La Maison-Blanche ouvre la voie à des cyberopérations offensives confiées à des entreprises privées

Le nouveau programme contre la cybercriminalité étrangère

Un mémorandum présidentiel américain signé mercredi charge le National Coordination Center (NCC) de créer un programme permettant à des entreprises privées de cybersécurité de participer à des opérations offensives contre des organisations cybercriminelles étrangères.

L’information a été rendue publique le 13 août 2026. L’initiative vise les groupes impliqués dans les ransomwares, le phishing, les fraudes financières, la sextorsion, les escroqueries par usurpation d’identité ainsi que les opérations d’arnaque sentimentale ou financière menées depuis les « compounds ».

Le gouvernement américain conservera la direction des activités. Les entreprises ne recevront donc pas d’autorisation générale leur permettant d’agir de manière autonome contre des infrastructures criminelles, mais pourront intervenir dans le cadre de missions définies et approuvées par les autorités fédérales.

La Maison-Blanche affirme que les consommateurs américains ont signalé plus de 20,8 milliards de dollars de pertes liées à la cybercriminalité en 2025. L’objectif annoncé est de tirer parti de compétences du secteur privé qui, selon le mémorandum, n’auraient pas été suffisamment mobilisées pour identifier et démanteler les réseaux criminels en ligne.

On ignore si certaines entreprises ont déjà accepté de participer ou si des opérations ont déjà été lancées. Aucun nom de société autorisée, logiciel concerné, malware, adresse IP, domaine ou autre indicateur technique n’a été communiqué.

Comment fonctionneront les autorisations et le contrôle fédéral

Chaque opération devra être approuvée à l’avance par des responsables du Department of Justice (DOJ) et du Department of Homeland Security (DHS). Le mémorandum prévoit que chaque « dossier » opérationnel soit examiné et approuvé par écrit.

Avant le lancement, l’entreprise recevra des instructions formelles précisant les limites et les objectifs de l’activité. La supervision sera assurée par des executive directors désignés par le DOJ et le DHS, tandis que le NCC sera chargé de coordonner le programme.

Les agences fédérales disposeront de deux mois pour définir les procédures opérationnelles, les normes minimales de participation, les critères de sélection des cibles et les modalités de compte rendu des activités au gouvernement.

Les exigences devraient inclure :

• une expertise technique vérifiable ;
• une expérience documentée des opérations cyber ;
• la sécurité des installations ;
• la vérification des antécédents du personnel ;
• la fiabilité de l’entreprise ;
• des garanties organisationnelles et opérationnelles supplémentaires.

Les sociétés devront signer des contrats avec le DOJ ou le DHS et déclarer au gouvernement fédéral l’ensemble de leurs relations contractuelles. Elles feront également l’objet d’évaluations annuelles pour conserver leur habilitation, devront transmettre des rapports périodiques et coopérer avec les autorités fédérales, étatiques, locales, tribales et territoriales.

Le programme pourrait également autoriser l’accès à des informations gouvernementales sur les menaces, utiles à la planification des opérations. Cet élément pourrait renforcer l’efficacité des missions, mais rend encore plus importants les contrôles relatifs à la gestion des informations classifiées ou sensibles.

Limites opérationnelles et gestion des erreurs

Le mémorandum exclut les opérations susceptibles d’entraîner des pertes humaines ou d’atteindre le seuil de « recours à la force » ou d’« attaque armée » au regard du droit international.

Des procédures sont également prévues en cas d’erreur d’identification ou de dépassement des limites autorisées. Si une entreprise venait à cibler involontairement une personne américaine, un système situé aux États-Unis ou un système contrôlé par un citoyen américain, elle devrait interrompre immédiatement l’opération.

Elle devrait également appliquer des mesures de minimisation, informer le NCC et fournir les éléments nécessaires à la notification ultérieure du Department of Justice.

Les entreprises auraient aussi l’obligation de signaler au gouvernement :

• les attaques imminentes contre des infrastructures critiques américaines ;
• les complots ou activités susceptibles de faire des victimes.

Les activités devront respecter la Constitution des États-Unis, le droit fédéral et les obligations internationales applicables. Le document définit toutefois moins clairement le traitement des situations dans lesquelles un groupe criminel transnational serait lié à des services de renseignement, à des structures militaires ou à des gouvernements étrangers.

Cette zone grise est essentielle. Une opération visant une organisation apparemment criminelle pourrait en effet avoir des conséquences diplomatiques ou militaires si l’infrastructure était soutenue, protégée ou contrôlée par un État.

Garanties financières et responsabilité des entreprises

Les entreprises participantes devront accepter des contraintes contractuelles importantes. Le dispositif prévoit une garantie ou une somme placée sous séquestre d’au moins 1 million de dollars, susceptible d’être perdue en cas de violation des accords.

Le même seuil est également présenté comme une pénalité minimale applicable à la violation de toute partie du contrat. Le texte rendu public ne précise pas tous les détails du mécanisme, mais le principe est clair : l’entreprise devra assumer une exposition financière directe en cas de non-respect des règles opérationnelles.

D’autres aspects de la responsabilité restent plus incertains. Des experts en cybersécurité ont souligné le manque de protections juridiques explicites et l’absence de précisions sur les protocoles à suivre lorsqu’une opération cause des dommages ou frappe la mauvaise cible.

La sécurité personnelle des opérateurs constitue également un problème concret. Les entreprises concernées pourraient devenir des cibles de représailles, tout comme leurs employés et leurs dirigeants. Le risque pourrait s’accroître lors d’opérations visant des groupes soutenus directement ou indirectement par des gouvernements étrangers.

Jason Kikta, CTO d’Automox et ancien responsable de la Cyber National Mission Force, a critiqué le risque d’encourager la production d’activités offensives facturables. Chris Wysopal, cofondateur de Veracode, a pour sa part décrit le plan comme un changement important de la politique cyber américaine et comme un élargissement notable du rôle du secteur privé dans les opérations offensives.

Un changement de périmètre pour la cybersécurité privée

Le mémorandum modifie la frontière traditionnelle entre les activités défensives commerciales et les opérations cyber menées par l’État. Jusqu’à présent, les entreprises de sécurité pouvaient analyser les infrastructures criminelles, recueillir des indicateurs, coopérer avec les autorités et contribuer à la réponse aux incidents.

Le nouveau modèle vise également à les autoriser à intervenir contre les réseaux criminels, tout en maintenant le contrôle entre les mains du gouvernement fédéral. Les États-Unis pourraient ainsi disposer de capacités accrues pour perturber les ransomwares, les fraudes et les infrastructures utilisées pour viser des citoyens et des entreprises.

Les risques comprennent toutefois les erreurs d’attribution, les dommages collatéraux, l’escalade internationale et l’implication involontaire de systèmes américains. S’y ajoute l’incertitude concernant la responsabilité lorsqu’une action autorisée entraîne des conséquences imprévues.

Bennie Thompson, représentant démocrate du Mississippi et membre éminent de la commission de la Homeland Security, s’est déclaré préoccupé par les implications juridiques et les effets non intentionnels. Selon lui, les procédures de supervision restent peu claires et le sujet devrait être examiné par l’administration avec le Congrès.

L’initiative s’inscrit dans le prolongement d’un décret présidentiel publié en mars, qui avait appelé les agences fédérales à adopter une approche plus offensive contre la cybercriminalité. Toujours en mars, le National Cyber Director Sean Cairncross avait déjà évoqué un possible rôle offensif du secteur privé.

Le programme ne constitue donc pas encore une campagne opérationnelle documentée publiquement. Il définit surtout un cadre institutionnel susceptible de transformer certaines entreprises en exécutants autorisés de missions offensives, sous supervision fédérale, mais avec des responsabilités et des risques qui restent encore à préciser.