Il y a une différence considérable entre soupçonner qu’une mobilisation a été organisée sur les réseaux sociaux et commencer à retrouver les traces numériques laissées par ceux qui l’ont alimentée.
Après les événements de Sebta des 30 et 31 juillet, nous entrons précisément dans cette deuxième phase.
Les investigations disponibles ne permettent toujours pas d’identifier un « cerveau » unique. Elles ne démontrent pas davantage qu’un État étranger aurait commandité l’opération. Mais elles font apparaître progressivement quelque chose de beaucoup plus concret : des groupes, des administrateurs, des relais, des communautés numériques, des techniques d’évitement et des passerelles entre espaces publics et privés.
L’événement laisse donc une empreinte. Et cette empreinte commence à devenir lisible.
Vingt-cinq actifs numériques passés au crible
L'enquête la plus détaillée rendue publique est celle de Golden Owl, entreprise technologique rattachée à l'écosystème du Parc scientifique de l'Université d'Alicante.
Selon El País, ses analystes ont étudié 25 actifs Facebook liés à la campagne. Ils en tirent la conclusion que la mobilisation ne correspondrait pas à une simple contagion sociale accidentelle, mais à un phénomène organisé de manière distribuée.
Le document que nous avons étudié va plus loin dans la description.
Il distingue un noyau de coordination, une surface publique d'amplification et des micro-recruteurs constituant leurs propres cellules.
Nous ne sommes donc plus simplement devant l'affirmation vague selon laquelle « les réseaux sociaux ont joué un rôle ».
Nous commençons à disposer d'une cartographie fonctionnelle. Et c'est très différent.
Les traces ne sont pas seulement les publications. Une enquête numérique sérieuse ne consiste pas uniquement à retrouver une vidéo appelant des jeunes à rejoindre Fnideq.
Ce qui devient intéressant est la répétition de comportements.
Le document décrit notamment le déplacement des liens vers les commentaires plutôt que leur insertion directement dans les publications, l'utilisation de messageries privées et la modification ou fragmentation de certains mots-clés afin de rendre leur détection plus difficile.
Pris isolément, chacun de ces comportements peut avoir plusieurs explications.
Pris ensemble, ils peuvent constituer ce que les spécialistes appellent une signature comportementale.
C'est ici que l'enquête devient beaucoup plus intéressante. On ne cherche plus seulement un message.
On cherche une méthode. Des comptes et des administrateurs commencent à émerger
Golden Owl affirme également avoir identifié plusieurs acteurs occupant des positions importantes dans cet écosystème.
Le rapport cité par El País mentionne notamment un Marocain originaire de Casablanca et résidant à Istanbul, présenté comme un recruteur particulièrement actif, ainsi qu'un administrateur déclarant se trouver à Rome. Le document évoque également des relais situés dans le nord du Maroc.
Ce sont des éléments significatifs. Mais il faut immédiatement préciser ce qu'ils prouvent — et ce qu'ils ne prouvent pas.
Qu'un administrateur Facebook déclare résider à Rome ne démontre pas que l'opération a été organisée depuis l'Italie.
Qu'un numéro soit turc ne signifie pas que les autorités turques soient impliquées.
Et la localisation numérique déclarée d'un utilisateur n'est pas nécessairement sa localisation physique réelle.
Une trace numérique est un point de départ d'enquête, pas automatiquement une preuve d'attribution.
C'est précisément pour cette raison qu'il faut accumuler les convergences.
Le cas beaucoup plus sensible des marqueurs algériens
L'étude Golden Owl va plus loin en affirmant avoir identifié plusieurs marqueurs numériques d'origine algérienne.
Selon le document, les chercheurs considèrent que ces éléments, pris individuellement, pourraient être circonstanciels mais que leur accumulation constituerait un ensemble suffisamment cohérent pour mériter attention. Leur propre conclusion reste cependant importante : ils parlent d'une opération conduite par des Marocains utilisant notamment certains actifs d'origine algérienne.
Cette formulation doit être conservée avec précision.
Car elle ne signifie pas : « l'Algérie a organisé Sebta ».
Et encore moins : « les services algériens sont derrière l'opération ».
À ce stade, aucune preuve publique examinée ne permet d'établir une telle attribution.
Une analyse indépendante publiée par Newtral aboutit d'ailleurs à une conclusion prudente : différentes pistes géographiques apparaissent dans les investigations — marocaines, turques, algériennes ou tunisiennes — mais aucun acteur principal unique n'est identifié.
C'est exactement la distinction qu'un journal marocain sérieux doit maintenir.
Nous devons enquêter sur les traces algériennes.
Nous ne devons pas décider de leur signification avant l'enquête.
Le plus intéressant est peut-être ce qui s'est passé après
Une bonne enquête numérique ne s'arrête pas au 30 juillet.
Que deviennent les comptes après l'événement ?
Et c'est là que l'analyse devient particulièrement instructive.
Golden Owl a procédé à un nouveau balayage des réseaux quelques jours plus tard. Selon El País, cinq des groupes les plus actifs, représentant ensemble plus de 200 000 membres déclarés, auraient cessé simultanément de fonctionner. La pression policière marocaine est avancée comme explication probable.
Mais l'activité n'aurait pas disparu. Elle se serait déplacée.
Des recruteurs seraient apparus dans des communautés numériques dont l'objet apparent n'est plus la migration : notamment des espaces liés à l'emploi ou à la jeunesse.
Le document fourni aboutit au même constat : les espaces les plus visibles deviennent moins utiles lorsque les autorités savent où regarder.
Cette mutation est peut-être l'un des indices les plus importants de toute l'affaire.
Un phénomène purement spontané laisse une vague de publications puis retombe.
Un réseau qui s'adapte laisse une autre signature : il change de comportement lorsqu'il se sait observé.
La convergence ne s'arrête plus à Golden Owl C'est ici que notre investigation devient plus solide. Nous ne disposons plus uniquement de l'analyse d'une entreprise privée.
Le CNI espagnol considère désormais crédible une nouvelle campagne numérique appelant à une nouvelle mobilisation autour du 15 août. La campagne circulerait notamment par des réseaux sociaux et des messageries.
Le gouvernement espagnol a parallèlement renforcé son dispositif sécuritaire à Ceuta, notamment avec des personnels spécialisés dans le renseignement et la surveillance frontalière.
Et Bruxelles a demandé à Meta et TikTok d'accroître leur vigilance et leur coopération avec les mécanismes de vérification face aux campagnes entourant la crise. La Commission européenne reste toutefois prudente sur certaines attributions circulant publiquement.
Nous avons donc désormais plusieurs niveaux d'observation :
Golden Owl analyse les réseaux ;
la presse espagnole documente certains groupes et messages ;
les services espagnols considèrent de nouvelles campagnes comme crédibles ;
l'Union européenne interpelle les plateformes.
Cela constitue une convergence sur l'existence du phénomène numérique.
Pas encore une convergence sur son commanditaire. Cette nuance est capitale. Et les réseaux laissent une empreinte jusque dans l'après-crise
Il existe même un paradoxe presque tragique.
El País a retrouvé, après les événements, des familles marocaines utilisant les mêmes réseaux sociaux qui avaient contribué à populariser le départ pour rechercher leurs enfants disparus. C'est peut-être l'image la plus saisissante de cette crise numérique.
La plateforme diffuse l'espoir. Elle amplifie la mobilisation.
Puis elle devient le lieu où les familles cherchent ceux qui ne donnent plus de nouvelles.
Le réseau social est simultanément média, amplificateur, outil de coordination et, après la crise, tableau d'affichage des familles.
Nous devons maintenant passer des traces aux preuves
C'est ici que commence véritablement le travail d'investigation.
Nous avons aujourd'hui suffisamment d'éléments pour affirmer que le volet numérique de Sebta n'est plus une hypothèse abstraite.
Des comptes ont existé.
Des groupes ont diffusé des appels.
Des communautés ont servi de relais.
Des espaces privés ont été utilisés.
Certains administrateurs ont été identifiés par les analystes.
Des groupes ont disparu.
D'autres espaces ont pris le relais.
Et de nouveaux appels continuent d'être détectés.
Mais il manque encore le niveau supérieur.
Qui a créé certains comptes ? À quelles dates ? Qui les administrait réellement ? Quels comptes partageaient les mêmes administrateurs ? Quels contenus sont apparus en premier ? Quelles publications ont déclenché les principales vagues de partage ? Quels réseaux existaient plusieurs mois avant la crise ? Les mêmes acteurs apparaissent-ils derrière plusieurs communautés ? Existe-t-il des relations économiques entre certains intermédiaires ? Et surtout : où s'arrête l'opportunisme criminel et où commencerait, éventuellement, une opération d'influence ?
C'est à ces questions que doivent maintenant répondre les enquêteurs.
Les traces parlent, mais elles ne donnent pas encore le nom du commanditaire
Voilà finalement ce que nous pouvons dire au 9 août.
La question n'est plus de savoir si les réseaux sociaux ont participé à la mobilisation. Les éléments accumulés rendent cette dimension difficilement contestable.
La question n'est même plus seulement de savoir comment. Une partie du mécanisme commence à être documentée.
La vraie interrogation devient : qui se trouve derrière les différents nœuds de ce réseau, et dans quel but ?
Il faudra résister à deux tentations.
La première serait de minimiser les traces sous prétexte que la frustration sociale marocaine est réelle.
La seconde serait de leur faire dire davantage qu'elles ne disent en désignant prématurément un commanditaire étranger.
Une enquête sérieuse fonctionne dans l'autre sens :
trace → recoupement → convergence → identification → attribution → preuve.
Nous sommes probablement quelque part entre le recoupement et la convergence.
C'est déjà considérable. Mais ce n'est pas encore le dernier étage de la démonstration.
Et pour le Maroc, cette prudence n'est pas une faiblesse. Elle constitue au contraire la meilleure protection contre la désinformation : suivre les traces jusqu'au bout, même lorsqu'elles conduisent ailleurs que là où nous pensions les trouver.
Après les événements de Sebta des 30 et 31 juillet, nous entrons précisément dans cette deuxième phase.
Les investigations disponibles ne permettent toujours pas d’identifier un « cerveau » unique. Elles ne démontrent pas davantage qu’un État étranger aurait commandité l’opération. Mais elles font apparaître progressivement quelque chose de beaucoup plus concret : des groupes, des administrateurs, des relais, des communautés numériques, des techniques d’évitement et des passerelles entre espaces publics et privés.
L’événement laisse donc une empreinte. Et cette empreinte commence à devenir lisible.
Vingt-cinq actifs numériques passés au crible
L'enquête la plus détaillée rendue publique est celle de Golden Owl, entreprise technologique rattachée à l'écosystème du Parc scientifique de l'Université d'Alicante.
Selon El País, ses analystes ont étudié 25 actifs Facebook liés à la campagne. Ils en tirent la conclusion que la mobilisation ne correspondrait pas à une simple contagion sociale accidentelle, mais à un phénomène organisé de manière distribuée.
Le document que nous avons étudié va plus loin dans la description.
Il distingue un noyau de coordination, une surface publique d'amplification et des micro-recruteurs constituant leurs propres cellules.
Nous ne sommes donc plus simplement devant l'affirmation vague selon laquelle « les réseaux sociaux ont joué un rôle ».
Nous commençons à disposer d'une cartographie fonctionnelle. Et c'est très différent.
Les traces ne sont pas seulement les publications. Une enquête numérique sérieuse ne consiste pas uniquement à retrouver une vidéo appelant des jeunes à rejoindre Fnideq.
Ce qui devient intéressant est la répétition de comportements.
Le document décrit notamment le déplacement des liens vers les commentaires plutôt que leur insertion directement dans les publications, l'utilisation de messageries privées et la modification ou fragmentation de certains mots-clés afin de rendre leur détection plus difficile.
Pris isolément, chacun de ces comportements peut avoir plusieurs explications.
Pris ensemble, ils peuvent constituer ce que les spécialistes appellent une signature comportementale.
C'est ici que l'enquête devient beaucoup plus intéressante. On ne cherche plus seulement un message.
On cherche une méthode. Des comptes et des administrateurs commencent à émerger
Golden Owl affirme également avoir identifié plusieurs acteurs occupant des positions importantes dans cet écosystème.
Le rapport cité par El País mentionne notamment un Marocain originaire de Casablanca et résidant à Istanbul, présenté comme un recruteur particulièrement actif, ainsi qu'un administrateur déclarant se trouver à Rome. Le document évoque également des relais situés dans le nord du Maroc.
Ce sont des éléments significatifs. Mais il faut immédiatement préciser ce qu'ils prouvent — et ce qu'ils ne prouvent pas.
Qu'un administrateur Facebook déclare résider à Rome ne démontre pas que l'opération a été organisée depuis l'Italie.
Qu'un numéro soit turc ne signifie pas que les autorités turques soient impliquées.
Et la localisation numérique déclarée d'un utilisateur n'est pas nécessairement sa localisation physique réelle.
Une trace numérique est un point de départ d'enquête, pas automatiquement une preuve d'attribution.
C'est précisément pour cette raison qu'il faut accumuler les convergences.
Le cas beaucoup plus sensible des marqueurs algériens
L'étude Golden Owl va plus loin en affirmant avoir identifié plusieurs marqueurs numériques d'origine algérienne.
Selon le document, les chercheurs considèrent que ces éléments, pris individuellement, pourraient être circonstanciels mais que leur accumulation constituerait un ensemble suffisamment cohérent pour mériter attention. Leur propre conclusion reste cependant importante : ils parlent d'une opération conduite par des Marocains utilisant notamment certains actifs d'origine algérienne.
Cette formulation doit être conservée avec précision.
Car elle ne signifie pas : « l'Algérie a organisé Sebta ».
Et encore moins : « les services algériens sont derrière l'opération ».
À ce stade, aucune preuve publique examinée ne permet d'établir une telle attribution.
Une analyse indépendante publiée par Newtral aboutit d'ailleurs à une conclusion prudente : différentes pistes géographiques apparaissent dans les investigations — marocaines, turques, algériennes ou tunisiennes — mais aucun acteur principal unique n'est identifié.
C'est exactement la distinction qu'un journal marocain sérieux doit maintenir.
Nous devons enquêter sur les traces algériennes.
Nous ne devons pas décider de leur signification avant l'enquête.
Le plus intéressant est peut-être ce qui s'est passé après
Une bonne enquête numérique ne s'arrête pas au 30 juillet.
Que deviennent les comptes après l'événement ?
Et c'est là que l'analyse devient particulièrement instructive.
Golden Owl a procédé à un nouveau balayage des réseaux quelques jours plus tard. Selon El País, cinq des groupes les plus actifs, représentant ensemble plus de 200 000 membres déclarés, auraient cessé simultanément de fonctionner. La pression policière marocaine est avancée comme explication probable.
Mais l'activité n'aurait pas disparu. Elle se serait déplacée.
Des recruteurs seraient apparus dans des communautés numériques dont l'objet apparent n'est plus la migration : notamment des espaces liés à l'emploi ou à la jeunesse.
Le document fourni aboutit au même constat : les espaces les plus visibles deviennent moins utiles lorsque les autorités savent où regarder.
Cette mutation est peut-être l'un des indices les plus importants de toute l'affaire.
Un phénomène purement spontané laisse une vague de publications puis retombe.
Un réseau qui s'adapte laisse une autre signature : il change de comportement lorsqu'il se sait observé.
La convergence ne s'arrête plus à Golden Owl C'est ici que notre investigation devient plus solide. Nous ne disposons plus uniquement de l'analyse d'une entreprise privée.
Le CNI espagnol considère désormais crédible une nouvelle campagne numérique appelant à une nouvelle mobilisation autour du 15 août. La campagne circulerait notamment par des réseaux sociaux et des messageries.
Le gouvernement espagnol a parallèlement renforcé son dispositif sécuritaire à Ceuta, notamment avec des personnels spécialisés dans le renseignement et la surveillance frontalière.
Et Bruxelles a demandé à Meta et TikTok d'accroître leur vigilance et leur coopération avec les mécanismes de vérification face aux campagnes entourant la crise. La Commission européenne reste toutefois prudente sur certaines attributions circulant publiquement.
Nous avons donc désormais plusieurs niveaux d'observation :
Golden Owl analyse les réseaux ;
la presse espagnole documente certains groupes et messages ;
les services espagnols considèrent de nouvelles campagnes comme crédibles ;
l'Union européenne interpelle les plateformes.
Cela constitue une convergence sur l'existence du phénomène numérique.
Pas encore une convergence sur son commanditaire. Cette nuance est capitale. Et les réseaux laissent une empreinte jusque dans l'après-crise
Il existe même un paradoxe presque tragique.
El País a retrouvé, après les événements, des familles marocaines utilisant les mêmes réseaux sociaux qui avaient contribué à populariser le départ pour rechercher leurs enfants disparus. C'est peut-être l'image la plus saisissante de cette crise numérique.
La plateforme diffuse l'espoir. Elle amplifie la mobilisation.
Puis elle devient le lieu où les familles cherchent ceux qui ne donnent plus de nouvelles.
Le réseau social est simultanément média, amplificateur, outil de coordination et, après la crise, tableau d'affichage des familles.
Nous devons maintenant passer des traces aux preuves
C'est ici que commence véritablement le travail d'investigation.
Nous avons aujourd'hui suffisamment d'éléments pour affirmer que le volet numérique de Sebta n'est plus une hypothèse abstraite.
Des comptes ont existé.
Des groupes ont diffusé des appels.
Des communautés ont servi de relais.
Des espaces privés ont été utilisés.
Certains administrateurs ont été identifiés par les analystes.
Des groupes ont disparu.
D'autres espaces ont pris le relais.
Et de nouveaux appels continuent d'être détectés.
Mais il manque encore le niveau supérieur.
Qui a créé certains comptes ? À quelles dates ? Qui les administrait réellement ? Quels comptes partageaient les mêmes administrateurs ? Quels contenus sont apparus en premier ? Quelles publications ont déclenché les principales vagues de partage ? Quels réseaux existaient plusieurs mois avant la crise ? Les mêmes acteurs apparaissent-ils derrière plusieurs communautés ? Existe-t-il des relations économiques entre certains intermédiaires ? Et surtout : où s'arrête l'opportunisme criminel et où commencerait, éventuellement, une opération d'influence ?
C'est à ces questions que doivent maintenant répondre les enquêteurs.
Les traces parlent, mais elles ne donnent pas encore le nom du commanditaire
Voilà finalement ce que nous pouvons dire au 9 août.
La question n'est plus de savoir si les réseaux sociaux ont participé à la mobilisation. Les éléments accumulés rendent cette dimension difficilement contestable.
La question n'est même plus seulement de savoir comment. Une partie du mécanisme commence à être documentée.
La vraie interrogation devient : qui se trouve derrière les différents nœuds de ce réseau, et dans quel but ?
Il faudra résister à deux tentations.
La première serait de minimiser les traces sous prétexte que la frustration sociale marocaine est réelle.
La seconde serait de leur faire dire davantage qu'elles ne disent en désignant prématurément un commanditaire étranger.
Une enquête sérieuse fonctionne dans l'autre sens :
trace → recoupement → convergence → identification → attribution → preuve.
Nous sommes probablement quelque part entre le recoupement et la convergence.
C'est déjà considérable. Mais ce n'est pas encore le dernier étage de la démonstration.
Et pour le Maroc, cette prudence n'est pas une faiblesse. Elle constitue au contraire la meilleure protection contre la désinformation : suivre les traces jusqu'au bout, même lorsqu'elles conduisent ailleurs que là où nous pensions les trouver.
Who is Golden Owl
Golden Owl est une startup technologique espagnole spécialisée dans l’OSINT, l’intelligence économique et l’analyse de données assistée par intelligence artificielle. Créée en 2023 sous la raison sociale Datintel S.L., elle est intégrée à l’écosystème du Parc scientifique de l’Université d’Alicante. Sa technologie analyse et croise de grandes quantités d’informations issues de sources ouvertes, notamment du web et des réseaux sociaux, afin d’identifier risques, connexions et dynamiques numériques. Dans l’affaire Sebta, Golden Owl a étudié plusieurs actifs Facebook liés à la mobilisation. Il s’agit toutefois d’une entreprise privée, et non d’un service de renseignement ou d’un laboratoire universitaire.