Mobile money, deepfakes, KYC à distance : les nouveaux points d'entrée de la fraude en Afrique de l'Ouest

Ce que révèle le volet régional du rapport INTERPOL

L'*African Cyberthreat Assessment Report 2026* d'INTERPOL, publié en juin 2026 et fondé sur les remontées de 36 pays africains, ne se limite pas au chiffre agrégé de 55 % de cybercrimes assistés par IA sur le continent (voir notre décryptage consacré au constat continental). Il documente aussi une régionalisation nette des typologies de fraude : l'Afrique de l'Est concentre la fraude mobile money et les rançongiciels ciblant les infrastructures, tandis que l'Afrique centrale et de l'Ouest — cœur de la zone UEMOA — est identifiée comme le foyer principal des compromissions de messagerie professionnelle (BEC) et des arnaques sentimentales. Deux typologies qui, à la différence d'une intrusion technique classique, passent directement par les canaux relationnels et les circuits de paiement que les établissements financiers pensent le mieux maîtriser.

Le rapport pointe un vecteur commun à ces typologies et à la fraude mobile money : le contournement des contrôles d'identité par des contenus générés par IA. Entre le deuxième et le quatrième trimestre 2024, les incidents impliquant des deepfakes ont été multipliés par sept sur le continent. Un cas documenté en Ouganda illustre l'ampleur possible du phénomène : une vidéo hypertruquée mettant en scène une personnalité publique a servi à promouvoir un placement financier frauduleux, pour plus de 2 millions de dollars de pertes avant l'intervention des autorités locales.

Le point d'entrée : le KYC et l'onboarding à distance

Pour les établissements de monnaie électronique (EME) et les banques qui proposent un onboarding entièrement digital, ce constat touche directement le maillon le plus automatisé — et donc le plus exposé — de la relation client : la vérification d'identité à distance. Les fraudeurs utilisent l'IA pour générer de faux profils et des identités synthétiques capables de tromper les contrôles KYC standards, y compris les vérifications biométriques (comparaison selfie / pièce d'identité, détection de vivacité) largement utilisées par les acteurs du mobile money pour ouvrir un compte sans passage en agence.

C'est un angle mort spécifique et rarement testé : un dispositif KYC conforme à la lettre des textes peut rester vulnérable si la vérification d'identité n'intègre pas de détection de contenu synthétique, alors même que le volume d'onboarding à distance — condition même de la bancarisation par le mobile money dans la sous-région — rend une vérification physique systématique irréaliste sur le plan opérationnel.

Le cadre BCEAO applicable ne se limite pas aux banques

En zone UEMOA, les établissements de monnaie électronique exercent sous un régime prudentiel dédié : l'Instruction n°008-05-2015 du 21 mai 2015 régit les conditions et modalités d'exercice des activités des émetteurs de monnaie électronique dans les États membres de l'UMOA, avec un dispositif d'agrément et de supervision distinct de celui des banques. Ce régime s'articule avec le socle LCB-FT commun à l'ensemble des institutions financières de l'Union : l'Instruction n°003-03-2025 du 18 mars 2025, entrée en application le 1er avril 2025, fixe les modalités d'identification, de vérification de l'identité et de connaissance de la clientèle (KYC) — un texte qui s'applique aux EME au même titre qu'aux banques, sans distinction tenant au canal d'entrée en relation, physique ou digital.

Autrement dit, la vigilance renforcée que le rapport INTERPOL appelle de ses vœux n'est pas une obligation à attendre d'un futur texte BCEAO : elle relève déjà de l'application effective d'un dispositif KYC existant, dont la robustesse face aux contenus synthétiques n'a en revanche jamais été spécifiquement testée par la réglementation elle-même — la BCEAO fixe une obligation de résultat (connaître son client), pas un référentiel technique de détection des deepfakes.

Ce que les EME et banques à onboarding digital devraient vérifier

• Détection de contenu synthétique — évaluer si les prestataires de vérification d'identité biométrique utilisés (liveness detection, comparaison selfie/pièce) intègrent une détection active des deepfakes et identités synthétiques, et non uniquement une simple correspondance faciale statique.
• Différenciation des parcours à risque — appliquer un niveau de vigilance renforcée, au sens de l'Instruction n°003-03-2025, aux ouvertures de compte entièrement à distance, en particulier lorsque le canal d'entrée en relation ou le profil de transaction ultérieur présente des signaux inhabituels.
• Sensibilisation ciblée BEC et arnaques sentimentales — intégrer ces deux typologies, identifiées par INTERPOL comme dominantes en Afrique de l'Ouest et centrale, dans les modules de formation LBC/FT et dans les campagnes de sensibilisation client, au-delà du seul phishing générique déjà couvert.
• Traçabilité des contrôles — documenter l'évaluation des dispositifs de détection en place, pour être en mesure de justifier, en cas de contrôle de la Commission Bancaire de l'UMOA, que la robustesse du KYC à distance a été explicitement réexaminée à la lumière du risque IA désormais documenté.

Ces quatre points ne relèvent pas d'un chantier réglementaire à venir : ils portent sur l'exécution d'obligations déjà applicables aux EME comme aux banques, au moment précis où le vecteur de contournement — le contenu synthétique — devient mesurable et documenté à l'échelle du continent.