Le 13 août, Donald Trump a signé un mémorandum présidentiel qui bouleverse la doctrine américaine de cyberdéfense. Désormais, des entreprises privées de cybersécurité pourront, sous supervision gouvernementale, mener des opérations de piratage contre des organisations criminelles transnationales actives dans le cyberespace. Formalisé sous le titre « Expanding Capabilities to Combat Transnational Cyber-Enabled Crime », le texte transfère à des acteurs privés des prérogatives jusque-là réservées au FBI, à la NSA ou au Cyber Command. Une première dans l’histoire de la politique de sécurité numérique américaine.
Le Centre national de coordination, rattaché au Homeland Security Task Force, pilote ce programme inédit. Les directeurs exécutifs des départements de la Sécurité intérieure et de la Justice supervisent directement les opérations autorisées. Les sociétés candidates devront signer des contrats avec l’un de ces deux départements et se soumettre à un processus de vérification rigoureux couvrant leurs compétences techniques, la sécurité de leurs installations et le passé de leur personnel, selon Nextgov.
Deux niveaux d’intervention offensive
Le mémorandum distingue deux catégories d’opérations. Les « opérations de surveillance cyber » visent à collecter du renseignement sur les réseaux criminels, leurs infrastructures et leurs modes opératoires, en restant discrètes. Les « opérations à effets cyber » vont plus loin : elles autorisent la manipulation, la perturbation, la dégradation ou la destruction des systèmes d’information, des réseaux ou des infrastructures contrôlées par les organisations visées. Infrastructures physiques pilotées par des systèmes informatiques, réseaux virtuels et données stockées peuvent être ciblés.
Chaque opération devra recevoir une autorisation écrite préalable. Aucune marge d’initiative ne sera laissée aux entreprises, qui agiront strictement dans le cadre défini par les autorités fédérales. Comme le rapporte SiliconANGLE, les opérations de surveillance cherchent à maximiser la collecte sans alerter la cible, tandis que les opérations à effets assument une dimension destructrice et visent à neutraliser durablement les capacités adverses.
Des garde-fous financiers et juridiques contraignants
L’administration Trump a assorti cette autorisation de contre-attaque de multiples garde-fous. Les sociétés participantes devront maintenir une caution ou un dépôt fiduciaire d’au moins un million de dollars, confisqué en cas de violation contractuelle. Toute opération susceptible de causer la mort ou des blessures graves est formellement interdite, tout comme celles assimilables à un usage de la force armée au regard du droit international.
Le mémorandum impose des procédures d’urgence en cas de dérapage. Si une entreprise touche par erreur un citoyen américain ou un système situé aux États-Unis, elle doit immédiatement cesser ses activités et en informer les autorités. Le département de la Justice conserve un droit de regard renforcé sur toute opération dirigée contre une « personne américaine » ou soulevant des questions juridiques domestiques. Le Computer Fraud and Abuse Act (CFAA), principale loi fédérale réprimant le piratage, reste pleinement applicable, bien qu’une disposition (18 U.S. Code § 1030(f)) puisse exempter les opérations menées sous direction gouvernementale.
Une réponse à l’explosion des pertes liées au cybercrime
La Maison-Blanche justifie l’initiative par l’ampleur des pertes subies. Les Américains ont perdu 20,8 milliards de dollars en 2025 du fait de la cybercriminalité, et 73 % des adultes américains ont été victimes d’une arnaque ou d’une attaque en ligne. Les organisations criminelles transnationales, définies par le mémorandum comme « tout groupe étranger qui commet des crimes activés par la cybernétique contre le gouvernement américain, une personne américaine ou les intérêts américains », opèrent souvent depuis des juridictions peu coopératives.
Christopher Wray, ancien directeur du FBI, avait souligné en 2024 que les hackers soutenus par la Chine surpassaient en nombre les effectifs cyber du Bureau fédéral dans un rapport de 50 pour 1. L’asymétrie des moyens plaide, selon les partisans du programme, pour une mobilisation du secteur privé. « En ayant l’aide du secteur privé pour contrer les cybercriminels, les États-Unis peuvent perturber davantage de groupes et libérer des agences comme le FBI et le Cyber Command pour qu’elles se concentrent davantage sur la lutte contre des États-nations comme la Chine », explique Cynthia Kaiser, ancienne responsable cyber du FBI, citée par CNN.
Des risques opérationnels et techniques majeurs
Malgré l’enthousiasme de certains acteurs du secteur, de nombreux experts expriment leurs réserves. Andrew Schoka, ancien officier au sein du Cyber Command américain, met en garde contre une multiplication incontrôlée des acteurs. « Le vrai risque est de se retrouver avec une bande de corsaires cyber qui courent partout sans coordination ni direction claire au niveau fédéral », a-t-il déclaré à CNN. La déconfliction des opérations, déjà complexe entre agences gouvernementales, pourrait devenir ingérable avec l’intervention d’entreprises privées disposant de capacités et d’une rapidité d’action supérieures.
Ben Bernstein, responsable de l’équipe de conseil en cybersécurité chez Huntress Labs, pointe une difficulté technique majeure. « Les acteurs de menace ne lancent pas d’attaques depuis des serveurs étiquetés à Moscou ; ils acheminent le trafic via des infrastructures compromises et innocentes, comme un routeur vulnérable dans un cabinet dentaire de l’Ohio ou un réseau hospitalier », explique-t-il dans des commentaires transmis à SiliconANGLE. Frapper en retour sans toucher des tiers innocents relève de la gageure, d’autant que les infrastructures adverses sont souvent abandonnées en quelques heures. Le temps nécessaire pour qu’une firme identifie une cible, obtienne les autorisations et passe les procédures de déconfliction pourrait transformer l’opération en « tir sur des fantômes ».
Une stratégie annoncée dès mars 2026
Le mémorandum s’inscrit dans le prolongement de la stratégie cyber publiée par la Maison-Blanche en mars 2026, intitulée « President Trump‘s Cyber Strategy for America ». Le document promettait de « libérer le secteur privé en créant des incitations pour identifier et perturber les réseaux adverses et augmenter nos capacités nationales ». Il annonçait également l’établissement d’un « nouveau niveau de relation entre les secteurs public et privé pour défendre l’Amérique en temps de paix comme en temps de guerre ». Le texte du 13 août concrétise ces engagements en définissant un cadre opérationnel précis.
Selon Fedscoop, les directeurs exécutifs du programme disposent de 60 jours pour élaborer les procédures opérationnelles détaillées, qui seront codifiées en coordination avec le Conseil de sécurité intérieure. Les procédures devront ouvrir des opportunités tant aux grandes organisations disposant de ressources importantes qu’aux « entreprises plus petites et plus agiles » susceptibles de se révéler utiles pour des « tâches spécialisées ou discrètes ». Les critères d’évaluation annuelle garantiront que les sociétés retenues maintiennent leurs capacités techniques au fil du temps.
Réactions contrastées du secteur privé
Les acteurs de la cybersécurité affichent des positions nuancées. Kyle Hanslovan, cofondateur et directeur général de Huntress, soutient fermement le programme. Il estime qu’une collaboration étroite entre secteurs public et privé « n’est plus une option » face à la criminalité organisée en ligne et à l’émergence d’attaques autonomes pilotées par intelligence artificielle. Toutefois, il identifie la déconfliction comme le risque principal : une activité privée qui perturberait une opération gouvernementale de longue durée pourrait compromettre des arrestations et nuire au levier diplomatique des États-Unis.
Will Barker, conseiller en cybersécurité chez Huntress, rappelle qu’il s’agit d’un « programme gouvernemental, pas d’une mêlée du secteur privé ». Il considère que les directives opérationnelles à venir, attendues dans 60 jours, constitueront le document décisif, car elles fixeront le niveau d’exigence pour les candidats. Si la barre est placée trop haut, seuls les contractants de défense bien financés pourront participer. Barker anticipe également une intervention du Congrès, estimant que permettre à des entreprises privées de perturber des systèmes étrangers revêt une importance constitutionnelle.
Mike Centrella, responsable des politiques publiques chez SecurityScorecard, salue « un changement important dans la manière dont les États-Unis abordent les cybermenaces provenant de l’étranger ». Selon lui, le mémorandum « reconnaît que la lutte contre la cybercriminalité nécessite également d’identifier et de perturber les infrastructures et les réseaux qui permettent aux organisations criminelles d’opérer ». Il y voit « une évolution de la collaboration public-privé en cybersécurité, passant principalement du partage d’informations sur les menaces à la combinaison des autorités gouvernementales avec le renseignement et les capacités du secteur privé pour les perturber plus activement ».
Précédents législatifs avortés
L’idée d’autoriser légalement le « hack-back » n’est pas nouvelle aux États-Unis, mais elle s’est jusqu’à présent heurtée à l’opposition du Congrès. Le représentant Tom Graves, de Géorgie, avait déposé en 2017 puis à nouveau en 2019 l’Active Cyber Defense Certainty Act, qui visait à modifier le CFAA pour offrir aux entreprises une défense affirmative en cas de riposte autonome. Aucune des deux versions n’a obtenu de vote en séance plénière. Le mémorandum présidentiel contourne l’obstacle législatif en plaçant les opérations privées sous autorité et direction gouvernementales, ce qui pourrait les faire basculer dans le cadre des activités légalement autorisées.
Vers une nouvelle ère de cyberdéfense hybride
Quelles que soient les réserves exprimées, le mémorandum du 13 août marque indéniablement un tournant dans la politique de cybersécurité américaine. Il reconnaît que les capacités gouvernementales, même renforcées, ne suffisent plus face à la prolifération et à la sophistication croissantes des menaces cybercriminelles. En mobilisant l’innovation et les talents du secteur privé, Washington espère multiplier sa capacité de frappe et de perturbation contre des adversaires qui évoluent plus vite que les bureaucraties traditionnelles.
