Jabaroot DZ : le groupe de hackers derrière les fuites massives de données au Maroc

Depuis avril 2025, un nom s’est imposé dans les analyses de menaces cyber au Maroc : Jabaroot. Ou plus précisément Jabaroot DZ, comme se présente ce collectif qui revendique, coup sur coup, des opérations de fuite de données touchant des institutions publiques majeures. Pas de rançon, pas de chiffrement de fichiers pour extorquer. Juste des bases qui atterrissent sur Telegram et des forums du dark web, avec un message politique clair.

Le truc, c’est que ces actions s’inscrivent dans un contexte de tensions régionales anciennes. Le groupe se revendique algérien et justifie ses coups comme une réponse à ce qu’il appelle le harcèlement ou la propagande anti-algérienne en ligne. Derrière le nom – qui signifie « puissance » ou « domination » en arabe – on trouve surtout une campagne de nuisance qui expose des millions de dossiers personnels et administratifs.

L’attaque fondatrice contre la CNSS en avril 2025

Tout commence le 8 avril 2025. Jabaroot publie sur BreachForums et ouvre un canal Telegram : des dizaines de milliers de fichiers PDF et deux CSV extraits des bases de la Caisse nationale de sécurité sociale. Près de deux millions de salariés et environ 500 000 entreprises concernées. Salaires déclarés, identités, parfois coordonnées bancaires et infos de contact. Des données qui remontent pour certaines à 2021-2023, probablement exfiltrées via des exports non chiffrés ou des interceptions sur des portails mal protégés.

L’impact est immédiat. Des noms de hauts responsables apparaissent, y compris celui du secrétaire particulier du roi, des liens avec des fonds d’investissement ou des établissements bancaires. Des employés du bureau de liaison israélien à Rabat se retrouvent exposés, avec les menaces qui vont avec. CybelAngel, qui a analysé l’incident dès le départ, note que la méthode technique reste floue – possible faille zero-day ou compromission via un tiers – mais le caractère politique saute aux yeux : le groupe lie explicitement l’opération à une précédente affaire impliquant le compte Twitter de l’agence de presse algérienne, renommé « Sahara Marocain ».

Juin 2025 : notaires, cadastre et ministère de la Justice dans la ligne de mire

Moins de deux mois plus tard, le même acteur récidive. Cette fois, c’est la plateforme Tawtik des notaires et, par ricochet, l’Agence nationale de la conservation foncière, du cadastre et de la cartographie (ANCFCC). Plus de 10 000 certificats fonciers et des milliers de documents divers circulent : actes de vente, pièces d’identité, extraits bancaires. L’ANCFCC dément toute intrusion directe dans ses systèmes, et les investigations pointent plutôt vers des comptes notariaux compromis par phishing ou mots de passe trop faibles. Des serveurs intermédiaires mal sécurisés ont suffi.

Le 9 juin, c’est au tour du ministère de la Justice. Jabaroot affirme détenir des fiches de paie, noms, emails et numéros de CIN de quelque 5 000 magistrats et 35 000 agents. Les autorités démentent formellement toute fuite confirmée, mais l’annonce suffit à créer le trouble. Quelques gigaoctets de données circulent quand même, sur un volume total revendiqué bien plus important.

Ces opérations successives montrent un schéma récurrent : exploitation de failles humaines et de documents générés sans chiffrement plutôt que des intrusions ultra-sophistiquées. Pas besoin de malware exotique quand des exports PDF circulent en clair depuis des années.

Avril 2026 : l’anniversaire et la CNOPS visée

Le 8 avril 2026, pile un an après la première salve, Jabaroot revient. Cette fois sur la Caisse nationale des organismes de prévoyance sociale (CNOPS). Un fichier CSV contenant noms, prénoms, numéros d’immatriculation et adresses personnelles de plus de trois millions d’adhérents est publié sur Telegram. Les autorités marocaines appellent à la prudence et n’ont pas confirmé l’authenticité exhaustive des données, mais l’écho médiatique est là. L’opération tombe comme un rappel : la menace n’a pas disparu.

Qui se cache vraiment derrière Jabaroot ?

L’identité reste floue huit mois, puis un an après les premiers faits. Le groupe se présente comme des « patriotes algériens ». Les analyses open source de CybelAngel dessinent un profil plus nuancé : possible ingénieur informatique basé en Allemagne, profil Telegram qui se revendique tunisien à un moment, et des indices d’un petit collectif plutôt que d’une structure étatique monolithique. Certains observateurs y voient une opération montée de toutes pièces ou fortement inspirée par des services, d’autres un acteur opportuniste qui surfe sur les tensions autour du Sahara occidental et de la normalisation des relations Maroc-Israël.

Ce qui est certain, c’est l’absence de monétisation visible. Les données ne sont pas vendues publiquement sur les marchés habituels ; elles sont diffusées pour l’impact politique. Une forme de hacktivisme qui cherche à « faire mal » et à amplifier les narratifs existants plutôt qu’à enrichir ses auteurs.

La riposte et l’escalade régionale

Comme souvent dans ces conflits larvés, la réponse ne tarde pas. Des collectifs marocains, dont Phantom Atlas, revendiquent des opérations en retour : compromission de la Banque nationale d’Algérie, cartographie du réseau interne d’Algérie Télécom, fuites de documents administratifs du ministère du Travail algérien. Des gigaoctets de données internes circulent, présentés comme preuve de dysfonctionnements. Le ton est explicite : « réponse disproportionnée » et rappel que le Sahara marocain n’est pas négociable.

On assiste donc à une forme de cyberguerre par procuration entre groupes se revendiquant de chaque côté de la frontière. Pas de déclaration officielle, mais une escalade bien réelle dans le cyberespace nord-africain.

Ce que ces incidents disent de la cybersécurité réelle

Au-delà du spectacle médiatique, ces campagnes mettent en lumière des vulnérabilités concrètes et persistantes. Des documents sensibles exportés sans chiffrement, des accès tiers (notaires, partenaires) insuffisamment contrôlés, des politiques de mots de passe laxistes, un suivi limité des fuites sur le dark web et les canaux Telegram. Des failles basiques, en somme, qui deviennent explosives quand des millions de dossiers sont en jeu.

Les chiffres parlent d’eux-mêmes : après la CNSS, CybelAngel a observé une hausse de 312 % du volume de données marocaines publiées en à peine dix semaines. Le secteur public digitalisé à marche forcée offre une surface d’attaque élargie, et les groupes comme Jabaroot n’ont besoin que d’une brèche ou d’une revendication crédible pour créer un effet de masse.

Pour être franc, ces opérations ne révolutionnent pas la technique du piratage. Elles exploitent ce qui existe déjà : des erreurs humaines cumulées et un manque de posture défensive proactive. Surveiller les forums et canaux où les données circulent, chiffrer systématiquement les exports sensibles, renforcer l’authentification multi-facteurs sur les portails tiers, mener des tests d’intrusion réguliers… tout cela aurait pu limiter l’ampleur ou permettre une détection plus précoce.

Jabaroot n’est sans doute pas le dernier. D’autres acteurs, plus ou moins structurés, continuent d’observer le même terrain. La leçon la plus utile n’est pas de chercher à tout prix l’identité exacte du groupe, mais de traiter ces incidents comme des signaux forts : dans un contexte de rivalités régionales qui débordent désormais clairement dans le numérique, la protection des données des citoyens et la résilience des systèmes publics ne peuvent plus être des sujets secondaires.