Cyberattaque au Maroc : 70 000 agents des services secrets exposés par Jabaroot
Le groupe de hackers Jabaroot a publié les données personnelles de près de 70 000 membres des services de sécurité marocains actifs en Europe. Règlement de comptes interne ou offensive algérienne ?
Données de 70 000 agents marocains dévoilées sur Telegram
Le lundi 24 août, un nouveau fichier de données personnelles a été mis en circulation sur Telegram, sous la bannière du groupe de hacking Jabaroot. Comme le rapporte La Libre, les informations concernent près de 70 000 personnes appartenant aux forces de sécurité et au renseignement du Royaume du Maroc — des agents que Jabaroot affirme être actifs en Europe.
L'ampleur du chiffre a suscité des spéculations sur l'existence de dizaines de milliers d'espions marocains sur le continent européen. Les autorités marocaines tempèrent cependant cette interprétation : vu leur nombre, ces fichiers regroupent vraisemblablement, de façon indistincte, du personnel administratif, des responsables et des agents de renseignement proprement dits.
Les autorités marocaines nient toute intrusion
Le pôle DGSN-DGST — la Direction générale de la sûreté nationale et la Direction générale de la surveillance du territoire — a réagi par un communiqué transmis à l'agence de presse officielle MAP. "Les données personnelles publiées récemment ne résultent en aucun cas d'une intrusion dans [nos] systèmes de sécurité", indique le communiqué. "Il s'agit de données anciennes ayant été téléchargées à partir de bases de données et de systèmes d'information gérés par des compagnies d'assurances et des organismes de couverture sociale et de santé."
Les fichiers dateraient en outre de 2020, ce qui limite leur pertinence opérationnelle immédiate.
Un groupe aux contours flous depuis avril 2025
Jabaroot s'est fait connaître pour la première fois en avril 2025, sous le nom JabarootDZ, avec le piratage des données de la Caisse nationale de sécurité sociale (CNSS) marocaine. Depuis, le compte d'origine, qui s'exprimait en anglais, a été fermé. Deux nouveaux canaux ont pris le relais : "@jabaroot_off" et "@Jabaroot_1", qui publient désormais en français et en arabe.
Ces comptes revendiquent régulièrement la diffusion de données volées à diverses institutions publiques marocaines : le ministère de l'Emploi, le ministère de l'Agriculture, la plateforme notariale Tawtik, le système de conservation foncière ANCFCC, le ministère de la Justice, le Palais royal et la Fédération marocaine de Football (FRMF).
Rien ne permet toutefois d'établir avec certitude que l'ensemble de ces publications émane d'un seul et même groupe. La continuité est loin d'être garantie.
La piste algérienne en recul, la thèse du règlement de comptes en avant
Un changement notable a accompagné l'évolution du groupe : l'abandon de la mention "DZ", abréviation de "DjaZaïr", l'Algérie en arabe. Cette mention suggérait initialement une origine algérienne, dans un contexte de relations conflictuelles entre Alger et Rabat.
Les publications attribuées à Jabaroot depuis l'été 2025 ciblent de façon récurrente les mêmes personnalités : Abdellatif Hammouchi, directeur du pôle DGST-DGSN, et Fouzi Lekjaa, président de la FRMF. Ces attaques répétées alimentent une autre hypothèse — celle d'un règlement de comptes interne au Maroc — que l'effacement de la mention "DZ" vient accréditer.
En juin 2025, Jabaroot a également accusé la DGST d'être à l'origine d'une opération de désinformation visant le prince héritier Moulay Hassan, selon le journaliste d'investigation espagnol Ignacio Cembrero. Or un groupe lié à l'Algérie n'aurait aucun intérêt à défendre publiquement le prince.
Dès décembre 2025, le quotidien Le Monde évoquait déjà la rumeur de cinq à six ex-agents des services marocains, réfugiés en Europe après des conflits avec leur hiérarchie, cherchant à se venger. Le quotidien français va plus loin aujourd'hui : "Quatre officiers et un commissaire de police ayant rompu avec le 'service' et s'étant exilés en Europe" réclameraient la tête d'Abdellatif Hammouchi.
L'attribution des cyberattaques, un exercice périlleux
Identifier l'origine réelle d'une cyberattaque reste extrêmement complexe. Des données peuvent être piratées puis revendues sur le Darknet à un groupe tiers qui les diffusera accompagnées de revendications politiques. Des États peuvent également commanditer des attaques via des groupes apparemment indépendants — des "proxies" — pour discréditer un adversaire sans s'exposer directement.
À titre d'exemple, c'est une autre entité, "Keymous +", affiliée au service payant EliteStress — qui propose de faire tomber le site web de son choix moyennant paiement — qui revendique le plus grand nombre de cyberattaques attestées contre le Maroc. Ce groupe accompagne ses actions d'un discours politique particulièrement variable.
Dans ce paysage du cyberactivisme moderne en constante recomposition, déterminer avec précision qui agit, dans quel but et pour le compte de qui, devient une tâche de plus en plus ardue.
Source: La Libre