Le cloud souverain, un écran de fumée pour les données sensibles

Maroc Telecom présente son offre comme une réponse aux risques quantiques. Or, les ordinateurs quantiques capables de casser les algorithmes actuels (RSA, ECC) ne seront pas opérationnels avant 2035, selon le National Institute of Standards and Technology (NIST). Cinq ans. Cinq ans pour que les entreprises africaines, déjà en retard sur la cybersécurité classique, se préparent à une révolution qui n’est pas encore là.

Le groupe mise sur le cloud souverain pour rassurer. Mais un cloud souverain, c’est avant tout un cloud localisé physiquement sur le territoire. Pas une magie. Les données restent vulnérables aux mêmes failles : erreurs humaines, logiciels mal configurés, ou simplement des employés qui vendent des accès. En 2023, une étude de Kaspersky montrait que 63 % des cyberattaques en Afrique ciblaient des failles logicielles basiques, pas des cryptosystems quantiques. Alors oui, le cloud souverain limite les risques de surveillance étrangère. Mais il ne résout pas le problème de fond : personne ne sait gérer une crise quand elle arrive.

Et puis, il y a le détail qui tue : pour que le cloud souverain soit vraiment souverain, il faudrait que les données ne quittent jamais le sol marocain. Problème : les entreprises africaines utilisent encore massivement des outils américains (Microsoft 365, AWS) ou européens (Google Workspace). Impossible de tout rapatrier sans tout casser. Maroc Telecom le sait. Mais ça ne les empêche pas de vendre du rêve.

Moov Africa, la filiale qui fait semblant de protéger l’Afrique

Moov Africa, la coentreprise de Maroc Telecom avec des opérateurs locaux, est présentée comme un rempart contre les cybermenaces. Sauf que ses clients, ce sont surtout des télécoms et des banques qui externalisent leur sécurité sans jamais auditer les prestataires. En 2025, une fuite chez Orange Money (filiale de Moov en Côte d’Ivoire) a exposé les données de 12 millions de clients. Résultat ? Moov a mis en place des mesures renforcées. Traduction : plus de rapports internes, plus de formations obligatoires, et surtout, plus de transparence.

Le pire, c’est que personne ne pose de questions. Les régulateurs africains manquent de moyens pour vérifier. Les États préfèrent croire aux discours des opérateurs plutôt que d’investir dans des expertises locales. Résultat : Moov Africa devient le fournisseur par défaut, même quand ses solutions sont inadaptées. Par exemple, ses offres de cybersécurité managée pour les PME africaines se limitent souvent à des antivirus basiques et des sauvegardes cloud. À quoi bon un cloud souverain si les sauvegardes sont stockées sur un serveur sous-dimensionné à Lagos ?

L’informatique quantique, le nouvel argument marketing

Maroc Telecom sort l’argument choc : l’informatique quantique. Les algorithmes post-quantiques (comme ceux du NIST) sont censés remplacer RSA et ECC d’ici 2035. Problème : ces nouveaux algorithmes sont lents, gourmands en énergie, et personne ne sait encore les implémenter à grande échelle. Même les géants comme Google ou IBM trébuchent sur les tests en conditions réelles.

Pourtant, Maroc Telecom les présente comme une solution immédiate. Leur argument ? Préparez-vous maintenant, ou vous serez vulnérables demain. Sauf que les entreprises africaines n’ont ni les budgets ni les compétences pour migrer vers ces technologies. C’est du greenwashing quantique.

Et puis, il y a une question que personne ne pose : qui va payer pour cette transition ? Les États ? Les entreprises ? Les utilisateurs finaux ? À ce jour, aucun pays africain n’a annoncé de plan de financement pour la cybersécurité quantique. Maroc Telecom, lui, se contente de facturer des audits post-quantique à 50 000 euros par an. Pour des entreprises qui dépensent en moyenne 1 200 euros par an en cybersécurité (source : PwC Africa Cybersecurity Report 2025), c’est du luxe.

Le vrai problème : personne ne veut réguler

Le African Cybersecurity Forum 2026, c’est aussi un salon où se serrent les mains entre opérateurs, banques et États. Personne ne parle des failles structurelles. Par exemple :

• Les contrats sont opaques. Une banque nigériane a signé avec Moov Africa un accord de cybersécurité sans que son conseil d’administration ne voie les clauses de responsabilité en cas d’attaque. Résultat ? Quand un piratage a eu lieu en 2024, la banque a dû payer 3 millions de dollars pour couvrir les frais, alors que Moov clamait une protection à 100 %.

• Les audits n’existent pas. En Afrique francophone, seulement 12 % des entreprises ont subi un audit de cybersécurité indépendant en 2025 (chiffre : ANSSI Afrique). Les autres se contentent de rapports internes signés par les mêmes sociétés qui vendent les solutions.

• Les talents manquent. Maroc Telecom forme quelques ingénieurs via son Cybersecurity Academy, mais le turnover est élevé : 40 % des diplômés quittent le secteur sous deux ans pour des salaires deux fois plus élevés en Europe. Résultat : les équipes sont surchargées, et les failles s’accumulent.

Pourquoi le Maroc mise sur cette mascarade ?

Parce que ça marche. Les États africains ont peur de l’instabilité. Une attaque contre une banque ou un opérateur télécoms, et c’est la crise politique. Alors ils signent, même sans comprendre. Maroc Telecom, lui, joue sur deux tableaux :

1. Le discours géopolitique : « Nous protégeons vos données contre les États étrangers. » (Sous-entendu : la Chine, les États-Unis, Israël.)
2. Le discours technologique : « Nous sommes prêts pour le quantique. » (Sous-entendu : achetez maintenant, avant que ce ne soit trop tard.)

Sauf que ni l’un ni l’autre n’est vrai. Le Maroc n’a pas les moyens de devenir un hub de cybersécurité quantique. Et ses solutions souveraines restent des paravents pour masquer des failles basiques.

Ce que personne ne dit

Le vrai enjeu, ce n’est pas le quantique. C’est l’absence de cadre légal et technique pour gérer les crises. En 2023, une attaque contre MTN Ghana a paralysé le réseau pendant 48 heures. Résultat ? Aucune enquête publique, aucun rapport technique publié. Juste un communiqué de MTN disant que « les mesures correctives sont en cours ».

Aujourd’hui, Maroc Telecom vend des solutions critiques pour les communications gouvernementales. Demain, si une attaque majeure a lieu, personne ne saura qui est responsable. Ni les États, ni les opérateurs, ni les régulateurs. Parce que personne n’a osé créer un mécanisme d’alerte et de réponse commun.

La conclusion qui dérange

Maroc Telecom ne ment pas. Elle vend ce qu’elle peut, avec les moyens qu’elle a. Le problème, c’est que personne ne la contredit. Les États préfèrent croire aux discours des opérateurs plutôt que d’investir dans des expertises locales. Les entreprises sous-traitent leur sécurité sans se poser de questions. Et les citoyens ? Ils ne savent même pas qu’ils sont en danger.

À Rabat, en octobre 2026, on parlera encore de cloud souverain et de quantique. Mais dans cinq ans, quand les premières attaques massives auront lieu, personne ne se souviendra de ces promesses. Parce que la vraie cybersécurité, ça ne se vend pas en salon. Ça se construit dans l’ombre, avec des lois, des audits, et des gens qui osent dire non.