En bref
- Les entreprises américaines pourront mener des cyberopérations pour le gouvernement.
- Le cadre légal de ces missions reste encore à préciser.
- Une opération à l’étranger pourrait déclencher des poursuites locales.
Le plus frappant, pour l’instant, c’est ce qu’on ne sait pas. Washington a validé un dispositif sensible, mais les règles concrètes de son application ne sont pas encore posées. Et sur un sujet comme les cyberattaques, ce flou pèse lourd.
Un feu vert inédit pour le privé
Le président Donald Trump a signé un mémorandum de sécurité nationale qui autorise des entreprises privées à mener des cyberopérations offensives pour le compte du gouvernement fédéral. Les cibles désignées sont des organisations criminelles transnationales.
L’administration américaine explique vouloir s’appuyer sur les capacités et l’innovation du secteur privé pour répondre à plusieurs menaces, avec un ordre différent de celui souvent cité, comme le phishing, la fraude financière, les rançongiciels ou encore la sextorsion. L’idée est claire, mobiliser des acteurs privés là où l’État estime avoir besoin de renfort. C’est un changement de taille.
Une rupture avec le cadre habituel
Jusqu’ici, la loi américaine de référence, le Computer Fraud and Abuse Act, frappait en principe aussi bien les particuliers que les sociétés en matière de piratage, d’accès non autorisé à des systèmes informatiques et d’autres formes d’attaques numériques.
En 2022, le Department of Justice avait déjà annoncé qu’il ne poursuivrait plus les hackers dits white hat quand leurs actions relevaient de la recherche en sécurité. Mais le nouveau texte va beaucoup plus loin. Il élargit fortement le type d’activités de cyberattaque pour lesquelles le ministère pourrait choisir de ne pas engager de poursuites. Bon, on n’est plus dans l’exception très ciblée.
Des règles promises, mais pas encore écrites
Le mémorandum charge la Homeland Security Task Force d’établir les standards de sélection des entreprises candidates et les procédures à suivre pour conduire ces opérations. Ces précisions sont attendues dans les 60 prochains jours.
Les sociétés qui voudront participer devront aussi déposer une caution d’un million de dollars. Cette somme pourra être perdue si elles ne respectent pas les instructions du gouvernement. Le signal est simple, il y aura une forme d’encadrement financier, mais le mode d’emploi détaillé manque encore.
Le risque juridique hors des États-Unis
Là où le texte laisse un vrai trou, c’est sur l’après. Il protège visiblement les entreprises participantes contre des poursuites aux États-Unis, à condition de suivre les ordres reçus. En revanche, rien n’explique ce qui se passerait si une société, ou l’un de ses salariés, était poursuivi pénalement dans le pays où se trouvent les machines visées.
Le mémorandum arrive après une vague d’attaques informatiques contre des installations d’eau dans le Minnesota et le Michigan, désormais reliées à l’Iran. Et le contexte compte, parce que les États-Unis ont déjà inculpé à plusieurs reprises des hackers étrangers. Du coup, imaginer une riposte judiciaire similaire contre des opérations téléguidées par Washington, ce n’est pas de la science-fiction.
