Cybercriminalité au Maroc : guide complet 2026 pour les victimes

La cybercriminalité au Maroc ne correspond pas à une infraction unique. Selon les faits, la victime peut invoquer les dispositions spéciales sur les systèmes informatiques, mais aussi les textes classiques relatifs à l’escroquerie, au chantage, aux menaces ou à l’atteinte à la vie privée. La qualification exacte compte beaucoup : elle détermine les peines encourues, les actes d’enquête possibles et le tribunal compétent. Concrètement, un compte Facebook piraté, un faux site bancaire et la diffusion d’une vidéo intime ne relèvent pas nécessairement des mêmes articles.

Le texte central est la loi n° 07-03, qui a introduit dans le Code pénal les articles 607-3 à 607-11 relatifs aux atteintes aux systèmes de traitement automatisé de données. L’article 607-3 sanctionne notamment l’accès frauduleux à tout ou partie d’un système informatique ainsi que le maintien irrégulier dans ce système. Les articles suivants répriment, selon les circonstances, l’entrave au fonctionnement, l’introduction ou la modification frauduleuse de données, la falsification de documents informatisés et la participation à un groupement préparant ces infractions.

D’autres textes complètent ce dispositif. L’article 540 du Code pénal réprime l’escroquerie, y compris lorsqu’elle est réalisée par phishing, faux commerce électronique ou manipulation sur une messagerie. Les articles 447-1 à 447-3 protègent la vie privée contre l’enregistrement, la diffusion non consentie de propos, d’images privées, de montages ou d’allégations mensongères. Attention : l’article 447-2 est parfois présenté comme un texte général sur l’usurpation d’identité numérique, alors qu’il vise plus précisément certaines diffusions et certains montages ; l’usurpation peut nécessiter plusieurs qualifications cumulées.

La loi n° 09-08 protège les personnes contre les traitements illicites de données personnelles et institue le contrôle de la CNDP. La loi n° 53-05, complétée par la législation sur les services de confiance, encadre l’écrit et la signature électroniques ; l’article 417-1 du Code des obligations et contrats reconnaît la valeur probante de l’écrit électronique sous certaines conditions. Les initiatives internationales récentes sur la cybercriminalité facilitent progressivement la coopération, mais elles ne remplacent ni une plainte pénale marocaine ni les règles nationales de preuve et de compétence.

La première urgence est de figer ce qui peut disparaître. Une capture d’écran utile montre le contenu, le nom du compte, la date, l’heure et, lorsque c’est possible, l’adresse URL complète. Faites aussi une capture du profil, de la conversation entière et du contexte précédant la menace. Ne recadrez pas l’unique copie et n’ajoutez pas d’annotations sur l’original. Créez une copie de travail, puis sauvegardez les fichiers sur deux supports distincts. Devant le juge pénal, la preuve est appréciée librement, mais son authenticité peut être discutée.

Pour un contenu public déterminant, un constat dressé par un commissaire de justice est souvent préférable à une simple capture. Le professionnel décrit l’écran, l’adresse consultée, le compte visible, la date et les manipulations effectuées. Son constat ne rend pas automatiquement vraie toute affirmation publiée, mais il établit plus sérieusement l’existence du contenu au moment de l’intervention. En pratique en 2026, une constatation numérique simple est souvent facturée entre 500 et 1 500 DH, selon le déplacement, le nombre de pages et les opérations demandées.

Conservez les courriels suspects dans leur boîte d’origine et exportez-les, si possible, dans un format préservant les en-têtes techniques. Un transfert ordinaire peut modifier ou masquer certaines métadonnées utiles. Pour WhatsApp ou une messagerie similaire, gardez le téléphone d’origine, exportez la conversation sans supprimer les messages et notez le numéro complet avec l’indicatif international. Les factures, relevés bancaires, reçus de transfert, numéros de transaction et réponses de la plateforme permettent de relier l’événement numérique au préjudice financier.

Une expertise informatique devient utile lorsqu’il faut identifier une intrusion, restaurer des journaux, établir l’origine d’une connexion ou vérifier l’intégrité d’un fichier. Privilégiez un expert inscrit sur une liste de cour d’appel lorsque le rapport doit être produit en justice. Une analyse privée coûte couramment entre 3 000 et 15 000 DH en 2026 selon le volume de données et la mission ; cette fourchette provient de la pratique professionnelle, pas d’un tarif national obligatoire. L’enquêteur ou le juge peut également ordonner sa propre expertise.

Préparez un dossier papier et une copie numérique organisée. La première page doit résumer les faits en une chronologie d’une ou deux pages. Joignez une copie de la carte nationale d’identité électronique, du passeport ou du titre de séjour, puis numérotez chaque preuve. Pour une entreprise, ajoutez un certificat d’immatriculation récent, les documents établissant le pouvoir du représentant et, si nécessaire, la délégation donnée au salarié chargé de déposer plainte. Les originaux doivent rester disponibles pour être présentés aux enquêteurs ou au tribunal.

Une plainte pénale simple déposée auprès de la police, de la gendarmerie ou du parquet est gratuite et ne nécessite pas de timbre fiscal par feuille. Méfiez-vous donc des indications générales annonçant automatiquement 20 DH de timbre pour porter plainte. Des frais peuvent néanmoins apparaître pour un constat, des copies certifiées, une traduction, une expertise privée ou l’intervention d’un avocat. Une plainte avec constitution de partie civile peut également donner lieu à une consignation fixée par le juge d’instruction, dont le montant dépend du dossier et des ressources du plaignant.

Les honoraires d’avocat ne sont pas fixés par un tarif national obligatoire pour ce type d’affaire. Selon la ville, la complexité, les audiences et les investigations, une intervention pénale peut représenter environ 3 000 à 20 000 DH en 2026, parfois davantage pour un dossier international ou impliquant une entreprise. Une provision initiale de 2 000 à 5 000 DH est fréquente dans la pratique de Casablanca et Rabat. Demandez une convention écrite précisant les diligences incluses, les frais, les déplacements et le traitement de l’appel.

Le délai d’enquête varie fortement. Un dossier simple avec auteur identifié peut avancer en quelques semaines ou mois, tandis qu’une affaire nécessitant des données détenues par Meta, Google, TikTok, une banque étrangère ou un hébergeur international peut durer bien plus longtemps. Une information judiciaire complexe prend souvent de six à dix-huit mois en pratique, parfois davantage ; ce n’est pas un délai garanti. Les demandes internationales peuvent, à elles seules, demander plusieurs mois. Suivez périodiquement le dossier avec sa référence, sans multiplier des plaintes identiques non coordonnées.

La condamnation pénale de l’auteur ne rembourse pas automatiquement la victime. Pour demander réparation devant la juridiction répressive, il faut se constituer partie civile et chiffrer, autant que possible, les dommages subis. Les articles 77 et 78 du Code des obligations et contrats fondent la responsabilité pour faute ayant causé un préjudice. Vous pouvez réclamer la somme détournée, les frais directement provoqués par l’attaque, la perte professionnelle démontrée et un préjudice moral, mais chaque montant doit être expliqué et appuyé par des pièces.

La constitution de partie civile peut intervenir au cours de la procédure selon les formes du Code de procédure pénale, notamment devant la juridiction de jugement. Dans certaines affaires suffisamment graves et documentées, une plainte avec constitution de partie civile peut être présentée au juge d’instruction conformément aux articles 92 et suivants du Code de procédure pénale. Le juge peut fixer une consignation destinée à couvrir les frais de procédure. Cette voie ne doit pas être engagée mécaniquement : une plainte abusive ou insuffisamment étayée expose à des conséquences financières et procédurales.

Un classement sans suite décidé par le procureur du Roi n’est pas un jugement d’innocence et n’éteint pas, à lui seul, tous les recours. La victime peut présenter de nouveaux éléments au parquet, adresser une réclamation motivée au procureur général du Roi près la cour d’appel ou examiner avec un avocat la plainte avec constitution de partie civile. Une citation directe peut aussi être envisagée dans certains délits lorsque l’auteur est identifié, que son adresse est connue et que les preuves permettent de soutenir l’accusation à l’audience.

Obtenir un jugement favorable et récupérer effectivement l’argent sont deux questions différentes. Si l’auteur ne possède aucun bien identifiable ou a transféré les fonds à l’étranger, l’exécution peut rester difficile. Lorsqu’un risque de dissipation du patrimoine existe, un avocat peut étudier une saisie conservatoire selon les conditions procédurales applicables. Les coordonnées bancaires, biens connus, société exploitée et revenus identifiables sont alors utiles. Le juge conserve la maîtrise de la mesure et du montant des dommages-intérêts ; aucune indemnisation ne peut être promise à l’avance.

La première erreur est d’attendre la suppression du contenu avant d’agir. Une publication, une story ou un compte frauduleux peut disparaître en quelques minutes. La deuxième consiste à croire qu’un signalement à Facebook, à une banque, à la CNDP ou au maCERT vaut plainte pénale. Ces démarches sont utiles, mais seule la saisine des autorités judiciaires compétentes permet d’engager la réponse pénale. Conservez la confirmation de chaque signalement, puis déposez une plainte structurée auprès de la police, de la gendarmerie ou du parquet.

Évitez également d’altérer les preuves. Ne réinitialisez pas le téléphone compromis, ne supprimez pas le courriel de phishing et ne transférez pas tous les messages en perdant leurs données techniques. Ne tentez pas non plus de pirater le compte de l’auteur pour l’identifier : vous pourriez commettre vous-même un accès frauduleux au sens de l’article 607-3. Les recherches doivent rester licites et les demandes d’identification sensibles doivent passer par une réquisition de police, du parquet ou du juge.

L’avocat pénaliste intervient utilement lorsque le préjudice est élevé, l’auteur inconnu, les faits internationaux ou la plainte classée. Il qualifie les infractions sans se limiter au mot « piratage », ordonne les pièces, chiffre la demande civile et choisit entre plainte simple, constitution de partie civile et citation directe. Il peut aussi solliciter des actes d’enquête, préparer l’audition de la victime et suivre la référence du dossier auprès du parquet. Son rôle ne consiste toutefois ni à mener une enquête clandestine ni à garantir une condamnation.

Avant de consulter, préparez une chronologie, une liste des comptes et numéros, les preuves originales et le total provisoire du préjudice. Demandez à l’avocat son expérience des preuves numériques, des expertises et de l’entraide internationale. La profession est régie par la loi n° 28-08 relative à l’organisation de la profession d’avocat. Une convention d’honoraires claire limite les malentendus sur les audiences, l’appel, les expertises et l’exécution. Plus le dossier est lisible dès le départ, plus les demandes adressées aux enquêteurs peuvent être précises.