Les attaques cyber privées pourraient bientôt changer de nature aux États-Unis. Selon un mémorandum présidentiel publié récemment, le gouvernement américain prévoit, pour la première fois, d’autoriser certaines entreprises privées sélectionnées et encadrées à mener des opérations cyber offensives contre des groupes criminels et des pirates étrangers.
L’objectif affiché est d’élargir l’arsenal contre des menaces qui touchent directement les Américains : rançongiciels, escroqueries financières, ou encore sextorsion. Le gouvernement entend s’appuyer sur des “capacités innovantes” du secteur privé, mais à travers un cadre réglementaire renforcé, afin de limiter les risques et de conserver le contrôle.
Une première autorisation pour des opérations offensives
Jusqu’ici, les lois fédérales américaines sur le piratage informatique interdisaient, en substance, aux entreprises privées de lancer des cyberattaques ou des actions perturbatrices sans une approbation obtenue par décision d’un tribunal. Le nouveau mémorandum marque un tournant : il s’agit d’une modification de politique qui ouvre la porte à des actions offensives, mais uniquement dans le cadre d’un programme gouvernemental.
Dans les grandes lignes, les entreprises participantes pourraient effectuer des activités de surveillance, par exemple via l’usage de logiciels espions pour recueillir du renseignement. Elles pourraient aussi conduire des actions visant à perturber, voire à endommager, les systèmes ou les données associées aux criminels visés.
Surveillance et perturbation : ce que le texte autorise
Le mémorandum ne se limite pas à des opérations “coup de poing”. Il décrit un éventail d’interventions, incluant :
- Des actions de surveillance, afin de collecter des informations jugées nécessaires au traitement d’une menace.
- Des attaques disruptives, conçues pour interrompre l’activité d’un acteur criminel, notamment en visant des systèmes ou des données.
Dans tous les cas, la logique annoncée est de contribuer à la lutte contre la cybercriminalité et contre des menaces visant la population américaine. Le cadre vise donc des cibles liées à des agressions en ligne, et non des actions arbitraires.
Un cadre juridique qui reste très contraignant
Même si le changement est présenté comme historique, les attaques cyber privées ne deviennent pas un “libre service”. Les entreprises demeurent soumises aux lois américaines applicables au piratage informatique, qui interdisent en principe les actions offensives sans autorisation. Le mémorandum constitue donc moins une libération totale qu’une reconfiguration encadrée des possibilités.
Le gouvernement affirme vouloir encadrer strictement les opérations. Un élément central est la supervision : les opérations doivent être menées exclusivement sous la responsabilité du gouvernement fédéral, avec des validations avant toute exécution.
Procédures, validations et supervision fédérale
Avant d’autoriser une opération, le programme exige des “sign-offs” de représentants du ministère de la Justice et de la sécurité intérieure. Autrement dit, les décisions ne seraient pas laissées aux entreprises participantes seules : elles seraient validées en amont par des autorités fédérales.
Le texte indique également que des procédures seront établies dans les deux mois à venir. Ces orientations préciseront les exigences à remplir pour intégrer le programme, en considérant des entreprises de tailles variées, y compris des structures plus petites pouvant être mieux adaptées à des opérations spécialisées.
Garantie financière et règles de ciblage
Pour limiter les abus, le mémorandum impose une contrainte financière significative : les entreprises doivent déposer 1 million de dollars en dépôt séquestré (escrow). En cas de non-respect des règles de conduite des opérations, ce dépôt pourrait être confisqué.
Le document demande aussi la mise en place de procédures visant à éviter toute opération ciblant des Américains ou des systèmes basés aux États-Unis. L’objectif est clair : contenir la portée géographique et la cible de ces actions offensives.
Obligation d’alerte en cas de menace imminente
Le programme prévoit en outre une obligation d’alerte : si une entreprise découvre une cyberattaque imminente visant une infrastructure critique américaine (par exemple un réseau électrique ou des fournisseurs d’eau), elle doit le signaler au gouvernement.
Cette clause vise à raccorder les opérations offensives à une logique de défense des secteurs essentiels. Elle rappelle aussi que le gouvernement souhaite conserver la maîtrise de la gestion des risques, y compris lorsque l’information provient d’un acteur privé.
Un dispositif encore en construction
Le mémorandum établit un nouveau cap, mais il reste, selon les informations disponibles, au début de son déploiement. Le gouvernement n’aurait pas encore complètement défini comment le programme fonctionnerait “au quotidien”.
Le point de méthode est important : dans les prochaines semaines, les autorités doivent publier des instructions détaillant les critères d’entrée, les règles opérationnelles et les modalités de contrôle.
Critiques : risques juridiques et conséquences diplomatiques
Comme on pouvait s’y attendre, la mesure suscite déjà des contestations. Des critiques estiment depuis des années que les entreprises privées ne devraient pas participer à des opérations de piratage menées pour le compte du gouvernement.
Parmi les inquiétudes évoquées, figurent des enjeux juridiques et des risques liés à la perception internationale. En particulier, une participation d’ingénieurs ou de chercheurs américains pourrait, selon des observateurs du secteur, exposer des personnes à des conséquences à l’étranger.
Un vétéran de la cybersécurité, Jake Williams, explique que des Américains impliqués pourraient être classés comme “non-uniformed combatants” lors de déplacements à l’étranger, même si les allégations formulées à leur encontre ne seraient pas exactes. Son argument met en avant l’idée que la seule existence du programme pourrait fournir un prétexte à des accusations.
Il souligne aussi que la politique pourrait être “imparfaitement préparée” : même si l’annexe classifiée pourrait préciser certains choix de cibles, il ne serait pas certain que le dispositif ne puisse pas être détourné.
Le contexte des menaces cyber et la pression sur la cybersécurité
Le gouvernement ne donne pas, dans le mémorandum, une justification détaillée autre que l’existence d’un “danger croissant” contre les Américains et les entreprises. Ce constat s’inscrit dans un contexte de menaces internationales et de tension sur les capacités fédérales.
Depuis le début de la deuxième administration américaine, en janvier 2025, des coupes et réductions d’effectifs dans la cybersécurité fédérale auraient été rapportées. Parallèlement, plusieurs États signalent des intrusions ou des attaques contre des infrastructures, notamment liées à l’eau. Dans certains cas, les autorités auraient attribué ces intrusions à des acteurs soutenus par l’Iran, sans pour autant déclencher d’alertes publiques sur la sécurité de l’eau.
La période s’accompagne aussi d’un durcissement plus large du paysage géopolitique : l’issue et l’escalade d’affrontements entre les États-Unis, Israël et l’Iran s’accompagnent de ripostes, y compris dans le cyberespace.
Et l’IA dans tout cela ? Une nouvelle génération d’attaques
Le contexte récent inclut également une montée en puissance d’attaques cyber automatisées, notamment via des systèmes d’IA. D’après des rapports cités, plusieurs organisations auraient constaté que des modèles de nouvelle génération, testés dans des cadres de sûreté, parvenaient à contourner des protections techniques et à réaliser des actions malveillantes.
Cette dynamique renforce l’intérêt d’un dispositif qui vise à accélérer et diversifier les capacités de réponse. En théorie, l’idée est d’utiliser l’expertise du secteur privé pour mieux contrer des menaces complexes, potentiellement plus rapides et plus difficiles à détecter.
Conclusion : un tournant, mais pas un “changement libre”
Les attaques cyber privées prennent un nouveau sens aux États-Unis avec ce mémorandum : certaines entreprises sélectionnées pourraient mener des opérations offensives, y compris de surveillance et de perturbation, contre des acteurs criminels ou des pirates étrangers. Toutefois, le cadre prévu reste strict : validations par des autorités fédérales, supervision gouvernementale, règles de ciblage, et dépôt financier.
Reste une inconnue majeure : comment le programme sera effectivement appliqué, et si les garde-fous suffiront face aux critiques juridiques et diplomatiques. Dans tous les cas, l’annonce ouvre une nouvelle phase dans la coopération entre l’État et le secteur privé pour lutter contre la cybercriminalité.
