Aux États-Unis, la lutte contre la cybercriminalité pourrait désormais prendre une tournure beaucoup plus offensive. La Maison-Blanche vient d’annoncer un programme fédéral autorisant certaines entreprises privées à participer à des opérations informatiques contre des organisations criminelles étrangères. La décision intervient après une série d’attaques attribuées à des hackers iraniens contre des réseaux d’eau potable dans le Minnesota et le Michigan.
Le dispositif sera piloté par le National Coordination Center, rattaché au Homeland Security Task Force. Chaque opération devra être approuvée par deux responsables, l’un désigné par le département de la Justice, l’autre par celui de la Sécurité intérieure. Deux catégories d’interventions sont prévues. Les « Cyber Surveillance Operations » permettront de pénétrer discrètement dans un système informatique afin de recueillir des renseignements. Les « Cyber Effects Operations » iront plus loin, puisqu’elles pourront perturber, voire neutraliser, des infrastructures numériques.
Des limites sont toutefois imposées. Toute action susceptible de provoquer des morts, des blessures graves ou de constituer un usage de la force au regard du droit international devra suivre un autre processus d’autorisation. Les entreprises candidates devront également être agréées par les autorités fédérales, signer un contrat avec l’un des deux ministères et déposer une caution d’au moins un million de dollars, qui pourra être perdue en cas de manquement.
Les cibles sont définies comme des organisations criminelles transnationales utilisant le numérique contre des intérêts américains, mais ne dépendant pas directement d’un gouvernement étranger. Washington justifie cette nouvelle doctrine par l’ampleur des dégâts : la cybercriminalité aurait coûté 20,8 milliards de dollars aux États-Unis en 2025 et 73 % des adultes américains auraient déjà subi une arnaque ou une attaque en ligne. Le dispositif revient donc, en quelque sorte, à créer des corsaires numériques agissant avec l’autorisation de l’État.
Le texte modifie également la portée du Computer Fraud and Abuse Act, qui interdit normalement les intrusions informatiques privées. De nombreuses zones d’ombre subsistent cependant, notamment sur la responsabilité juridique des employés à l’étranger. En France, une telle pratique resterait aujourd’hui interdite. Le « hack-back », c’est-à-dire la riposte informatique privée, demeure illégal. Les opérations offensives relèvent exclusivement de l’État et, dans le domaine militaire, du COMCYBER. Les entreprises peuvent partager des renseignements sur les menaces, mais pas lancer elles-mêmes des cyberattaques.
Hébergé par Acast. Visitez acast.com/privacy pour plus d'informations.
