La Maison Blanche engage des hackers privés pour riposter aux cybercriminels

Les entreprises américaines pourront bientôt infiltrer et neutraliser les serveurs des gangs du net, avec l’aval du gouvernement. Un dispositif inédit qui fait rêver les uns et trembler les autres.

Les États-Unis viennent de franchir un pas important. Un mémorandum signé mercredi confie aux ministères de la Justice et de la Sécurité intérieure le soin de monter un programme sans équivalent. Des sociétés américaines, agréées et liées par contrat, auront le droit d’espionner et d’attaquer des organisations criminelles qui opèrent au-delà des frontières. Elles pourront neutraliser des serveurs pirates ou installer des logiciels espions dans leurs machines pour une infiltration durable. L’objectif est de frapper les cybercriminels dans leur propre camp, là où ils se croyaient intouchables.

Le cadre est pourtant strict. Aucune action ne pourra être lancée sans un feu vert préalable de l’administration. Les entreprises devront aussi déposer une garantie d’au moins un million de dollars. Les opérations qui pourraient tuer ou blesser sont interdites, tout comme celles qui franchiraient le seuil de l’« usage de la force » au sens du droit international. Le gouvernement espère ainsi endiguer la vague des rançongiciels, de la sextorsion et des fraudes en ligne, une facture estimée à 20,8 milliards de dollars pour les Américains en 2025.

Ari Redbord, ancien procureur fédéral devenu responsable des affaires publiques de la société d’analyse TRM Labs, résume l’idée. Le secteur privé détient les données, le secteur public détient les pouvoirs. Il revendique la comparaison avec les corsaires et leurs lettres de marque, ces licences qui permettaient à des navires privés d’attaquer les ennemis de leur souverain. Mais l’image inquiète Alan Woodward, professeur de cybersécurité à l’université de Surrey. Les corsaires ont souvent fini par causer des ennuis à leurs commanditaires, rappelle-t-il. On peut distribuer des commissions, mais pas l’obéissance. Au bout du compte, le jeu n’en valait pas la chandelle.

Le changement de cap surprend. En mars, un haut conseiller de la Maison Blanche assurait que l’administration ne voulait pas combattre les pirates avec des pirates. Le directeur national du cyber, Sean Cairncross, excluait aussi toute campagne offensive confiée à des acteurs privés. Cinq mois plus tard, le mémorandum dit l’inverse, sans explication officielle. Jason Healey, chercheur à l’université Columbia et ancien de la Maison Blanche, reconnaît qu’il ne sait pas comment répondre. Il insiste toutefois sur une différence majeure. Ici, tout repose sur des contrats, des vérifications et des approbations, le tout adossé à l’État de droit. Rien à voir avec les hackers que tolèrent ou pilotent certains États.

Son inquiétude se concentre sur la supervision. Cette administration a systématiquement affaibli les organes qui devraient contrôler ce genre d’opérations, du renseignement national à la direction de la NSA. Quant à la menace de représailles russes, il la balaie. Il se moque de savoir si Poutine trouve impoli qu’on démantèle un groupe qui attaquait des hôpitaux pendant une pandémie.

Les géants de la tech ont déjà une longue pratique du sujet. Microsoft fait démanteler des infrastructures criminelles par décision de justice depuis quinze ans. Google mène ses propres opérations, mais uniquement sur ses propres systèmes. Le programme leur ouvrirait un espace plus large, sans contrôle d’un juge, seulement sous autorité étatique. Interrogés sur leur volonté de participer, les deux groupes restent discrets. Google n’a pas répondu, Microsoft juge le moment prématuré pour commenter.

Cette prudence se comprend. Une entreprise qui s’attaque à des pirates cesse d’être un simple observateur. Elle devient une cible pour ses réseaux, ses dirigeants, ses employés. Alan Woodward craint une lente accumulation de cibles mal attribuées, de poursuites à l’étranger et de migraines diplomatiques. Ari Redbord, lui, fixe la priorité ailleurs. Si les victimes ne récupèrent pas leur argent, dit-il, le reste ne compte pas pour grand-chose. Les règles précises du programme doivent être établies d’ici soixante jours. Une annexe restera classée secrète. D’ici là, les positions restent irréconciliables.

À lire aussi

• La liberté d’expression des ados vaut bien mieux qu’une interdiction sèche
• La photo de Macron en jet-ski qui relance la polémique sur ses vacances
• Farage réélu à Clacton, mais Tête-de-Poubelle réalise une percée inattendue