Washington autorise des entreprises privées à mener des cyberattaques

Le gouvernement américain veut faire appel au secteur privé pour mener certaines opérations offensives contre des réseaux cybercriminels étrangers. Donald Trump a signé le 12 août un mémorandum présidentiel créant un programme qui permettra à des entreprises américaines sélectionnées de participer à des opérations de surveillance, de perturbation et, dans certains cas, de destruction de systèmes informatiques utilisés par des organisations criminelles transnationales.

Il ne s’agit toutefois pas d’autoriser les entreprises à lancer librement des cyberattaques. Le programme sera placé sous la responsabilité du National Coordination Center de la Homeland Security Task Force et supervisé conjointement par des responsables du département de la Justice et du département de la Sécurité intérieure. Chaque opération devra recevoir une approbation écrite avant d’être exécutée et sera menée au nom et sous le contrôle du gouvernement fédéral.

Les entreprises participantes devront être américaines, passer un processus de sélection rigoureux et signer un contrat avec la Justice ou la Sécurité intérieure. Le gouvernement pourra également leur imposer une caution ou un dépôt d’au moins un million de dollars, qui pourrait être perdu en cas de non-respect des conditions du programme. Leur participation devra être réévaluée au moins une fois par année.

Le mandat est particulièrement large. Le mémorandum autorise des opérations de cybersurveillance, comprenant l’accès sans permission à certains systèmes afin de recueillir du renseignement, mais aussi des « Cyber Effects Operations ». Celles-ci peuvent aller jusqu’à la manipulation, la perturbation, la dégradation ou la destruction de systèmes, de réseaux, de données ou d’infrastructures numériques appartenant aux organisations criminelles ciblées.

Des limites sont toutefois prévues. Les opérations susceptibles de provoquer la mort ou des blessures graves, ou d’être considérées comme un recours à la force ou une attaque armée en droit international, ne peuvent pas être approuvées dans le cadre du programme. Si une entreprise découvre qu’une opération touche involontairement une personne américaine ou un système situé aux États-Unis, elle devra immédiatement interrompre son intervention et prévenir les autorités.

Les règles précises de ciblage ne sont pas toutes publiques. Une partie du dispositif se trouve dans une annexe classifiée. Les procédures opérationnelles détaillées doivent maintenant être élaborées dans les 60 jours suivant la signature du mémorandum.

Washington justifie ce changement d’approche par l’ampleur croissante de la cybercriminalité. Selon le FBI, plus d’un million de plaintes ont été enregistrées en 2025 et les pertes déclarées ont approché 21 milliards de dollars américains. Les seules fraudes impliquant des cryptomonnaies ont représenté plus de 11 milliards de dollars de pertes.

Cette initiative marque donc une évolution importante dans la lutte américaine contre la cybercriminalité. Des compétences offensives jusqu’ici principalement réservées aux agences gouvernementales pourront être confiées à des entreprises privées, mais dans un cadre contractuel et sous supervision fédérale. Reste à voir comment seront appliquées les règles de responsabilité juridique et comment Washington évitera qu’une opération contre un groupe criminel à l’étranger provoque des dommages collatéraux ou des tensions avec un autre État.

Source : decrypt, white house