Le pari de 492 millions de dollars sur des ondes non securisees
Le 3 decembre 2025, l’Algerie est officiellement entree dans l’ere de la 5G. L’Autorite de Regulation de la Poste et des Communications Electroniques (ARPCE) a attribue trois licences 5G — a Algerie Telecom Mobile (Mobilis), Optimum Telecom Algerie (Djezzy) et Wataniya Telecom Algerie (Ooredoo) — pour un montant total de 63,9 milliards de DZD, soit environ 492 millions de dollars. Mobilis a paye 170,7 millions de dollars, Ooredoo 161,6 millions et Djezzy 159,2 millions.
Le deploiement a demarre dans huit wilayas pilotes : Alger, Oran, Constantine, Setif, Skikda, Ouargla, Tlemcen et Blida, avec l’obligation pour les operateurs d’ajouter dix nouvelles wilayas par an et d’atteindre une couverture nationale d’au moins 50 % d’ici 2031. Djezzy a deja accelere son deploiement a 18 wilayas, et Ooredoo a annonce une presence dans chaque wilaya.
L’ambition est claire. Les 54,8 millions d’abonnes mobiles de l’Algerie auront acces a des debits 10 a 100 fois superieurs a la 4G, des latences inferieures a 10 millisecondes, et des capacites de network slicing pouvant alimenter la telemedecine dans les cliniques sahariennes et la gestion des reseaux intelligents pour Sonelgaz. Le gouvernement a positionne la 5G comme un pilier de sa strategie de transformation numerique, la liant a l’e-gouvernance, a l’automatisation industrielle et a la diversification hors de la dependance aux hydrocarbures.
Mais sous les promesses de bande passante se cache une realite que le secteur des telecoms algerien n’a pas encore confrontee publiquement : la 5G ne se contente pas d’augmenter la vitesse — elle transforme fondamentalement la surface d’attaque. Et l’infrastructure de securite existante de l’Algerie, concue pour un monde 2G/3G/4G, est structurellement impreparee.
Protocoles herites : le probleme SS7 qui n’a jamais disparu
Pour comprendre l’exposition cybersecuritaire de la 5G en Algerie, il faut commencer par ce qui est deja casse.
Le Signaling System 7 (SS7), la suite de protocoles gouvernant la signalisation telecom mondiale depuis les annees 1980, reste profondement ancree dans l’infrastructure mobile algerienne. Le SS7 a ete concu quand les reseaux telecoms etaient des systemes fermes operes par des operateurs nationaux de confiance. Il n’a ni authentification, ni chiffrement, ni controle d’acces. Toute entite ayant acces au reseau SS7 — et cet acces peut s’acheter pour aussi peu que 5 000 dollars sur les places de marche clandestines — peut intercepter des appels, lire des SMS, suivre la localisation d’abonnes en temps reel et rediriger les communications.
Ce n’est pas theorique. P1 Security, la societe francaise de securite telecom, a documente des centaines de vecteurs d’attaque SS7 couvrant le suivi de localisation, l’interception d’appels et la collecte d’identites d’abonnes. En pratique, l’exploitation SS7 a ete utilisee pour le vol de comptes bancaires par interception de codes SMS d’authentification, la surveillance de journalistes et militants, et des operations de fraude a grande echelle en Afrique et au Moyen-Orient.
Pour l’Algerie, le probleme SS7 est aggrave par trois facteurs.
Premierement, l’exigence d’interfonctionnement. Les reseaux 5G algeriens doivent interfonctionner avec l’infrastructure 2G, 3G et 4G existante pendant des annees — potentiellement une decennie ou plus. La signalisation SS7 continuera de circuler dans le reseau, et les abonnes 5G retomberont regulierement sur les generations anterieures hors des zones de couverture 5G. Chaque basculement est une exposition potentielle.
Le cadre réglementaire de cybersécurité de l’Algérie, ancré par la loi 09-04 (2009, amendée en 2016) et la Stratégie nationale de cybersécurité 2025-2029 adoptée par le décret présidentiel n° 25-321 en décembre 2025, offre une base générale solide sur laquelle des mandats de sécurité 5G spécifiques aux télécommunications peuvent être superposés.
Troisiemement, la dependance aux SMS. Malgre l’essor de la messagerie IP, le SMS reste le canal principal pour les mots de passe uniques, les notifications bancaires et les verifications de services gouvernementaux en Algerie. BaridiMob d’Algerie Poste, le service financier mobile le plus utilise du pays, s’appuie sur les codes OTP par SMS pour les confirmations de transactions — y compris le nouveau service de paiement par QR code Baridi Pay. Chaque authentification par SMS est une opportunite d’interception SS7.
Nouvelles surfaces d’attaque : Diameter, SBA et network slicing
L’architecture 5G represente une rupture fondamentale avec les generations precedentes. La ou les reseaux 2G/3G/4G etaient centres sur le materiel, la 5G est definie par logiciel, cloud-native et basee sur les services. Cela introduit trois nouvelles categories de risque.
Exploitation du protocole Diameter. Les trois operateurs algeriens lancent la 5G en mode Non-Standalone (NSA), qui s’appuie sur le protocole Diameter pour la signalisation. L’analyse 2025 de P1 Security confirme que Diameter souffre des memes failles fondamentales que le SS7 : attaques d’usurpation, deni de service contre les Diameter Routing Agents, et divulgation d’informations pouvant reveler les identites et donnees de localisation des abonnes. Tant que les operateurs ne transitent pas vers l’architecture 5G Standalone, les vulnerabilites Diameter sont des vulnerabilites 5G.
Risques de l’architecture basee sur les services (SBA). La 5G Standalone remplace Diameter par une architecture ou les fonctions reseau communiquent via HTTP/2 et des API RESTful. Le coeur de reseau telecom devient essentiellement une plateforme de microservices cloud-native — l’exposant aux attaques par injection, a l’authentification defaillante, a l’exposition excessive de donnees et aux requetes forgees cote serveur. Les normes 3GPP definissent un Security Edge Protection Proxy (SEPP) pour la signalisation inter-operateurs, mais les premieres implementations montrent des postures de securite incoherentes.
Attaques par network slicing. Le network slicing — la creation de multiples reseaux virtuels sur une infrastructure physique partagee — est l’une des capacites les plus commercialement precieuses de la 5G. Les operateurs algeriens prevoient des slices differenciees pour l’IoT industriel, le streaming media et les communications gouvernementales. Mais les attaques cross-slice restent un risque documente. Une etude de 2025 publiee dans Sensors a revele que les mecanismes d’isolation actuels sont insuffisants, et la NSA et la CISA ont publie des recommandations conjointes avertissant que les attaques par canaux auxiliaires, l’exploitation des ressources partagees et les vulnerabilites du plan de gestion peuvent permettre le mouvement entre slices. Pour l’Algerie, ou le gouvernement prevoit d’utiliser le slicing 5G pour l’e-gouvernance et la surveillance des infrastructures critiques, c’est un risque operationnel exigeant des decisions architecturales immediates.
Publicité
54,8 millions de points d’acces a risque
Le reseau n’est que la moitie de l’equation. Kaspersky a rapporte que les attaques par chevaux de Troie bancaires sur les smartphones Android ont augmente de 56 % en 2025, avec 255 090 nouveaux packages d’installation malveillants detectes — une hausse de 271 % par rapport a 2024. L’ecosysteme mobile algerien est massivement base sur Android, et l’adoption croissante des services financiers mobiles via BaridiMob et les paiements CIB cree des cibles attractives pour les campagnes de malware mobile.
Le lien avec la 5G est direct : des debits plus rapides signifient que les malwares peuvent exfiltrer de plus grands volumes de donnees plus rapidement, les communications de commande et de controle deviennent plus difficiles a detecter dans le volume accru de trafic legitime, et l’ecosysteme IoT elargi cree de nouvelles opportunites de mouvement lateral.
La fraude SIM amplifie le risque. Le SIM swapping — ou un attaquant convainc ou corrompt un employe de l’operateur pour transferer le numero de telephone d’une victime vers une nouvelle SIM — est devenu une epidemie mondiale. En Algerie, ou les numeros mobiles sont lies aux numeros d’identite nationale et servent d’epine dorsale de l’authentification pour les services financiers, un SIM swap reussi donne acces aux comptes bancaires, aux services gouvernementaux et aux communications privees simultanement. La 5G introduit les capacites eSIM et iSIM qui pourraient reduire la fraude SIM grace a un lien cryptographique plus fort, mais seulement si les operateurs investissent dans l’infrastructure et les procedures de verification d’identite mises a jour.
Lecons des premiers adoptants de la 5G
L’Algerie n’est pas le premier pays a affronter la securite 5G. L’experience de la Coree du Sud offre un avertissement severe : en avril 2025, SK Telecom — le plus grand operateur du pays — a revele une violation de donnees exposant les informations SIM de 27 millions d’abonnes. Les consequences ont inclus une amende de 134,8 milliards de KRW et un programme obligatoire de refonte cybersecuritaire de 700 milliards de KRW sur cinq ans, incluant des analyses de vulnerabilites trimestrielles et un rattachement du RSSI directement au PDG.
L’Union europeenne a adopte la EU 5G Toolbox en janvier 2020, etablissant un cadre commun exigeant des Etats membres qu’ils menent des evaluations nationales des risques, appliquent des restrictions aux fournisseurs a haut risque pour les fonctions reseau critiques et assurent des strategies multi-fournisseurs. L’Allemagne, la France et la Finlande ont ete les implementeurs les plus agressifs, avec des audits de securite obligatoires des fonctions du coeur de reseau 5G.
Singapour a etabli un 5G Security Test Bed — une installation collaborative impliquant des fournisseurs de reseaux sans fil, des fabricants d’equipements et des experts en cybersecurite — effectuant des tests de penetration continus sur des configurations 5G en conditions reelles.
Pour l’Algerie, ces modeles indiquent une direction claire : une securite 5G proactive, structuree et institutionnalisee — pas du colmatage reactif apres le premier incident majeur.
Le vide reglementaire
Le cadre reglementaire de cybersecurite de l’Algerie, ancre par la loi 09-04 (2009, amendee en 2016) et la Strategie nationale de cybersecurite 2025-2029 adoptee par le decret presidentiel n° 25-321 en decembre 2025, fournit une base generale mais manque de mandats de securite 5G specifiques aux telecoms.
L’ARPCE a l’autorite pour imposer des exigences de securite aux licencies. Les termes des licences 5G incluent reportedly des obligations generales de securite, mais les specificites — quelles normes les operateurs doivent respecter, quels delais de declaration d’incidents s’appliquent, quelles penalites existent pour non-conformite — n’ont pas ete rendues publiques.
Cette opacite est un probleme. Sans exigences de securite applicables et publiquement auditables, les operateurs peuvent investir selectivement en securite — protegeant les clients entreprise a forte valeur tout en sous-investissant dans les protections pour les abonnes ordinaires.
Le rapport Top 10 Risks for Telecommunications 2025 d’EY a classe la cybersecurite comme le risque numero un du secteur telecom mondial, porte par l’expansion des surfaces d’attaque et les menaces croissantes alimentees par l’IA. Les operateurs algeriens, lancant la 5G plus tard que de nombreux pairs, ont l’avantage d’apprendre des erreurs des autres — mais seulement si le cadre institutionnel les oblige a agir.
Le decret presidentiel n° 26-07 de janvier 2026 a impose des unites de cybersecurite dediees dans chaque institution publique. Mais debut 2026, aucun CSIRT sectoriel dedie aux telecoms n’a ete publiquement annonce, laissant les operateurs gerer les menaces de securite 5G independamment sans partage centralise de renseignements sur les menaces.
Ce qui doit se passer maintenant
La fenetre d’action proactive est etroite. Les decisions architecturales prises maintenant — selection des fournisseurs, conception du coeur de reseau, configurations d’interfonctionnement, implementations du slicing — definiront la posture de securite 5G de l’Algerie pour la prochaine decennie.
Pour l’ARPCE et le gouvernement : Publier des exigences de securite 5G contraignantes alignees sur les normes internationales (3GPP TS 33.501, GSMA NESAS/SCAS, principes de l’EU 5G Toolbox). Etablir un CSIRT dedie aux telecoms pour coordonner la reponse aux incidents entre les operateurs et partager les renseignements sur les menaces. Imposer des audits de securite independants reguliers des fonctions du coeur de reseau 5G.
Pour Mobilis, Djezzy et Ooredoo : Deployer des pare-feu de signalisation a tous les points d’interfonctionnement SS7/Diameter avant d’etendre au-dela des wilayas pilotes. Implementer les normes GSMA de pare-feu de signalisation (FS.11 et FS.19). Investir dans l’infrastructure eSIM/iSIM pour la reduction de la fraude SIM. Construire des capacites SOC specifiques aux telecoms avec surveillance des fonctions reseau 5G.
Pour les entreprises et agences gouvernementales : Exiger des SLA de securite contractuels des operateurs pour les slices reseau utilisees dans les applications sensibles. Migrer de l’authentification par SMS vers des authentificateurs applicatifs ou des cles materielles FIDO2. Mener des evaluations des risques independantes avant de deployer la 5G pour les operations critiques.
L’investissement de 492 millions de dollars de l’Algerie dans la 5G achete du spectre et des opportunites. La securite necessite un autre type d’investissement — en institutions, normes, competences et vigilance soutenue — qui doit commencer maintenant.
Questions frequentes
Comment la 5G modifie-t-elle le paysage des menaces cybersecuritaires par rapport a la 4G ?
La 5G introduit une architecture definie par logiciel et cloud-native ou les fonctions reseau de base communiquent via des API HTTP/2 — la meme pile technologique que les applications internet. Cela signifie que les reseaux 5G font face aux vulnerabilites de classe application web (abus d’API, injection, authentification defaillante) en plus des attaques de signalisation telecom traditionnelles. Le network slicing ajoute des opportunites d’attaque cross-slice. La surface d’attaque est quantitativement plus grande et qualitativement differente de tout ce que le secteur telecom algerien a gere.
Les vulnerabilites SS7 sont-elles activement exploitables en Algerie ?
Oui. Les vulnerabilites SS7 sont exploitees dans le monde entier, et les reseaux algeriens ne font pas exception. L’acces aux reseaux de signalisation SS7 peut s’acheter pour aussi peu que 5 000 dollars, permettant l’interception de SMS qui menace les codes de transaction BaridiMob, le suivi de localisation en temps reel et la redirection d’appels. Le point essentiel est que la 5G n’elimine pas le SS7 — les protocoles coexistent pendant des annees durant la transition, et chaque abonne 5G retombant sur la 3G ou la 4G est expose par cette connexion de repli.
Quelle est l’action de securite la plus urgente pour les operateurs algeriens ?
Le deploiement de pare-feu de signalisation a tous les points d’interfonctionnement reseau — les frontieres ou les signalisations SS7 2G/3G, Diameter 4G et SBA 5G se croisent. Ces pare-feu filtrent et valident les messages de signalisation, bloquant les demandes de localisation de sources non autorisees, les tentatives d’interception SMS et la collecte d’identites. La GSMA fournit des normes (FS.11 pour SS7, FS.19 pour Diameter) definissant exactement ce que ces pare-feu doivent faire. La Coree du Sud, le Japon et plusieurs operateurs europeens les ont deployes avec des resultats mesurables.
Sources et lectures complémentaires
- Algeria Awards Three 5G Licences for $492M — Developing Telecoms
- SS7, Diameter, GTP, IMS & 5G Vulnerabilities: Top Mobile Network Security Risks in 2025 — P1 Security
- Trojan Banker Attacks on Smartphones Increased 56% in 2025 — Kaspersky
- 5G Network Slicing: Security Challenges, Attack Vectors, and Mitigation Approaches — Sensors/MDPI (2025)
- Top 10 Risks for Telecommunications in 2025 — EY
- EU 5G Toolbox: Cybersecurity Risk Mitigating Measures — European Commission
- Potential Threats to 5G Network Slicing — NSA/CISA
- SK Telecom Breach Exposes 27M Users — EntropYa
