Washington change de doctrine face à la cybercriminalité. L’administration américaine a dévoilé cette semaine une initiative inédite qui autorise certaines entreprises privées, dûment agréées, à mener des opérations offensives contre des organisations criminelles étrangères s’en prenant à des intérêts américains. Un tournant que peu d’observateurs auraient anticipé il y a encore un an.
Le programme, présenté par la Maison Blanche, ouvre la porte à des sociétés spécialisées pour conduire des missions de surveillance électronique, de collecte de renseignement, voire des opérations capables de perturber ou détruire les systèmes et données de groupes ciblés. Le tout, insiste-t-on côté américain, sous le contrôle exclusif des autorités fédérales.
Cette délégation partielle de la cyberdéfense au secteur privé cible en priorité les réseaux transnationaux spécialisés dans les rançongiciels, la fraude en ligne et l’extorsion visant des citoyens ou entreprises américaines. Washington a pris soin d’exclure du dispositif toute entité considérée comme une émanation d’un gouvernement étranger, une précaution destinée à éviter tout dérapage diplomatique.
Les entreprises candidates devront répondre à un cahier des charges strict : expertise technique avérée, vérification approfondie des employés, sécurisation des infrastructures et respect scrupuleux des procédures opérationnelles fixées par les autorités. Une caution pouvant atteindre un million de dollars sera exigée, susceptible d’être saisie en cas de manquement aux règles du programme.
Chaque opération devra recevoir une autorisation écrite préalable des départements de la Justice et de la Sécurité intérieure. Et la moindre bavure touchant un citoyen américain ou un système domestique entraînera l’arrêt immédiat de l’action, avec notification obligatoire aux autorités compétentes.
L’administration s’est donné soixante jours pour affiner les modalités pratiques du dispositif, incluant la sélection des cibles, la coordination avec les agences de renseignement et l’implication du département d’État. Reste une question qui divise déjà les experts : jusqu’où peut-on aller en confiant à des acteurs privés des missions aux lourdes implications juridiques et diplomatiques à l’international ? Une chose est sûre : la frontière entre cyberdéfense publique et privée n’a jamais paru aussi mince.
