Le président Donald Trump a signé mardi un mémorandum ordonnant au gouvernement fédéral d'enrôler des entreprises américaines dûment contrôlées dans des opérations cyber offensives contre des réseaux criminels étrangers. Ce mémorandum présidentiel de sécurité nationale, daté du 12 août, institue un programme au sein du Centre national de coordination (NCC) de la Homeland Security Task Force, par lequel des entreprises privées peuvent perturber des réseaux cybercriminels étrangers — sous la direction du gouvernement et à leurs propres risques juridiques et financiers.

Cette politique rompt avec la pratique de longue date des États-Unis contre le piratage privé en représailles (« hacking back ») : l'accès non autorisé aux ordinateurs constitue un crime fédéral en vertu du Computer Fraud and Abuse Act, les responsables du département de la Justice ont longtemps dissuadé les victimes de riposter par elles-mêmes, et un projet de loi de 2017 qui aurait exempté du CFAA un piratage défensif limité — l'Active Cyber Defense Certainty Act — n'a jamais été adopté.

« Ce mémorandum élargit la lutte contre la cybercriminalité perpétrée par les TCO en intégrant l'ingéniosité du secteur privé », a écrit la Maison-Blanche dans la section consacrée à l'objet du texte, faisant référence aux organisations criminelles transnationnelles. « En nous associant à des entreprises américaines contrôlées, soumises à la direction et à la supervision du gouvernement fédéral, nous renforcerons notre capacité à contrer les menaces des TCO et à combattre la cybercriminalité transnationale, la fraude et autres schémas prédateurs visant les citoyens américains. »

Selon le mémorandum, « il est de la politique des États-Unis d'utiliser tous les instruments de la puissance nationale, y compris les capacités novatrices du secteur privé, pour lutter contre la cybercriminalité ».

Comment fonctionne le programme

Deux directeurs exécutifs — l'un issu du département de la Justice et l'autre du département de la Sécurité intérieure — dirigeraient le programme. Les entreprises privées sous contrat avec l'une ou l'autre de ces agences pourraient proposer et mener des opérations visant à accéder à, surveiller, perturber ou détruire des systèmes liés à ces réseaux criminels opérant à l'étranger. L'association DOJ-DHS reflète la répartition existante des tâches en matière de lutte contre la cybercriminalité : le FBI relève de la Justice, tandis que le DHS abrite le Secret Service, qui enquête sur la cybercriminalité, ainsi que la Cybersecurity and Infrastructure Security Agency, chargée de la défense des réseaux civils.

Une entreprise participante soumet sa candidature, réussit un processus de contrôle et fournit une caution ou un dépôt en fiducie d'au moins 1 million de dollars, confisquée si l'entreprise enfreint les règles. Elle rassemble ensuite des informations sur les menaces auprès d'autres entreprises ou d'agences des États et des collectivités locales, puis propose des opérations au NCC relevant du département de la Sécurité intérieure. Rien ne se concrétise tant que les directeurs exécutifs du programme n'ont pas examiné le dossier et donné leur approbation écrite accompagnée de directives. Le gouvernement conserve le contrôle opérationnel : l'entreprise n'agit que sur instruction du gouvernement. Les entreprises participantes sont en outre soumises à un examen annuel.

Ce que les entreprises peuvent faire

Le mémorandum autorise les « Cyber Surveillance Operations » (opérations de surveillance cybernétique) — accéder à des systèmes sans l'autorisation de leur propriétaire ou au-delà des accès autorisés — ainsi que des actions offensives plus larges contre les réseaux à l'origine de rançongiciels, d'hameçonnage, de fraudes financières et de chantages à caractère sexuel (sextortion). Les opérations susceptibles d'entraîner des « Critical Outcomes » (conséquences critiques) sont interdites, et toute opération touchant une personne américaine ou un système situé aux États-Unis doit être immédiatement interrompue au titre des procédures de minimisation.

Les agences américaines ont déjà perturbé des infrastructures criminelles par le passé — démantèlements de botnets et saisies de serveurs menés par du personnel gouvernemental sur décision de justice —, mais le mémorandum étend les rôles opérationnels à des sous-traitants contrôlés.

La justification avancée : l'ampleur

L'ampleur de la menace est la raison invoquée par la Maison-Blanche. Les Américains ont déclaré plus de 20,8 milliards de dollars de pertes liées à la cybercriminalité en 2025, selon la Maison-Blanche. Les seules escroqueries en crypto-monnaies auraient coûté environ 80,7 milliards de dollars aux Américains en 2025. Les pirates informatiques nord-coréens disposent désormais de méthodes plus sophistiquées et complexes pour blanchir les crypto-monnaies volées, et le gouvernement a déjà saisi plus de 25 millions de dollars en crypto-monnaies liés à des escroqueries d'investissement et sentimentales. Ce programme permettrait de déployer ce modèle répressif à plus grande échelle, avec des acteurs privés. La tendance est à la hausse depuis des années : l'Internet Crime Complaint Center du FBI a recensé 16,6 milliards de dollars de pertes déclarées en 2024, en hausse de 33 % par rapport à 2023.

Garde-fous et questions en suspens

Les règles de ciblage du programme figurent dans une annexe classifiée, de sorte que les garde-fous publics manquent de détails. Un mémorandum présidentiel ne pouvant modifier la loi fédérale, le texte public ne prévoit aucun bouclier de responsabilité pour les sous-traitants — et les intrusions dans des systèmes situés à l'étranger peuvent également enfreindre les lois des pays où ces systèmes se trouvent, un risque longtemps souligné dans les débats sur le piratage en représailles. Le mémorandum accorde aux entreprises un délai de 60 jours avant la publication des directives de mise en œuvre ; les premières entreprises contrôlées et le cycle d'examen annuel du programme constituent les prochaines étapes visibles.

Le mémorandum complet est disponible sur le site web de la Maison-Blanche.