Blog

Au Bénin, comme dans de nombreux pays en développement, les opérateurs télécoms recyclent régulièrement les numéros de téléphone inactifs afin d’optimiser leurs ressources. Cette pratique, bien qu’économiquement rationnelle, présente un risque majeur lorsque d’anciens numéros restent associés à des comptes sensibles – en particulier bancaires – et continuent d’être utilisés pour des opérations d’authentification. Le recyclage d’un numéro peut ainsi constituer une porte d’entrée pour des fraudeurs, mettant en péril la confidentialité et l’intégrité des données personnelles.

1. Contexte national : la réglementation béninoise en matière de données personnelles

Au Bénin, la protection des données à caractère personnel est encadrée par une législation nationale spécifique (par exemple, la Loi n°2017-20 relative à la protection des données personnelles, dont l’objectif est de garantir la confidentialité et la sécurité des informations personnelles). Cette réglementation impose aux acteurs – opérateurs télécom, établissements financiers, et autres entités traitant des données sensibles – de mettre en œuvre des mesures de sécurité adaptées au contexte local.

Parmi les obligations principales, la législation béninoise exige que :

• Les données soient collectées et traitées de manière transparente : les clients doivent être informés des finalités de traitement, des mesures de sécurité mises en place, ainsi que de leurs droits en la matière.
• Les établissements financiers et télécoms veillent à la mise à jour régulière des informations personnelles : cela inclut notamment l’obligation de dissocier rapidement tout numéro inactif des comptes associés afin d’éviter une réattribution non sécurisée.
• Des audits et contrôles internes réguliers soient réalisés pour s’assurer de la conformité des procédures et de l’efficacité des mesures de sécurité.

Ces exigences visent à renforcer la confiance des usagers et à adapter les systèmes nationaux aux défis posés par la numérisation croissante des services.

2. Les risques liés au recyclage des numéros de téléphone

 Plusieurs risques peuvent avoir lieu suite au recyclage des numéros de téléphone, notamment :

a. La réattribution d’un numéro : une faille dans la chaîne de sécurité

Lorsqu’un numéro de téléphone n’est plus utilisé par son propriétaire, les opérateurs le réattribuent à de nouveaux abonnés après une période d’inactivité. Si l’ancien numéro demeure lié aux systèmes d’authentification d’un client – par exemple, pour l’envoi de codes de vérification lors d’opérations bancaires – il devient alors possible pour le nouvel utilisateur de recevoir ces codes et d’accéder aux comptes associés.

b. Usurpation d’identité et accès non autorisé

Le risque majeur réside dans la possibilité qu’un fraudeur, disposant du numéro réattribué, exploite ce numéro pour :

• Réinitialiser les mots de passe et obtenir l’accès aux comptes en ligne.
• Intercepter les messages d’authentification à deux facteurs (2FA) qui permettent de valider des transactions sensibles.
• Contourner les dispositifs de sécurité en utilisant l’ancien numéro pour contourner la procédure de vérification, notamment si la mise à jour des coordonnées n’a pas été synchronisée sur l’ensemble des services utilisés par le client.

Ainsi, une défaillance dans la dissociation rapide d’un ancien numéro des services sensibles peut transformer une pratique de gestion courante en un risque majeur de fraude et de violation de données.

3. Obligations des établissements financiers et opérateurs au Bénin

Ainsi, pour prévenir de tels risques, les établissements financiers ainsi que les opérateurs de téléphonie doivent mettre en place un certain nombre de mesures :

a. Gestion centralisée et mise à jour des informations

Les établissements financiers béninois doivent mettre en œuvre des systèmes de gestion centralisée permettant la synchronisation des données personnelles sur tous leurs services. Cela implique :

• L’obligation de mettre à jour immédiatement les coordonnées lors d’un changement de numéro, afin que toutes les procédures d’authentification et d’alerte soient basées sur des données actualisées.
• La dissociation automatique des anciens numéros dès qu’un client en fait la demande ou en cas d’inactivité prolongée, afin d’éviter leur réattribution à des tiers.

b. Dispositions techniques spécifiques

La législation locale et les recommandations de l’ARCEP-Bénin incitent également à :

• Intégrer des protocoles de sécurité robustes dans les systèmes d’information bancaires. Par exemple, les institutions sont encouragées à utiliser des solutions d’authentification multifacteur (MFA) qui ne reposent pas exclusivement sur le SMS.
• Effectuer des audits réguliers des systèmes de gestion des données pour vérifier que les procédures de mise à jour et de synchronisation des coordonnées fonctionnent correctement et que les accès non autorisés sont détectés rapidement.
• Mettre en place des procédures de signalement et de gestion des incidents afin d’intervenir immédiatement en cas de faille de sécurité liée à l’utilisation d’un ancien numéro.

Ces obligations visent à limiter le risque de fraude et à garantir la protection des données personnelles des clients, en s’appuyant sur des mesures adaptées aux réalités techniques et économiques du Bénin.

4. Mesures techniques et organisationnelles pour renforcer la sécurité

4. Mesures techniques et organisationnelles pour renforcer la sécurité

Pour contrer les risques évoqués, voici un ensemble de mesures techniques et organisationnelles recommandées aux établissements et opérateurs béninois :

a. Systèmes de synchronisation automatisée

• Plateforme centralisée de mise à jour : Développer une solution intégrée qui met à jour simultanément le numéro de téléphone dans tous les systèmes liés (comptes bancaires, applications mobiles, etc.). Cela permet de supprimer toute information obsolète dès qu’un changement est enregistré.
• Notifications sécurisées : Envoyer une alerte à l’utilisateur via plusieurs canaux (SMS, e-mail ou application mobile sécurisée) pour confirmer la modification de ses coordonnées, afin de s’assurer que l’utilisateur valide le changement.

b. Authentification multifacteur adaptée

• Utilisation d’applications locales d’authentification : Encourager l’utilisation d’applications générant des codes OTP localement sur le téléphone du client. Ces applications fonctionnent sans dépendre du numéro de téléphone et réduisent ainsi le risque associé à la réattribution.
• Dispositifs de vérification physique : Introduire des solutions comme des jetons de sécurité ou des cartes à puce conformes aux normes béninoises pour les opérations sensibles, en particulier dans les services bancaires à distance.
• Authentification biométrique : Dans la mesure du possible, intégrer des systèmes de reconnaissance d’empreinte digitale ou faciale. Ces systèmes doivent être associés à des protocoles de chiffrement pour protéger les données biométriques et garantir qu’elles ne soient pas accessibles à des tiers non autorisés.

c. Chiffrement et sécurisation des communications

• Chiffrement des échanges de données : Assurer que toutes les communications entre le client et l’établissement (notamment via les applications bancaires et sites web) soient protégées par des protocoles de chiffrement robustes (par exemple, TLS/SSL).
• Sécurisation des infrastructures locales : Renforcer la sécurité des serveurs et des centres de données à l’aide de pares-feux, systèmes de détection d’intrusion et de solutions de sauvegarde régulières pour éviter toute interception ou modification non autorisée des données.

d. Audit, journalisation et formation continue

• Audit régulier des accès et des mises à jour : Mettre en place un système de journalisation permettant de tracer toutes les modifications des coordonnées clients et de détecter toute tentative d’accès suspecte.
• Analyse comportementale : Utiliser des solutions d’intelligence artificielle pour surveiller en temps réel les activités des utilisateurs et identifier rapidement tout comportement anormal.
• Sensibilisation et formation : Organiser des campagnes de formation et de sensibilisation pour les employés et les clients, afin de les informer des risques liés au recyclage des numéros et des bonnes pratiques pour sécuriser leurs informations personnelles.
• Procédures d’intervention en cas d’incident : Définir un plan d’intervention clair qui décrit les étapes à suivre dès la détection d’une faille ou d’un accès non autorisé, notamment pour l’isolement du problème et la notification aux clients concernés.

Le recyclage des numéros de téléphone, bien que pratique d’un point de vue économique pour les opérateurs, présente au Bénin un risque réel pour la protection des données personnelles. Les dispositions nationales obligent les établissements financiers et les opérateurs à mettre en place des mesures rigoureuses pour garantir que les anciennes coordonnées soient rapidement mises à jour et dissociées des comptes sensibles.

En adoptant des systèmes de synchronisation automatisée, en renforçant l’authentification via des moyens adaptés et en sécurisant les échanges de données, il est possible de limiter significativement les risques d’usurpation d’identité et d’accès non autorisé. La réussite de cette démarche repose sur une collaboration étroite entre les banques, les opérateurs télécoms et les clients, chacun jouant un rôle essentiel dans la protection des informations personnelles.

Pour en apprendre davantage, veuillez nous contacter au www.360conseils.com ou infos@360conseils.com. 

Arthur W. ARAYE