Sécurité bancaire et fraudes visant l’entreprise au Togo
Reconnaître les fraudes qui visent l’entreprise, savoir ce que prévoient la loi togolaise et les textes de l’UEMOA, qui alerter après une fraude et quelles règles de paiement fixer.
Par l’équipe éditoriale d’INTEGRA PARTNERS
La sécurité bancaire d’une entreprise au Togo dépend de ses procédures de paiement : dans un faux ordre de virement, c’est l’entreprise elle-même qui paie, sur la foi d’un message contrefait.
Les points que les textes ne tranchent pas sont réunis en fin de page.
01 — Fraudes courantes
Les fraudes qui visent l’entreprise
Pour l’ANCy, le faux ordre de virement « cible les entreprises et les organisations » : le fraudeur compromet ou contrefait une messagerie pour demander un transfert de fonds, en général aux dirigeants financiers ou aux personnes chargées des virements (État des lieux de la cybercriminalité au Togo 2023, p. 20).
- La fraude au président : un faux dirigeant, avocat ou représentant exige un virement urgent et confidentiel (p. 21).
- L’usurpation de fournisseur : au nom d’un fournisseur habituel, un message demande de régler la facture « sur un nouveau compte, frauduleux » ; ou la messagerie piratée d’un salarié émet des demandes de paiement (p. 21).
- L’hameçonnage : selon l’ANCy en 2023, « l’escroquerie en ligne la plus répandue » (État des lieux 2023, p. 18). Le CERT.tg a signalé en 2025 des courriels usurpant une adresse en « gouv.tg » et une campagne WhatsApp visant le code PIN des comptes de monnaie mobile (alertes CERT.tg 202509/AP/17 et 202511/AP/20).
- Le compte ou la ligne mobile détournés : l’ANCy range le « piratage de comptes Mobile Money » parmi les fraudes de 2025, par ingénierie sociale et usurpation d’identité (Rapport d’activités 2025, § 4.6).
Une ligne peut aussi être prise par échange de carte SIM, que l’ANSSI, autorité française, décrit ainsi : « usurper l’identité de la victime auprès de son opérateur de télécommunications pour obtenir une nouvelle carte SIM sous le contrôle de l’attaquant », qui reçoit alors les codes envoyés par SMS (CERTFR-2025-CTI-012, § 2.1.5). Au Togo, le décret n° 2024-071/PR portant identification systématique et obligatoire des abonnés aux services de communications électroniques, publié au Journal officiel du 23 avril 2025, soumet la permutation d’une carte SIM à l’identification de l’abonné (art. 22) et punit l’opérateur de 100 000 FCFA d’amende par permutation illégale (art. 31). Voir aussi le guide du mobile money au Togo.
02 — Cadre légal
Ce que prévoient la loi togolaise et les textes de l’UEMOA
Les infractions
La loi n° 2018-026 du 7 décembre 2018 sur la cybersécurité et la lutte contre la cybercriminalité, modifiée par la loi n° 2022-009 du 24 juin 2022, ne nomme ni l’hameçonnage, ni la fraude au président, ni l’échange de carte SIM. Ces faits relèvent, selon leurs éléments, de ses infractions générales et du Code pénal du 24 novembre 2015, qui définit l’escroquerie comme le fait de tromper une personne, par un faux nom, une fausse qualité, l’abus d’une qualité vraie ou des manœuvres frauduleuses, pour qu’elle remette des fonds (art. 448).
| Fait | Peine encourue | Référence |
|---|---|---|
| Accès ou maintien frauduleux dans un système informatique | Six mois à deux ans et 5 000 000 à 20 000 000 FCFA, ou l’une des deux | Loi n° 2018-026, art. 8 |
| Atteinte aux données informatisées | Trois à cinq ans et 25 000 000 à 100 000 000 FCFA | Loi n° 2018-026, art. 10 |
| Escroquerie | Un à trois ans et 1 000 000 à 3 000 000 FCFA, ou l’une des deux | Code pénal, art. 452 |
| Escroquerie par voie informatique | Peines du Code pénal pouvant être doublées, sans sursis | Loi n° 2018-026, art. 20 |
| Faux document bancaire ou de commerce, imitation d’un en-tête | Six mois à deux ans et 500 000 à 2 000 000 FCFA | Code pénal, art. 672 et 674 |
| Collecte frauduleuse de données personnelles | Un à cinq ans et 5 000 000 à 20 000 000 FCFA, ou l’une des deux | Loi n° 2019-014 du 29 octobre 2019 relative à la protection des données à caractère personnel, art. 84 |
| Traitement de données personnelles sans les mesures de sécurité prescrites | Un à cinq ans et 1 000 000 à 10 000 000 FCFA, ou l’une des deux | Même loi, art. 83 |
Le virement dans l’UEMOA
Le règlement n° 15/2002 pose trois règles à « l’expéditeur » d’un ordre de virement électronique, lorsque les deux banques sont situées dans l’UEMOA (art. 132). Pour les autres virements, voir les transferts internationaux.
- L’ordre électronique lie son expéditeur, sauf preuve qu’il n’en est pas à l’origine ; il le lie encore si c’est par sa faute que les informations permettant de l’émettre ont été obtenues (art. 133).
- « L’expéditeur doit veiller à la bonne identification du destinataire du virement » (art. 133).
- Il est tenu d’une obligation générale de sécurité, comme la banque destinataire (art. 134 et 135).
L’instruction n° 001-01-2024 de la BCEAO relative aux services de paiement dans l’UMOA ne répute une opération autorisée que si le payeur y a consenti (art. 59). L’instruction oblige le prestataire à rembourser immédiatement l’opération non autorisée (art. 69) ; c’est à lui de prouver que l’opération contestée a été authentifiée, dûment enregistrée et comptabilisée (art. 68). Le payeur en supporte la perte s’il a agi frauduleusement ou manqué à ses obligations de sécurité et de signalement (art. 65 et 70) ; une phrase de l’art. 68, rédigée en sens contraire, laisse ce point discuté.
Le décret n° 2019-095/PR du 8 juillet 2019 range le service de paiement parmi les services essentiels : les opérateurs désignés par l’ANCy, non leurs clients, lui déclarent sans délai leurs incidents significatifs (art. 4 et 17 ; annexe).
03 — Recours
Après une fraude : qui alerter, dans quel ordre
Engagez ces démarches sans attendre l’issue de la précédente.
Alerter la banque ou l’émetteur
Signalez sans délai à votre banque ou à votre émetteur de monnaie électronique toute utilisation non autorisée de votre instrument (instruction n° 001-01-2024, art. 65), qui doit alors en bloquer l’usage (art. 66). L’opposition à une carte se fait par simple appel, confirmé avec pièces dans les vingt-quatre heures ouvrées (règlement n° 15/2002, art. 142). Une opération non autorisée se notifie dans les meilleurs délais, et au plus tard dans les neuf mois du débit (instruction n° 001-01-2024, art. 67). Demandez aussi le rappel des fonds, comme le conseille le FBI (États-Unis).Conserver les preuves
Gardez courriels, en-têtes, ordres de virement, factures et relevés : en matière pénale, l’écrit électronique est admis comme preuve, au même titre que l’écrit sur papier, si son auteur peut être identifié et son intégrité préservée (loi n° 2018-026, art. 41).Signaler l’incident au CERT.tg
Le CERT.tg, centre national de réponse aux incidents, opéré par Cyber Defense Africa pour l’ANCy, reçoit les signalements sans formulaire particulier : incidents@cert.tg, +228 22 53 59 80 ou +228 70 54 93 25. Il assiste l’entreprise sur l’incident ; ses missions publiées ne comprennent ni la plainte ni la récupération des fonds.Porter plainte
La plainte se dépose auprès d’un officier de police judiciaire ou du procureur de la République ; le procureur avise le plaignant du motif d’un classement sans suite (Code de procédure pénale, loi n° 83-1 du 2 mars 1983, art. 16 et 32). Une fraude montée depuis l’étranger est réputée commise au Togo si une partie des actes ou du dommage y a eu lieu (Code pénal, art. 8).Signaler le site, vérifier les lignes à votre nom
L’arrêté n° 006/24/MENTD/MSPC du 6 septembre 2024 prévoit une plateforme du CERT où signaler un site d’escroquerie ou d’usurpation d’identité en vue de son blocage (art. 2 et 6), sans restitution des fonds. Le décret permet à tout abonné de vérifier par code court les numéros enregistrés sous son identité et de faire désenregistrer une carte SIM, identité vérifiée (décret n° 2024-071/PR, art. 23 et 26).
04 — Gouvernance des paiements
Fixer des règles de paiement dans l’entreprise
Aucun texte togolais ou de l’UEMOA que nous ayons lu n’impose à une entreprise la double validation de ses virements ; la séparation des fonctions n’est exigée que des banques (circulaire n° 03-2017/CB/C de la Commission bancaire de l’UMOA, art. 11). Aucun texte que nous ayons lu ne prescrit les règles ci-dessous ; aucune source que nous ayons lue ne dit non plus si leur absence peut constituer une faute de gestion du gérant ou des administrateurs (Acte uniforme relatif au droit des sociétés commerciales et du groupement d’intérêt économique, art. 330 et 740).
- Validation hiérarchique : une « procédure de vérification et de validation hiérarchique interne non dérogeable » des virements imprévus et des changements de coordonnées bancaires, selon Cybermalveillance.gouv.fr, dispositif national français d’assistance aux victimes.
- Contre-appel : un nouveau compte annoncé par message se confirme auprès du fournisseur « sur son numéro habituel » (même source).
- Messagerie : double authentification, accès au strict nécessaire, signalement interne de tout soupçon, SPF, DKIM et DMARC sur les domaines (CERT.tg).
- Lignes mobiles : code PIN sur la carte SIM, application d’authentification plutôt que SMS (ANSSI).
Le décret n° 2024-071/PR impose en outre au représentant légal de la société, ou à la personne qu’il mandate, de notifier par écrit à l’opérateur, dans un délai maximum de 48 heures, tout changement de détenteur d’une carte SIM de la société utilisée par un de ses agents (art. 19).
Cybermalveillance.gouv.fr, le FBI et l’ANSSI décrivent une pratique, sans valeur juridique au Togo. Le contrôle interne est traité sur la page gestion des risques opérationnels.
05 — Points restés ouverts
Ce que cette page ne tranche pas
Sur la base des textes et des publications que nous avons lus, sept points restent ouverts.
Virement ordonné par un dirigeant trompé
L’instruction n° 001-01-2024 ne répute une opération autorisée que si le payeur y a consenti (art. 59) ; elle ne dit pas si l’ordre donné par un dirigeant trompé vaut consentement, ni s’il ouvre droit à remboursement : posez la question par écrit à votre banque, et à un juriste.
Expéditeur du virement
Le règlement n° 15/2002 parle de la banque ou de l’établissement « expéditeur » (art. 132) ; les textes que nous avons lus ne disent pas si l’entreprise qui donne l’ordre à sa banque est l’expéditeur que lie l’art. 133, ni comment cette règle se combine avec l’art. 68 de l’instruction n° 001-01-2024, qui met sur le prestataire la preuve que l’opération contestée a été authentifiée.
Pratique des banques
Rappel des fonds, blocage du compte bénéficiaire, délais : nous n’avons trouvé aucune pratique publiée par les banques togolaises. L’instruction n° 001-01-2024 ne prévoit le concours de la banque au retour des fonds que si le payeur a donné un identifiant inexact, sans délai ni résultat (art. 78) ; elle ne dit rien d’un virement vers le compte exact d’un fraudeur. Nous ne promettons aucune récupération.
Service qui reçoit la plainte
Aucun texte que nous ayons lu ne nomme le service de police ou de gendarmerie chargé de la cyberescroquerie à Lomé, ni ses délais.
Plateforme de blocage
L’arrêté de 2024 fixe des délais pour sa mise en place (art. 14) ; nous n’avons constaté ni sa mise en service ni son adresse.
Échange de carte SIM et ampleur de la fraude
Aucune source togolaise que nous ayons lue ne décrit l’échange de carte SIM comme moyen de fraude, ni les droits de sa victime. Les montants de préjudice publiés par l’ANCy ou repris par la presse ne se recoupent pas : nous n’en retenons aucun.
État des textes
Code pénal cité dans sa rédaction de 2015, Code de procédure pénale dans celle de 1983. Le Code (art. 473 à 482) et la loi n° 2018-026 répriment tous deux les atteintes aux systèmes : nous citons la loi de 2018 ; lequel des deux textes l’emporte n’est pas tranché. L’instruction n° 001-01-2024 contient à son art. 68 une phrase contraire à son art. 70 sur les pertes du payeur fautif ; nous citons l’art. 70. Opérateurs de services essentiels désignés : liste non trouvée.
Chacun se ferme sur pièce ou sur l’avis d’un juriste. D’ici là, nous les examinons dossier par dossier, avec le professionnel partenaire compétent, nommé dans la lettre de mission.
Encadrer les paiements de votre entreprise
INTEGRA PARTNERS rédige avec vous vos règles de paiement : délégations, double validation, vérification des coordonnées des fournisseurs, conduite à tenir après une fraude. La plainte, vous la déposez vous-même ; si une procédure s’ensuit, les actes de procédure sont accomplis par le professionnel partenaire compétent, nommé dans la lettre de mission. Honoraires sur devis.
Payer, transférer,
contrôler.
Les canaux par lesquels l’argent sort de l’entreprise, et les contrôles qui l’entourent : ces pages en traitent.
Mobile money au Togo
Émetteurs recensés par la BCEAO, plafonds réglementaires et usages pour l’entreprise.
Cartes et moyens de paiement
Carte, monnaie électronique, virement et chèque : le cadre de l’UEMOA pour l’entreprise.
Transferts internationaux
Payer un fournisseur étranger ou recevoir des fonds de l’extérieur de l’Union.
Gestion des risques opérationnels
Cartographie des risques, contrôle interne et procédures de l’entreprise.