Plus d’une décennie après l’adoption de la Convention de Malabo, qui établit un cadre global en matière de cybersécurité, de transactions électroniques et de protection des données à caractère personnel sur l’ensemble du continent, de nombreux Camerounais dont les comptes sur les réseaux sociaux ont été piratés ignorent encore que ce traité offre un cadre juridique destiné à les protéger.
Par Fawoh Nancy
Emeldine Yime n’a pas pu se connecter à son compte Facebook depuis quatre mois, après que des pirates informatiques en ont pris le contrôle le 5 mars. Pour cette réceptionniste d’hôtel de 28 ans vivant à Bamenda, capitale de la région du Nord-Ouest du Cameroun, ne plus pouvoir accéder à la plateforme a signifié se retrouver complètement coupée de sa communauté et des nombreuses opportunités qui en découlaient.
« Au début, c’était de l’angoisse et de la colère : perdre des années de contacts, de photos et de travail m’a beaucoup affectée. À présent, c’est surtout de la frustration et la peur de passer à côté de quelque chose », se souvient Yime. « J’ai été immédiatement bloquée et on m’a refusé tout accès aux options de récupération. Le pirate envoie des messages à mes contacts pour leur demander de l’argent, en prétendant faire face à de fausses urgences. Je n’ai pas encore constaté de violation de la vie privée, mais je ne peux pas l’exclure », ajoute-t-elle.
C’était la première fois que Yime se faisait pirater son compte Facebook, même si elle affirme avoir déjà été victime à plusieurs reprises de tentatives de spam sur WhatsApp.
Son histoire est loin d’être un cas isolé. Il ne se passe pratiquement pas un jour au Cameroun aujourd’hui sans que l’on signale des comptes Facebook, WhatsApp, de messagerie électronique ou d’autres comptes numériques piratés. Dans de nombreux cas, les pirates informatiques se font passer pour les victimes et contactent leurs amis ou leurs proches, leur demandant de l’argent pour faire face à une prétendue urgence tout en promettant de les rembourser dès le lendemain.
D’innombrables Camerounais, pris au dépourvu, ont été victimes de telles escroqueries. Pourtant, nombreux sont ceux qui tournent simplement la page après cette épreuve au lieu de demander réparation par voie judiciaire, souvent sans savoir qu’il existe déjà des cadres juridiques destinés à les protéger.
Les lois existent, mais leur application laisse à désirer
L’un d’entre eux est la Convention de l’Union africaine sur la cybersécurité et la protection des données à caractère personnel, plus connue sous le nom de Convention de Malabo. Adoptée le 27 juin 2014 à Malabo, en Guinée équatoriale, cette convention a jusqu’à présent été signée par 21 États membres de l’Union africaine, dont 16 l’ont pleinement ratifiée. Elle impose aux États membres d’adopter des lois érigeant en infraction pénale le piratage informatique, l’usurpation d’identité et l’accès non autorisé à des comptes personnels.
Le traité oblige également les gouvernements à protéger les données à caractère personnel, à garantir le droit à la vie privée, à poursuivre les cybercrimes, à sanctionner les pirates informatiques et à mettre en place des autorités indépendantes chargées de la protection des données afin d’enquêter sur les violations.
Le Cameroun a signé la Convention en 2014 et l’a ratifiée en 2019. Depuis lors, sa mise en œuvre a progressivement avancé grâce à l’Agence nationale des technologies de l’information
et de la communication (ANTIC), même si le rythme reste « freiné par le manque de ressources et les lacunes en matière de capacités institutionnelles », selon Vianney Forewah, expert camerounais en cybersécurité basé à Buea.
« Outre Malabo, le Cameroun dispose de la loi n° 2010/012 sur la cybercriminalité, de la loi n° 2014/007 sur la protection des données, de règlements émis par l’ANTIC régissant les services en ligne, ainsi que de diverses directives sectorielles en matière de cybersécurité », explique M. Forewah. « Ces cadres juridiques prévoient des sanctions pénales en cas d’accès non autorisé, de fuites de données et de harcèlement. » Il ajoute que les lois existantes offrent déjà des voies de recours aux victimes d’usurpation de compte sur les réseaux sociaux.
« Les citoyens ne disposent pas d’informations suffisantes sur leurs droits »
« L’accès non autorisé constitue un cybercrime au regard de la législation camerounaise. Le problème est que les victimes ne savent souvent pas à qui signaler de tels incidents ni de quels recours juridiques elles disposent. »
M. Forewah attribue cet écart à la fois à l’ignorance du public et à une communication institutionnelle insuffisante. « Les citoyens ne disposent pas d’informations accessibles concernant leurs droits et les mécanismes permettant de signaler la cybercriminalité. Il s’agit avant tout d’un échec en matière de sensibilisation et de communication publique », déclare-t-il. « Les institutions publiques et les organisations de la société civile n’ont pas suffisamment investi pour traduire les protections juridiques en une compréhension concrète par le public. Les campagnes de sensibilisation, les programmes scolaires et les actions de proximité restent très limités. Si la responsabilité individuelle a son importance, c’est aux institutions qu’incombe la charge principale d’éduquer les citoyens sur les protections qui existent déjà sur le papier. »
Lacunes en matière de protection des journalistes et des militants
Si ce cadre législatif sanctionne les accès non autorisés, des organisations de la société civile telles que Protege QV soulignent l’existence d’importantes lacunes, notamment pour les militants, les journalistes et les défenseurs des droits humains. La législation camerounaise actuelle met fortement l’accent sur la sanction des contrevenants une fois qu’une violation a eu lieu, mais n’offre guère de protection contre la surveillance étatique, le harcèlement numérique ciblé ou la censure arbitraire.
De plus, ni le droit national ni la Convention de Malabo ne prévoient de mécanisme clair permettant de contraindre les monopoles technologiques mondiaux tels que Meta à agir rapidement lorsqu’une voix critique est réduite au silence sur Internet.
Après avoir signalé le problème à plusieurs reprises à Facebook sans succès et n’ayant pas pu créer un autre compte avec ses identifiants, Yime hésite à ouvrir un nouveau compte. Elle n’envisage pas non plus d’intenter une action en justice contre le pirate informatique anonyme.
« À l’échelle mondiale, Facebook doit respecter ses propres politiques et les normes de type RGPD pour les utilisateurs de ces régions », déclare-t-elle. « Je prie simplement pour que mon compte Facebook soit rétabli. »
168 000 abonnés perdus du jour au lendemain
Ade Divine, journaliste sportif et chercheur camerounais de renom, a également vu sa page Facebook, qui comptait 168 000 abonnés, piratée le 18 juillet 2024. Il n’a retrouvé le contrôle total de celle-ci que deux mois plus tard, grâce à l’aide de Félix Fomengia, expert en technologies numériques et en cybersécurité, après des semaines de plaintes répétées et de demandes de rétablissement. Aujourd’hui, la page compte désormais plus de 204 000 abonnés.
« Cette situation m’a profondément affectée », se souvient Ade. « J’avais l’impression que des années de travail intense avaient été balayées d’un seul coup. Ma page était, et reste encore aujourd’hui, ma voix sur les réseaux sociaux ; la perdre m’a donc brisé le cœur. Ma famille, mes abonnés et mes proches n’ont cessé de m’appeler et de m’envoyer des messages. À chaque appel, je me rendais compte encore davantage à quel point les gens comptaient sur cette plateforme. Cela m’a profondément bouleversé. »
Il affirme que le pirate informatique a fait preuve d’un culot remarquable, en se connectant en direct sur la page et en montrant son visage. « Je pouvais lire la confiance dans son regard. Il se comportait comme s’il m’était absolument impossible de récupérer mes données », se souvient Ade.
« Il n’a jamais réclamé d’argent. J’ai même contacté les comptes qu’il avait désignés comme administrateurs et je l’ai supplié de me rendre ma page, en lui promettant de payer si c’était ce qu’il voulait. Il n’a jamais répondu. »
Ce n’était pas la première fois qu’Ade était confronté à la cybercriminalité. Des années auparavant, il avait perdu son premier compte Facebook après que celui-ci eut été désactivé, et il n’a jamais pu le récupérer. Et bien qu’il sache que des cadres juridiques existent pour protéger les utilisateurs des plateformes numériques, il admet n’avoir jamais pris le temps de les comprendre pleinement. Tout comme Yime, Ade a choisi de ne pas engager de poursuites judiciaires contre les pirates informatiques. « J’ai simplement suivi les conseils de Meta concernant la sécurité des comptes et des pages, et tout va très bien pour moi », déclare-t-il.