Trump autorise des entreprises privées à mener des opérations cybernétiques offensives contre des criminels étrangers

Changement de politique

Le président Donald Trump a signé mercredi 12 août un mémorandum présidentiel de sécurité nationale autorisant pour la première fois des entreprises privées à mener des opérations cybernétiques offensives contre des organisations criminelles transnationales étrangères (OCT). Ce mémorandum charge le Centre de coordination nationale (NCC), opérant sous l'égide du groupe de travail sur la sécurité intérieure, de développer un programme permettant aux entreprises privées agréées de mener des opérations de surveillance cybernétique et des opérations d'effets contre des groupes criminels basés à l'étranger. Les départements de la Justice et de la Sécurité intérieure superviseront ces opérations, avec des codirecteurs exécutifs des deux agences gérant l'effort.

La fiche d'information accompagnant le mémorandum énumère les rançongiciels, les stratagèmes de sextorsion, les campagnes de phishing, les fraudes financières et les escroqueries par usurpation d'identité comme cibles éligibles. Les OCT sont définies comme des groupes étrangers menant des cyberdélits contre le gouvernement des États-Unis, les personnes américaines ou les intérêts américains, qui ne font pas partie institutionnelle d'un gouvernement étranger ou ne sont pas entièrement dirigés par un gouvernement étranger. Le mémorandum autorise les entreprises participantes à utiliser des logiciels espions pour collecter des renseignements et à lancer des attaques visant à perturber, manipuler ou détruire les données et les systèmes des réseaux criminels, y compris les infrastructures virtuelles et physiques.

Garanties et conditions requises

Les entreprises souhaitant participer doivent subir ce que le mémorandum décrit comme un « contrôle rigoureux » et répondre à des normes minimales de compétence technique, de performance avérée des opérations cybernétiques et de sécurité des installations. Elles doivent signer des contrats avec le DOJ et le DHS et fournir une caution ou un dépôt fiduciaire d'un million de dollars, confisquable si elles ne respectent pas les directives du gouvernement. Aucune opération ne peut être menée sans l'approbation écrite des responsables des deux départements, et aucune opération ne sera approuvée avant que les directeurs exécutifs du DOJ et du DHS n'établissent des « procédures de consensus » avec le Conseil de sécurité intérieure de la Maison Blanche garantissant un « contrôle et une surveillance complets de la performance des entreprises participantes ». Ces procédures doivent être rédigées dans les 60 jours.

Cette politique interdit explicitement les opérations susceptibles d'entraîner une perte de vie humaine, des blessures graves ou des actions qui s'élèvent au niveau d'un recours à la force ou d'une attaque armée au sens du droit international. Le mémorandum ordonne également au gouvernement de créer des procédures empêchant toute opération de cibler des Américains ou des systèmes basés aux États-Unis. Des directives publiées dans les deux prochains mois décriront les exigences pour les entreprises de toutes tailles, y compris les plus petites firmes qui pourraient être mieux adaptées aux opérations spécialisées.

Inquiétudes des experts

Plusieurs experts en cybersécurité ont exprimé des inquiétudes quant aux risques du programme. Jason Healey, chercheur principal sur les conflits cybernétiques à l'université Columbia, a déclaré que toute personne menant ces opérations est confrontée à un risque juridique personnel substantiel. Jake Williams, vice-président de la recherche et du développement chez Hunter Strategy, a prévenu que les Américains participants pourraient être classés comme combattants non uniformisés lorsqu'ils voyagent à l'étranger.

Ben Bernstein, responsable de l'équipe des conseillers en cybersécurité chez Huntress, a souligné la difficulté pratique de cibler des criminels qui acheminent le trafic via des infrastructures innocentes compromises, comme un routeur vulnérable dans un cabinet dentaire de l'Ohio ou un réseau hospitalier.

« Cela rend pratiquement impossible de « riposter » sans éliminer des innocents. »

Contexte politique

Ce mémorandum s'appuie sur une politique nationale de cybersécurité publiée en mars qui promettait de « libérer le secteur privé » contre les adversaires étrangers. Il intervient également alors que l'administration Trump a réduit la taille de l'Agence de cybersécurité et de sécurité des infrastructures (CISA), ce qui a poussé des membres de la communauté du renseignement à plaider en faveur du recrutement de davantage de capacités du secteur privé, notamment les entreprises d'IA. Le sénateur de l'Utah Mike Lee a présenté l'année dernière une législation visant à relancer les « lettres de marque et de représailles », la pratique constitutionnelle historique autorisant des acteurs civils à attaquer des cibles ennemies. Jeffrey Gray, un ancien de la CISA, a déclaré que ce mémorandum fait quelque chose qui n'a pas été fait depuis des siècles.

« Les États-Unis viennent de relancer la course pour l'ère numérique. »

Ce mémorandum a été signé à la suite de cyberattaques contre des installations hydrauliques au Minnesota et au Michigan liées à l'Iran. Certains groupes technologiques américains, y compris ceux dirigés par des donateurs de Trump, ont soutenu en privé cette initiative et devraient bénéficier de contrats lucratifs. D'autres, dont Google et Microsoft, ont vanté leur volonté d'aider le gouvernement à lutter contre la cybercriminalité, bien que certaines entreprises restent réticentes, craignant de manquer de protections juridiques et de risquer des représailles de la part d'États-nations.