Face au piratage, Trump veut son équipe de corsaires et légalise les cyberattaques menées par des sociétés privées

Donald Trump a signé un mémorandum qui autorise des entreprises privées américaines à mener des cyberattaques contre des groupes criminels étrangers, sous le contrôle du gouvernement fédéral.

La Maison-Blanche a annoncé la création d'un programme fédéral qui permet à des entreprises privées de participer à des opérations informatiques contre des organisations criminelles transnationales. Le texte a été signé après une vague de cyberattaques menées par des hackers iraniens ayant visé des réseaux d'eau potable dans le Minnesota et le Michigan.

Le programme est piloté par le National Coordination Center (NCC), lequel dépend du Homeland Security Task Force. Deux directeurs, l'un nommé par le département de la Justice, l'autre par celui de la Sécurité intérieure, doivent valider chaque opération. Le texte distingue deux types d'actions. D'une part, il y a les "Cyber Surveillance Operations", lesquelles consistent à s'introduire dans un système informatique sans autorisation pour y récupérer des informations, sans se faire repérer. D'autre part, les "Cyber Effects Operations" vont plus loin. Celles-ci visent à perturber ou neutraliser des systèmes ou des infrastructures numériques.

Évidemment, il y a quand même des limites. Les opérations qui risquent de causer des morts ou des blessés graves, ou qui s'apparentent à un usage de la force au sens du droit international, ne peuvent pas être approuvées par ces deux directeurs.

Pour rejoindre le programme, une entreprise doit passer un contrôle des autorités fédérales, signer un contrat avec l'un des deux départements et déposer une caution d'au moins 1 million de dollars, perdue en cas de manquement. Les cibles de ces opérations sont des groupes qualifiés de "Cyber-Enabled Transnational Criminal Organizations" (CE-TCO) : des organisations étrangères qui mènent des activités criminelles en ligne contre des intérêts américains, sans dépendre d'un gouvernement.

La Maison-Blanche explique que la cybercriminalité aux États-Unis a causé 20,8 milliards de dollars perdus en 2025. 73% des adultes américains auraient déjà subi une arnaque ou une attaque en ligne. Quelque part, il s'agit donc de constituer une équipe de corsaires chargée d'attaquer des pirates étrangers pour le compte de l'État américain.

Sur le plan légal, ce texte modifie la portée du Computer Fraud and Abuse Act (CFAA), la loi qui punit les intrusions informatiques non autorisées, y compris quand elles viennent d'acteurs privés. Reste que beaucoup de détails manquent encore. Les autorités ont 60 jours pour fixer les procédures de vérification et de conduite des opérations, et le texte ne dit rien du sort des employés en cas de poursuites judiciaires dans les pays visés par leurs attaques.

En France, un programme de ce type serait aujourd'hui difficile à mettre en place. Le code pénal sanctionne l'accès non autorisé à un système informatique, qu'il s'agisse d'un cybercriminel ou d'une entreprise qui riposterait à une attaque. Cette pratique, appelée hack-back , reste interdite au secteur privé.