L’administration américaine a annoncé pour la première fois qu’elle autorisait des entreprises privées ayant fait l’objet d’un contrôle à participer à des opérations cyberoffensives contre des organisations criminelles et des pirates informatiques internationaux, en vertu d’un nouveau mémorandum présidentiel. Le mémorandum indique que l’objectif est de tirer parti des capacités du secteur privé pour faire face aux menaces visant les Américains, notamment les rançongiciels, la fraude financière et l’extorsion sexuelle.
Cette politique ne constitue pas une autorisation générale permettant aux entreprises de mener des attaques de leur propre initiative. Le mémorandum précise en effet que les opérations se dérouleront exclusivement sous la supervision du gouvernement fédéral et après l’obtention d’autorisations de représentants du ministère de la Justice et du ministère de la Sécurité intérieure. Le gouvernement n’a pas encore arrêté les modalités opérationnelles du programme, et des lignes directrices concernant la participation devraient être publiées au cours des deux prochains mois.
Des pouvoirs offensifs assortis de garanties financières et juridiques
Le nouveau cadre autorise les entreprises participantes à mener des opérations de surveillance, comme l’utilisation de logiciels espions pour recueillir des informations, ainsi que des attaques de perturbation visant à détruire les données ou les systèmes des criminels. En contrepartie, les entreprises devront déposer un million de dollars sur un compte séquestre, somme qu’elles pourront perdre si le gouvernement conclut qu’elles n’ont pas respecté les règles encadrant ces opérations.
Le gouvernement mettra en place des procédures destinées à empêcher le ciblage d’Américains ou de systèmes situés aux États-Unis. Les entreprises devront également informer le gouvernement si elles découvrent une cyberattaque imminente contre une infrastructure américaine essentielle, comme les réseaux électriques ou les installations hydrauliques. Les lignes directrices attendues concerneront des entreprises de toutes tailles, y compris les petites entreprises, qui pourraient être davantage adaptées à la conduite d’opérations spécialisées.
Un changement par rapport à la politique américaine précédente
Cette décision marque une évolution majeure par rapport à la position américaine maintenue par les administrations successives, qui autorisait le secteur privé à se défendre contre les attaques entrantes, mais lui interdisait de lancer des attaques ou de mener des opérations de perturbation. Les entreprises privées restent soumises aux mêmes lois fédérales, qui interdisent de mener des cyberattaques sans l’autorisation judiciaire appropriée.
Le mémorandum n’autorise toutefois pas les entreprises à mener de manière indépendante des opérations de « riposte par piratage » contre toute entité qui les menacerait. La Maison-Blanche n’a pas non plus précisé si des entreprises privées avaient déjà rejoint le programme, renvoyant les questions de TechCrunch vers une fiche d’information publiée par ses soins.
Des inquiétudes quant aux répercussions internationales
Les détracteurs estiment que la participation d’entreprises privées à des opérations gouvernementales pourrait ouvrir la voie à des litiges juridiques et diplomatiques, notamment si un gouvernement étranger affirme qu’une entreprise américaine a mené une attaque contre son territoire ou ses systèmes. La politique pourrait faire l’objet de contestations judiciaires et de l’opposition de parties qui ont depuis longtemps rejeté la participation du secteur privé aux opérations de piratage gouvernementales.
Jake Williams, vice-président de la recherche et du développement au sein de l’entreprise de cybersécurité Hunter Strategy, a déclaré que cette politique pourrait exposer les employés américains des entreprises de cybersécurité au risque d’être accusés ou détenus à l’étranger. Il a ajouté que ces employés pourraient être classés comme des « combattants irréguliers » lors de leurs déplacements, même si leur participation aux opérations n’était pas établie. Williams a qualifié la politique d’« immature », exprimant son scepticisme quant à la possibilité d’empêcher son utilisation abusive.
Un contexte de menaces croissantes
Le mémorandum intervient alors que l’administration affirme que les États-Unis font face à une menace croissante, dans un contexte marqué par des attaques visant des infrastructures hydrauliques dans plusieurs États et attribuées, selon des évaluations de renseignement communiquées à des autorités locales, à des pirates informatiques soutenus par le gouvernement iranien. Le rapport a également fait état d’attaques ayant perturbé des entreprises et des infrastructures américaines, parallèlement à l’intensification des menaces cybernétiques soutenues par des logiciels d’intelligence artificielle autonomes.