Le gouvernement fédéral ouvre une porte qui est restée fermée pendant des décennies : permettre aux entreprises privées de riposter contre les pirates informatiques en passant à l’offensive, et pas seulement en se défendant. En vertu d’une nouvelle politique de l’administration Trump, des sociétés de sécurité dûment contrôlées pourraient bientôt être autorisées à lancer des opérations cybernétiques privées américaines contre des réseaux criminels étrangers qui ciblent les Américains en ligne, un changement qui bouleverse des décennies de politique interdisant aux acteurs privés de mener des actions offensives sans l’aval d’un tribunal.
Summary
Points clés à retenir
- Un mémorandum présidentiel sur la sécurité nationale, daté du 13 août 2026, ordonne au Centre national de coordination (NCC) de mettre en place un programme permettant à des entreprises privées contrôlées de mener des opérations cybernétiques offensives contre des cybercriminels étrangers.
- Les cibles éligibles incluent les groupes de rançongiciels, les systèmes de sextorsion, les campagnes de phishing, les réseaux de fraude financière et les escroqueries d’usurpation d’identité liées à des organisations criminelles transnationales.
- Les entreprises participantes doivent être approuvées par les départements de la Justice et de la Sécurité intérieure, satisfaire à des normes techniques et de contrôle strictes, et déposer une somme de 1 million de dollars en séquestre, qui est confisquée en cas de non-respect des règles.
- Les opérations peuvent inclure le déploiement de logiciels espions, des blocages basés sur le chiffrement et des attaques par déni de service distribué, mais ne peuvent pas entraîner de perte de vie, de blessure grave, ni atteindre le niveau d’un « recours à la force » au regard du droit international.
- Les départements de la Justice et de la Sécurité intérieure disposent de 60 jours pour préciser le fonctionnement concret du programme.
Le gouvernement américain autorise des opérations cybernétiques offensives menées par le secteur privé
Pour la première fois, Washington invite des entreprises privées à riposter contre des pirates étrangers sous autorisation fédérale, plutôt que de les cantonner strictement à la défense. Le mémorandum, signé par le président Donald Trump, ordonne au Centre national de coordination, qui relève de la Task Force de la Sécurité intérieure, de mettre en place un programme formel pour ces opérations, avec une supervision partagée entre les départements de la Justice et de la Sécurité intérieure.
La politique vise directement les organisations criminelles transnationales, des groupes que le mémo définit comme des entités étrangères qui commettent des crimes facilités par le cyberespace contre le gouvernement américain, des personnes américaines ou des intérêts américains, sans être un bras officiel d’un autre gouvernement. Une fiche d’information publiée en parallèle de l’ordonnance cite les opérateurs de rançongiciels, les systèmes de sextorsion, les campagnes de phishing, les réseaux de fraude financière et les escroqueries d’usurpation d’identité comme des cibles légitimes pour les entreprises participantes. Selon les chiffres cités dans la fiche d’information de la Maison-Blanche, les consommateurs américains ont déclaré avoir perdu plus de 20,8 milliards de dollars à cause de crimes facilités par le cyberespace pour la seule année 2025, un chiffre qui souligne pourquoi les responsables cherchent à aller au-delà des outils traditionnels d’application de la loi.
Pourquoi cela importe-t-il au-delà du langage de la politique elle-même ? Cela marque un changement structurel dans la manière dont les États-Unis affrontent la cybercriminalité transfrontalière. Plutôt que de s’appuyer uniquement sur les enquêtes du FBI, les sanctions ou la pression diplomatique, le gouvernement positionne désormais l’expertise du secteur privé comme une arme de première ligne contre des réseaux criminels qui ont souvent agi en quasi-impunité depuis des juridictions difficilement accessibles pour les États-Unis.
Conditions de participation et contraintes opérationnelles
Ce n’est pas n’importe quel fournisseur de sécurité qui peut s’inscrire. Les entreprises souhaitant participer doivent passer un processus de contrôle mené conjointement par les départements de la Justice et de la Sécurité intérieure avant de conclure un contrat formel, et le seuil d’entrée est délibérément élevé.
Contrôle, normes et séquestre d’un million de dollars
Le mémo définit des normes minimales que les entreprises participantes doivent respecter, notamment la compétence technique, un bilan éprouvé en opérations cybernétiques, la sécurité des installations, le contrôle du personnel, la compétence et la fiabilité. Les directeurs exécutifs du programme, en collaboration avec le Conseil de sécurité intérieure, détermineront précisément à quoi ressemble un « haut niveau de confiance » dans la capacité d’une entreprise avant de l’approuver.
Sur le plan financier, les enjeux sont également bien réels. Les entreprises doivent déposer au moins 1 million de dollars sur un compte séquestre**, somme qui est confisquée si elles enfreignent les termes de leur contrat. Les sociétés sont également tenues d’interrompre immédiatement leurs opérations et de notifier le NCC si elles détectent une activité dépassant les limites approuvées, y compris tout ciblage accidentel de citoyens américains ou de systèmes situés aux États-Unis. Cette mesure de protection vise à éviter des scénarios de tir ami où une opération offensive déborderait sur des réseaux domestiques.
Opérations cybernétiques autorisées et limites juridiques
Le programme trace une ligne nette entre des tactiques numériques agressives et tout ce qui pourrait causer des dommages dans le monde réel. Les entreprises approuvées seront autorisées à mener ce que le mémo appelle des opérations de cyber-surveillance et des opérations à effets cybernétiques, une terminologie qui laisse la place à une boîte à outils offensive assez large.
Ce qui est autorisé et ce qui ne l’est pas
Sur la base du langage du mémo, les entreprises pourraient déployer des logiciels espions, utiliser le chiffrement pour verrouiller les groupes criminels hors de leurs propres systèmes, ou lancer des attaques par déni de service distribué conçues pour perturber l’infrastructure d’une cible. Jusqu’à présent, le gouvernement a généralement interdit au secteur privé de mener ce type d’actions offensives sans autorisation judiciaire, ce qui rend ce changement notable.
Il existe toutefois un plafond strict sur ce qui est permis. Les opérations ne peuvent pas produire ce que le mémo qualifie de « résultats critiques », c’est-à-dire aucune perte de vie, aucune blessure grave, et rien qui puisse être considéré comme un recours à la force ou une attaque armée au regard du droit international. Cette contrainte vise à empêcher que les opérations de contre-attaque ne dégénèrent en quelque chose qui s’apparenterait à un conflit armé, même si elle confère à des acteurs privés des outils auparavant réservés aux agences gouvernementales.
Prochaines étapes
Le cadre existe sur le papier, mais la réalité opérationnelle reste à définir. Les départements de la Justice et de la Sécurité intérieure disposent de 60 jours pour préciser les modalités de fonctionnement quotidien du programme, y compris la structure des contrats et la manière dont la supervision sera effectivement exercée.
Scepticisme des experts quant aux incitations
Le chercheur en sécurité indépendant Kevin Beamont a salué une partie du concept, tout en soulignant une réelle inquiétude quant à sa mise en œuvre pratique. « Il y a clairement un intérêt à pirater les groupes de rançongiciels, et cela se produit déjà en réalité (ne me demandez pas comment je le sais) », a-t-il déclaré, ajoutant que « les bonnes incitations doivent absolument être en place ».
Beamont est allé plus loin, en pointant un schéma qu’il a observé dans le secteur : « Le plus gros problème que j’ai rencontré dans la lutte contre les rançongiciels au cours des 5 dernières années, ce sont les entreprises privées de cybersécurité qui, en gros, font du lobbying pour que rien ne change. Beaucoup d’entreprises ont gagné beaucoup d’argent, donc leur confier la responsabilité d’y mettre fin semble optimiste. »
Cette tension touche à la question centrale qui plane sur toute cette initiative. Confier des capacités offensives à des entreprises qui tirent profit de la persistance de la cybercriminalité pourrait créer un programme qui paraît sévère sur le papier mais peine à produire des résultats si les incitations sous-jacentes ne changent pas. La question de savoir si les départements de la Justice et de la Sécurité intérieure intégreront suffisamment de mécanismes de responsabilité lorsqu’ils finaliseront les règles dans les semaines à venir déterminera probablement si ce nouveau chapitre des opérations cybernétiques privées américaines deviendra une perturbation significative pour les réseaux de piratage transnationaux ou simplement une couche supplémentaire de bureaucratie sous-traitée.
FAQ
Quels types de groupes cybercriminels les entreprises privées peuvent-elles cibler dans le cadre du nouveau programme ?
Les entreprises privées peuvent cibler des organisations criminelles transnationales étrangères impliquées dans des rançongiciels, la sextorsion, le phishing, la fraude financière et les escroqueries d’usurpation d’identité.
Quelles restrictions s’appliquent aux opérations cybernétiques menées par les entreprises de sécurité privées ?
Les opérations ne doivent pas entraîner de perte de vie, de blessure grave, ni constituer un recours à la force au regard du droit international, et doivent respecter les lois américaines ainsi que les mécanismes de supervision.
Comment les entreprises de sécurité privées sont-elles sélectionnées pour participer au programme cybernétique offensif ?
Les entreprises doivent être contrôlées et approuvées par les départements de la Justice et de la Sécurité intérieure, satisfaire à des normes techniques et de sécurité, et déposer un séquestre d’un million de dollars.
Quand les procédures opérationnelles détaillées de ce programme seront-elles publiées ?
Les départements de la Justice et de la Sécurité intérieure sont tenus de définir les spécificités du programme dans un délai de 60 jours à compter de la date du mémorandum.
{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Quels types de groupes cybercriminels les entreprises privées peuvent-elles cibler dans le cadre du nouveau programme ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les entreprises privées peuvent cibler des organisations criminelles transnationales étrangères impliquées dans des rançongiciels, la sextorsion, le phishing, la fraude financière et les escroqueries d’usurpation d’identité. »}},{« @type »: »Question », »name »: »Quelles restrictions s’appliquent aux opérations cybernétiques menées par les entreprises de sécurité privées ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les opérations ne doivent pas entraîner de perte de vie, de blessure grave, ni constituer un recours à la force au regard du droit international, et doivent respecter les lois américaines ainsi que les mécanismes de supervision. »}},{« @type »: »Question », »name »: »Comment les entreprises de sécurité privées sont-elles sélectionnées pour participer au programme cybernétique offensif ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les entreprises doivent être contrôlées et approuvées par les départements de la Justice et de la Sécurité intérieure, satisfaire à des normes techniques et de sécurité, et déposer un séquestre d’un million de dollars. »}},{« @type »: »Question », »name »: »Quand les procédures opérationnelles détaillées de ce programme seront-elles publiées ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les départements de la Justice et de la Sécurité intérieure sont tenus de définir les spécificités du programme dans un délai de 60 jours à compter de la date du mémorandum. »}}]}
Article produit avec l’aide de l’intelligence artificielle et relu par l’équipe éditoriale.
