La Maison-Blanche autorise des entreprises privées à mener des opérations cyber offensives contre des gangs criminels

Le président Trump a signé le 12 août un mémorandum présidentiel de sécurité nationale autorisant des entreprises privées américaines vérifiées à mener des opérations cyber offensives contre des organisations criminelles transnationales étrangères, selon des informations du Guardian, de The Record et de plusieurs médias spécialisés en cybersécurité. Cette mesure inverse des décennies de politique américaine qui interdisait généralement aux entités privées de « riposter par piratage » contre des attaquants, invoquant des risques d'escalade et des complications juridiques.

Comment fonctionne le programme

Le mémorandum charge le National Coordination Center (NCC) de mettre en place un programme formel autorisant les entreprises participantes à mener deux catégories d'activités : des « opérations de surveillance cyber » pour la collecte de renseignements, et des « opérations d'effets cyber » plus agressives pouvant manipuler, perturber, dégrader ou détruire l'infrastructure numérique appartenant aux groupes criminels ciblés. Chaque opération nécessite une approbation écrite préalable de responsables du ministère de la Justice et du ministère de la Sécurité intérieure, qui supervisent conjointement le programme.

La participation n'est pas ouverte à n'importe quelle entreprise de sécurité souhaitant y adhérer. Les entreprises doivent réussir des vérifications techniques, du personnel et de sécurité, signer des accords contractuels avec le DOJ ou le DHS, et maintenir une caution ou un dépôt fiduciaire d'au moins 1 million de dollars. Si l'opération d'une entreprise touche accidentellement une personne ou un système américain, elle doit immédiatement cesser et en informer le NCC — un disjoncteur intégré destiné à limiter les dommages collatéraux de l'activité offensive autorisée.

Ce qui est interdit

La politique trace une ligne stricte autour de ce qu'elle appelle les « résultats critiques » : des actions pouvant causer la mort ou des blessures graves, ou qui constitueraient un recours à la force ou une attaque armée au regard du droit international. Celles-ci ne peuvent pas être autorisées via le processus d'approbation standard du programme, quelle que soit la cible. L'objectif affiché concerne les organisations criminelles transnationales menant des campagnes de rançongiciels, des stratagèmes de fraude financière et d'autres crimes facilités par le cyberespace contre les intérêts américains — pas l'espionnage lié à des États ou des rivaux géopolitiques, du moins tel que la politique est actuellement définie.

Pourquoi il s'agit d'un changement significatif

La politique de cybersécurité américaine a historiquement traité l'activité offensive de « piratage de représailles » par des acteurs privés comme juridiquement risquée et diplomatiquement dangereuse — une attaque acheminée via une infrastructure d'un pays tiers pourrait ressembler à un acte de guerre, indépendamment de la cible ou de l'intention réelle de l'attaquant. Formaliser une capacité offensive du secteur privé vérifiée et supervisée par le gouvernement est la tentative de la Maison-Blanche de résoudre ce dilemme : conserver l'autorité légale et le contrôle de l'escalade au sein du DOJ et du DHS tout en exploitant les capacités techniques d'entreprises privées contre une catégorie de menace — gangs de rançongiciels et réseaux de cybercriminalité — qui a crû plus vite que la capacité gouvernementale à la contrer.

Le National Coordination Center dispose de 60 jours à compter de la signature du mémorandum pour publier des procédures opérationnelles détaillées, ce qui signifie que la portée pratique du programme, le niveau de vérification et les premiers participants ne seront probablement pas connus du public avant plusieurs semaines encore. Les chercheurs en sécurité et les groupes de défense des libertés civiles devraient examiner ces procédures de près, compte tenu de l'historique des propositions de « piratage de représailles » qui ont soulevé des inquiétudes quant à la responsabilité lorsque des entreprises privées se voient accorder une autorité normalement réservée aux agences de renseignement et d'application de la loi.