Résumé
- UNITEL dit avoir détecté à 02 h 20, le 28 juillet, une cyberattaque ayant perturbé la voix, les données mobiles et l’accès à internet dans tout l’Angola.
- Son avis du 30 juillet situe le début du rétablissement progressif à 11 h 45 le 29 juillet et mentionne une reprise partielle dans treize provinces.
- Le SMS restait indisponible et les opérations continuaient dans les autres provinces: il s’agissait d’une reprise en cours, pas d’un retour complet à la normale.
- Les accès fixes par fibre et par liaisons sans fil seraient restés opérationnels, sans que cela démontre l’absence d’impact pour tous leurs utilisateurs.
- Twilio signalait encore à 05 h 26 UTC le 31 juillet des retards et échecs de SMS vers les abonnés UNITEL, avec un incident non résolu.
- Aucun auteur, vecteur, logiciel malveillant, vol de données ni délai de normalisation n’a été rendu public; la piste d’une attaque ciblée demeure une hypothèse d’enquête.
Le SMS expose les dépendances que la couverture radio ne montre pas
Le SMS paraît secondaire dans un réseau vendu par la 4G ou la 5G. Pourtant, il sert de serrure à de nombreux services: code de connexion bancaire, récupération d’un compte, confirmation d’une transaction, alerte d’une administration ou message d’un employeur. Une personne peut voir des barres de réseau et ouvrir une page web tout en restant incapable d’achever l’action qui compte.
Le statut de Twilio apporte ici une observation indépendante mais étroite. Il porte sur les messages envoyés par des clients Twilio vers UNITEL, non sur l’ensemble du trafic SMS de l’opérateur. Il ne renseigne ni toutes les provinces ni tous les abonnés. Il ne prouve pas non plus que chaque erreur provient exclusivement du réseau angolais. Sa valeur est ailleurs: il montre qu’un chemin applicatif extérieur n’avait pas retrouvé son état normal lorsque certaines fonctions mobiles étaient déjà revenues.
La mesure utile ne consiste donc pas à demander si la plateforme SMS « fonctionne ». Il faut connaître le taux de soumission accepté, le taux de livraison finale, le délai médian et les percentiles dégradés, les files d’attente, les codes d’erreur et la santé des interconnexions. Les messages entre deux téléphones UNITEL peuvent réussir alors que les flux internationaux ou applicatifs échouent encore.
UNITEL devrait publier séparément les parcours de personne à personne et d’application à personne. Les banques et services publics ont besoin d’un signal sur leurs propres routes, pas d’un test de convenance réalisé entre deux combinés. Cette granularité transforme un état technique en information opérationnelle.
Une province « partiellement rétablie » contient plusieurs réalités
Le communiqué cite Luanda, Bengo, Benguela, Bié, Cuando Cubango, Cuanza Norte, Cuanza Sul, Cunene, Huambo, Huíla, Malanje, Lunda Norte et Namibe. Il ne dit pas que chaque client de ces treize provinces disposait de chaque service avec sa qualité habituelle. Le mot « partiellement » doit rester attaché à la liste.
Un réseau national se rétablit par couches. Des fonctions centrales reviennent, puis des éléments d’accès, des routes de transport et des plateformes de service. À l’intérieur d’une même province, un centre urbain et un site éloigné peuvent suivre des calendriers différents. Une capacité réduite peut suffire au milieu de la journée et saturer le soir. Une session de données peut s’établir tandis que la voix ou le SMS reste instable.
La carte publique devrait donc porter quatre informations: service, zone, niveau de qualité et heure de mesure. Un taux agrégé de clients reconnectés masquerait les communes ou usages encore en difficulté. À l’inverse, déclarer une province totalement hors service parce que la reprise y est incomplète serait tout aussi trompeur.
Une tendance est également nécessaire. La capacité progresse-t-elle, stagne-t-elle ou recule-t-elle après une reconfiguration? Le public doit distinguer un retour durable d’une fenêtre de test. Cette précision peut être donnée sans exposer la topologie sensible ou les méthodes de défense.
Le fixe a servi de chemin alternatif, sans effacer l’impact mobile
Selon l’avis au marché, les services fixes fournis sur fibre et sur infrastructure sans fil sont restés opérationnels. Cela suggère une séparation utile de certaines couches d’accès. Des entreprises et institutions disposant d’un lien fixe ont pu conserver une voie de communication pendant que le mobile était réparé.
Il ne faut pas transformer cette continuité en immunité. La source ne publie ni évolution du trafic, ni perte de paquets, ni incidents régionaux, ni état des applications situées au-dessus de l’accès. Un commerce doté seulement d’un terminal mobile, un travailleur en déplacement ou un foyer sans fibre ne disposait pas automatiquement d’une solution de repli.
La question stratégique est celle des dépendances communes. Le fixe et le mobile peuvent avoir des accès différents tout en partageant des outils d’identité, de supervision, de DNS, de cœur de transport, d’énergie ou d’administration. S’ils partagent la cause critique, acheter deux produits au même opérateur n’offre pas nécessairement deux chaînes indépendantes.
Le retour d’expérience devrait expliquer, à un niveau non sensible, quels domaines de panne sont restés séparés. Les grands clients doivent savoir si le basculement peut être automatique, quelle capacité est garantie et quels tests ont été réalisés. La diversité d’accès ne vaut que si la diversité persiste jusqu’aux fonctions essentielles.
Le confinement est une décision de sécurité; la normalisation est un résultat mesuré
UNITEL aurait indiqué que l’attaque était sous contrôle et que ses procédures de réponse et de confinement avaient été activées. Le confinement signifie que l’activité hostile paraît stoppée, isolée ou limitée. Il ne remet pas de lui-même en route les plateformes et ne démontre pas leur stabilité.
Le rétablissement vient ensuite: les équipes remettent en service, valident les configurations et réintroduisent le trafic. Cette étape peut être réversible. Un service peut être ouvert à un groupe limité puis retiré si une anomalie apparaît. La normalisation n’arrive qu’après observation d’une qualité proche du niveau défini comme habituel.
Ces étapes exigent des responsables différents. La sécurité confirme l’absence d’activité malveillante observée. L’exploitation autorise la reprise. Les responsables de services vérifient les parcours clients. La direction et les autorités reçoivent enfin un bilan sur les effets matériels. Les fusionner dans une seule annonce brouille la responsabilité.
Le communiqué final devrait préciser la durée d’observation, les seuils de disponibilité et de latence, les limites encore présentes et les mesures temporaires. Un écran vert n’est crédible que si la définition de « vert » est publique et appliquée pendant une période significative.
La proximité de l’introduction en Bourse n’établit ni auteur ni mobile
UNITEL aurait déclaré examiner la possibilité d’une opération délibérée et ciblée, notamment parce que l’incident s’est produit près du début de la négociation de ses actions. La chronologie peut orienter une enquête. Elle ne suffit pas à attribuer l’attaque ou à prouver une intention liée au marché.
Le dossier public ne contient aucun vecteur d’entrée, indicateur d’infrastructure, nom de groupe, famille de logiciel malveillant, demande de rançon ou trace de sortie de données. Il ne cite pas de conclusion policière ou réglementaire. Affirmer davantage reviendrait à combler un vide factuel.
Cette retenue protège l’enquête et les investisseurs. Un récit prématuré peut détourner les ressources, politiser un incident technique et attribuer un comportement à des acteurs innocents. Une société cotée a l’obligation d’informer rapidement, mais une information rapide peut conserver le mot « inconnu ».
Lorsque les conclusions seront suffisamment stables, UNITEL pourra indiquer la grande classe d’accès initial, l’effet éventuel sur la confidentialité, les comptes à réinitialiser et les autorités saisies. Avant cela, « hypothèse étudiée » est une formulation plus exacte que « attaque liée à la cotation ».
Plus de 21 millions de clients impliquent plusieurs contrats d’information
Reuters rapporte que UNITEL dessert plus de 21 millions de clients. Le même message ne répond pas aux besoins d’un particulier, d’une banque, d’un hôpital, d’une petite entreprise et d’un investisseur. L’opérateur doit maintenir plusieurs canaux cohérents.
Le particulier a besoin d’horaires, d’une carte simple, de conseils contre la fraude et de solutions sûres de récupération de compte. Une alerte à l’escroquerie ne doit pas être présentée comme la preuve d’une fuite de données. Les captures anciennes doivent porter une heure visible pour ne pas circuler comme un état actuel.
Les entreprises ont besoin d’un flux authentifié: état par service et région, heure de la prochaine mise à jour, codes d’erreur et possibilité de bascule. Si le SMS est utilisé comme second facteur, il faut activer une solution alternative déjà sécurisée, non abaisser les contrôles dans l’urgence.
Les institutions publiques doivent connaître les contacts d’escalade et les règles de priorité. Les investisseurs attendent, si les montants deviennent significatifs, les coûts de restauration, avoirs clients, pertes de revenu, investissements de remplacement, assurance et exposition réglementaire. La discipline de publication doit augmenter à proximité d’une cotation, pas la spéculation.
Le retour d’expérience doit comparer les journaux internes au monde extérieur
La restauration rapide peut entrer en conflit avec la préservation des preuves. Les journaux d’identité, de DNS, d’administration, de messagerie, de fournisseurs et de réseau ont des durées et des horloges différentes. Reconstruire trop vite une plateforme peut effacer la séquence nécessaire pour comprendre l’entrée, le mouvement et l’impact.
Le bilan devrait relier la chronologie technique à celle des clients. Pourquoi le fixe est-il resté disponible? Pourquoi le SMS a-t-il pris du retard sur d’autres fonctions? Les différences provinciales provenaient-elles du centre, du transport, des sites locaux ou simplement de l’ordre de remise en service? Une réponse vérifiable permet de corriger l’architecture.
Les partenaires externes doivent faire partie du contrôle. Twilio montre que l’expérience client traverse plusieurs opérateurs et plateformes. UNITEL devrait rapprocher ses compteurs des accusés de livraison, partenaires d’itinérance, grands clients et services de paiement. Si les observations divergent, l’écart constitue un incident à analyser.
Enfin, les exercices de continuité doivent reproduire les dépendances observées: perte d’une fonction centrale mobile, compte administrateur compromis, file SMS saturée et capacité fixe sollicitée. Les sauvegardes doivent être restaurées dans un environnement propre et les accès privilégiés renouvelés sans bloquer les opérations d’urgence.
La preuve finale viendra de parcours qui convergent
Le dossier actuel décrit un progrès réel mais incomplet. La voix, les données et internet ont commencé à revenir dans treize provinces; le fixe serait resté opérationnel; le SMS externe restait perturbé près de la clôture de cette analyse. Ces états ne se contredisent pas: ils appartiennent à des couches et des heures différentes.
Il manque encore un état final partagé. Le pourcentage d’abonnés rétablis, les seuils de qualité, la situation de chaque province, l’état du SMS et la durée de stabilité n’ont pas été publiés. La confidentialité des données et le mécanisme d’entrée restent également inconnus. Ces absences doivent demeurer visibles.
Une clôture crédible réunira les compteurs du réseau, les parcours clients, les partenaires d’interconnexion, les entreprises et une période d’exploitation stable. Elle distinguera les fonctions normales de celles qui reposent encore sur une mesure provisoire. L’analyse causale pourra venir ensuite.
Le véritable feu vert apparaîtra quand l’appelant, l’utilisateur de données, la banque dépendante du SMS, le client fixe et le partenaire international observeront la même reprise. À ce moment-là, UNITEL pourra parler non seulement de confinement, mais de normalisation démontrée.