d’opérations et certaines routines bancaires, ce qui pourrait nourrir des tentatives de phishing plus crédibles, des escroqueries contextualisées ou des campagnes de fraude mieux calibrées. Cette appréciation reste toutefois conditionnée à une confirmation technique qui fait encore défaut.
Cette alerte intervient dans un climat de vigilance renforcée autour de la cybersécurité au Maroc. Le 12 avril 2026, l’OFPPT a indiqué avoir identifié un incident de sécurité touchant des données à caractère personnel via sa plateforme d’orientation My Way, en précisant que le reste de son système d’information n’était pas affecté et qu’une investigation était en cours avec les autorités compétentes et une expertise externe. Plusieurs médias ont ensuite évoqué une exposition de l’ordre de 100.000 profils, voire davantage selon certaines estimations relayées dans l’espace public.
Quelques jours plus tôt, une autre alerte avait visé la CNOPS. Le groupe Jabaroot a revendiqué, entre le 8 et le 10 avril, l’exfiltration présumée de données concernant plus de trois millions d’adhérents, avec diffusion d’un fichier sur Telegram. Les informations évoquées par les relais médiatiques portaient notamment sur des noms, prénoms, numéros d’immatriculation ou d’affiliation, CIN et adresses personnelles. À ce stade, l’ampleur exacte et l’authenticité complète des données alléguées n’ont pas été confirmées de manière indépendante.
Cette revendication est venue raviver le souvenir de la cyberattaque subie par la CNSS en avril 2025. La caisse avait alors reconnu une fuite de données survenue à la date du 8 avril 2025, tout en soulignant que certains documents diffusés étaient inexacts ou tronqués. Le Monde avait, pour sa part, évoqué une exposition portant sur plus de deux millions d’assurés issus d’environ 500.000 entités, ce qui avait donné à l’incident une portée nationale considérable.
Mis bout à bout, ces épisodes dessinent un changement d’échelle. Ils montrent que le risque cyber ne concerne plus seulement des plateformes périphériques ou des bases administratives isolées, mais touche désormais des institutions qui concentrent des données sociales, financières ou transactionnelles particulièrement sensibles.
Pourtant, en janvier 2026, Al Barid Bank avait signé avec la CNDP une convention d’adhésion au programme national « DATA-TIKA », présentée comme un levier de conformité à la loi 09-08, de diffusion des bonnes pratiques de protection des données et de renforcement de la sécurité de l’information dans sa transformation digitale. De son côté, la CNDP avait annoncé en novembre 2025 le renforcement de ses capacités de veille sur les publications inadéquates de données personnelles sur le dark web.
Dans l’immédiat, la prudence s’impose pour les clients. Sans céder à l’alarmisme, la surveillance des opérations, l’activation des notifications et une vigilance renforcée face aux appels, SMS ou messages évoquant des transactions bancaires demeurent des réflexes élémentaires, en particulier lorsqu’une institution financière est citée dans une alerte de ce type.
À mesure que le Maroc accroît sa visibilité internationale, affirme son ambition numérique et consolide son statut de hub régional, son exposition s’élargit mécaniquement. Une puissance économique émergente attire les capitaux, les talents et les projets; elle attire aussi les convoitises, les offensives hybrides et les prédations numériques. Le cyber-risque n’est donc plus un sujet technique annexe: il devient un enjeu de souveraineté, de confiance et de crédibilité pour un Royaume dont l’ascension se joue désormais autant dans les réseaux que dans les chiffres de croissance.
