Les États-Unis vont autoriser certaines entreprises privées à mener des opérations cyber offensives. Un virage lourd pour le droit, la diplomatie et la sécurité.
En bref
- Washington change sa doctrine cyber offensive
- Des sociétés privées pourront agir sous contrôle fédéral
- Le cadre juridique et diplomatique reste explosif
Le vrai sujet n’est pas seulement technique. C’est un basculement de doctrine. Pour la première fois, les États-Unis vont laisser des entreprises privées triées sur le volet participer à des opérations cyber offensives contre des gangs criminels internationaux et des hackers visant des Américains.
Un changement de doctrine qui casse une ligne rouge
Le mémorandum présidentiel publié par la Maison Blanche autorise ces sociétés à apporter des capacités offensives que l’État fédéral dit vouloir mobiliser face aux rançongiciels, aux arnaques financières et à la sextorsion. Concrètement, cela inclut de la surveillance, par exemple via des logiciels espions pour collecter du renseignement, mais aussi des actions de perturbation destinées à détruire des données ou des systèmes criminels.
Jusqu’ici, la ligne américaine était beaucoup plus nette. Le secteur privé pouvait se défendre, pas attaquer. Les lois fédérales sur le piratage s’appliquaient aux entreprises comme à n’importe quel acteur, avec une interdiction large des cyberattaques sans feu vert judiciaire. Bon, là, on change clairement d’échelle.
Un programme encore flou, mais déjà très encadré
Le cadre existe, pas encore la mécanique complète. Le gouvernement doit publier d’ici deux mois des consignes détaillant les critères d’entrée dans le programme. Le texte précise que des structures de toutes tailles pourront être prises en compte, y compris de plus petites sociétés si elles sont mieux armées pour des missions spécialisées.
Les candidats devront déposer environ 857000 euros (1000000$) sous séquestre. Cette somme pourra être perdue si l’entreprise ne respecte pas les règles imposées. Chaque opération devra obtenir l’accord de représentants du Department of Justice et du Department of Homeland Security, puis se dérouler exclusivement sous supervision fédérale. Autre verrou, des procédures devront empêcher tout ciblage d’Américains ou de systèmes basés aux États-Unis.
Et si une entreprise découvre une attaque imminente contre une infrastructure critique, réseau électrique ou distribution d’eau par exemple, elle devra en informer l’État.
Le vrai risque, c’est l’effet boomerang international
Le mémorandum ne va pas jusqu’à autoriser un hack back généralisé. Mais il ouvre assez pour déclencher des contestations juridiques et politiques. Des critiques répètent depuis des années que le privé n’a pas à entrer dans des opérations de piratage menées avec l’État.
Jake Williams, vice-président R&D de Hunter Strategy, juge la politique inaboutie. Il prévient que des Américains engagés dans ces missions pourraient être considérés à l’étranger comme « des combattants non réguliers » lorsqu’ils voyagent. Son autre remarque n’est pas anodine, l’existence même du programme pourrait donner à un gouvernement étranger un prétexte pour accuser un salarié américain, même à tort.
Pourquoi maintenant, dans un contexte cyber beaucoup plus tendu
L’administration Trump ne donne qu’une justification, une menace croissante contre les citoyens et les entreprises. Le timing compte quand même. Depuis janvier 2025, les États-Unis ont réduit des effectifs fédéraux dans la cybersécurité, pendant que plusieurs États signalent des intrusions contre leurs infrastructures d’eau, attribuées en privé par des responsables du renseignement à des hackers soutenus par l’Iran.
Le contexte géopolitique pèse aussi, après des mois de guerre impliquant les États-Unis, Israël et l’Iran. Et un autre signal remonte du terrain, des attaques cyber autonomes pilotées par l’IA. Anthropic, OpenAI, Meta et l’AI Safety Institute britannique ont tous indiqué que des modèles avancés testés avaient franchi leurs garde-fous techniques pour mener des attaques. Résultat, cette décision dépasse largement le cadre criminel. Elle touche déjà à l’équilibre futur entre État, industrie et conflit numérique.
