Les entreprises privées de cybersécurité autorisées à pirater des cybercriminels à l’étranger

Le gouvernement américain autorise désormais des entreprises privées à mener des cyberattaques contre des organisations criminelles transnationales basées à l’étranger. Ces opérations, encadrées par l’État, ciblent notamment le rançongiciel, l’arnaque financière ou le phishing, mais excluent les groupes liés à des gouvernements étrangers.

Un programme inédit sous contrôle fédéral

Un mémorandum présidentiel signé le 12 août 2026 par Donald Trump officialise la création d’un programme piloté par le National Coordination Center (NCC), dépendant du Homeland Security Task Force. Les entreprises privées sélectionnées pourront y participer après une évaluation conjointe des départements de la Justice et de la Sécurité intérieure (DHS). Leur mission : conduire des opérations de surveillance cyber (accès non autorisé à des systèmes) ou des opérations cyber offensives (destruction de données ou de systèmes) contre des groupes criminels ciblant les États-Unis, ses citoyens ou ses intérêts.

Les cibles éligibles incluent les réseaux derrière les rançongiciels, les escroqueries financières, le phishing ou le sextortion (chantage sexuel en ligne). En revanche, les groupes liés à un État étranger ou agissant sous son contrôle sont explicitement exclus. Les opérations interdites sont celles pouvant entraîner des conséquences critiques : perte de vies humaines, blessures graves, ou actes assimilables à une agression armée au regard du droit international.

Des garde-fous stricts, mais des zones d’ombre

Pour participer, les entreprises doivent justifier d’une expertise technique prouvée, d’une sécurité des locaux et du personnel, et déposer une caution de 1 million de dollars. Cette somme sera confisquée en cas de non-respect des règles. Chaque opération devra être validée par écrit par les directeurs exécutifs du programme, issus du DOJ et du DHS, qui en conservent le contrôle opérationnel.

Le mémorandum laisse cependant plusieurs questions en suspens. Les critères précis de sélection des entreprises et les modalités des attaques seront détaillés sous 60 jours. Surtout, rien ne protège les salariés de ces firmes contre des poursuites à l’étranger : « Les Américains participant à ces opérations pourraient être considérés comme des combattants non uniformés s’ils se rendent dans un pays cible », avertit Jake Williams, vice-président R&D chez Hunter Strategy.

• Les opérations doivent cesser immédiatement si elles touchent un système ou une personne américaine.
• Les entreprises doivent signaler toute menace imminente contre une infrastructure critique (réseaux électriques, eau, etc.).
• Les détails des cibles figurent dans un annexe classé secret.

Un tournant controversé

Cette décision marque un revirement par rapport à la doctrine américaine, qui interdisait jusqu’ici aux acteurs privés de mener des cyberattaques sans autorisation judiciaire. Le Computer Fraud and Abuse Act (CFAA), loi phare contre le piratage, s’appliquait jusqu’alors à tous, y compris aux entreprises. En 2022, le DOJ avait assoupli sa position pour les white hat hackers (pirates éthiques), mais sans aller jusqu’à autoriser des offensives.

« Il y a du mérite à pirater les groupes de rançongiciels, et ça arrive déjà (ne me demandez pas comment je le sais). Mais il faut les bonnes incitations. » — Kevin Beaumont, chercheur en cybersécurité indépendant

« Les acteurs malveillants n’attaquent pas depuis des serveurs étiquetés à Moscou. Ils utilisent des infrastructures compromises, comme un routeur vulnérable chez un dentiste de l’Ohio ou un hôpital. Frappes en retour sans toucher des innocents ? Mission impossible. » — Ben Bernstein, Huntress

Le contexte géopolitique pèse aussi : des cyberattaques récentes contre des infrastructures hydriques dans le Minnesota et le Michigan ont été attribuées à des hackers iraniens. Le mémorandum intervient alors que les États-Unis font face à une vague d’attaques autonomes menées par des IA, comme l’ont rapporté Anthropic, OpenAI ou le UK AI Safety Institute.

Si le programme vise à combler les lacunes de la réponse étatique, son succès dépendra de la clarté des règles à venir. Entre risques juridiques pour les entreprises, ambiguïtés sur les cibles et tensions internationales, l’équilibre sera délicat.