Les États-Unis externalisent le piratage offensif. Savoir qui cibler est le hic

Le mémorandum présidentiel ressemble à une division claire du travail : le gouvernement fixe les règles, les entreprises privées de cybersécurité font le piratage. En pratique, le programme donne à ces entreprises le pouvoir de surveiller et de perturber les réseaux criminels étrangers, et leur demande de porter un jugement sur les cibles que les chercheurs en sécurité jugent souvent impossible.

Le programme, signalé pour la première fois par Bloomberg et détaillé par The Verge, décrit les entreprises privées comme « sous-utilisées » dans la lutte contre les réseaux criminels. « Il est de la politique des États-Unis d'utiliser tous les instruments de la puissance nationale, y compris les capacités innovantes du secteur privé, pour lutter contre la cybercriminalité », déclare le mémorandum présidentiel.

Ce que le mémorandum autorise réellement

Les entreprises qui adhèrent opèrent « sous le contrôle et la supervision » du gouvernement fédéral, avec l'autorisation de surveiller et de perturber les réseaux criminels. Le département de la Justice et le département de la Sécurité intérieure les supervisent, et les entreprises doivent satisfaire à des critères de vérification couvrant « l'expertise technique, les performances avérées en matière d'opérations cyber, la sécurité des installations », et plus encore.

Le filet de sécurité financier est une caution ou un dépôt d'au moins 1 million de dollars, que les entreprises perdent si elles ne respectent pas l'accord contractuel. Le mémorandum fixe également une limite sur les cibles : les entreprises ne peuvent pirater que des groupes qui ne sont « pas une partie institutionnelle d'un gouvernement étranger ou entièrement dirigés par un gouvernement étranger ».

Exigence	Ce que dit le mémorandum
Supervision	DOJ et DHS ; les entreprises agissent « sous le contrôle et la supervision » du gouvernement fédéral
Éligibilité	« Expertise technique, performances avérées en matière d'opérations cyber, sécurité des installations », et plus encore
Garantie financière	Caution ou dépôt d'au moins 1 million de dollars, perdue en cas de non-conformité
Limite des cibles	Groupes qui ne sont pas « une partie institutionnelle d'un gouvernement étranger ou entièrement dirigés par un gouvernement étranger »

Le problème d'attribution que le mémorandum ne peut pas résoudre

Cette limite des cibles ressemble à une barrière. L'appliquer est une autre affaire. Cybersecurity Dive, qui a signalé le problème après la publication du mémorandum, note qu'identifier les groupes criminels affiliés à des gouvernements étrangers est souvent difficile, et qu'une mauvaise décision pourrait exposer les entreprises à des risques de conflits géopolitiques ou juridiques.

Ben Bernstein, responsable de l'équipe des conseillers en cybersécurité chez Huntress, explique pourquoi la distinction s'effondre en pratique. « Les acteurs menaçants ne lancent pas d'attaques depuis des serveurs étiquetés à Moscou ; ils acheminent le trafic via des infrastructures compromises et innocentes, comme un routeur vulnérable dans un cabinet dentaire de l'Ohio ou un réseau hospitalier », affirme Bernstein. « Cela rend pratiquement impossible de “riposter” sans toucher des innocents. »

Une politique conçue pour frapper les criminels est, en pratique, une politique de frappe contre des infrastructures qui n'appartiennent à personne en particulier.

Risques juridiques et personnels pour les opérateurs américains

Les personnes qui effectuent ce travail portent une exposition qu'un contrat fédéral n'efface pas. Jason Healey, chercheur senior en conflits cyber à l'université Columbia, a déclaré à Cybersecurity Dive que « quiconque mène ces opérations le fait au prix d'un risque juridique personnel substantiel ».

Jake Williams, vice-président de la recherche et du développement chez Hunter Strategy, a déclaré à TechCrunch, comme le rapporte The Verge, que « les Américains participant à ces opérations pourraient facilement être classés comme combattants non uniformés lors de déplacements à l'étranger ».

Cette étiquette a un poids réel. Un combattant non uniformé ne bénéficie pas des protections accordées à un soldat. Dans une juridiction étrangère, un entrepreneur qui s'introduit dans le mauvais réseau ne peut pas s'appuyer sur l'immunité souveraine ; le langage de « contrôle et de supervision » du mémorandum est précisément la ligne qui serait testée si une opération tournait mal.

La caution va dans le même sens. Elle existe pour tenir les entreprises honnêtes, mais elle signifie aussi que le premier coup financier d'une opération ratée retombe sur l'entreprise, pas sur le gouvernement.

Du monopole d'État au cyber offensif privatisé

Ce changement met fin à un arrangement de longue date. Le gouvernement américain menait auparavant ses propres opérations cyber plutôt que de s'appuyer sur des tiers, et le président Donald Trump a commencé à élaborer des plans pour intégrer les entreprises privées de cybersécurité dans le tableau l'année dernière, selon Bloomberg.

Externaliser le piratage offensif n'est pas comme externaliser d'autres travaux gouvernementaux. Les décisions cruciales se prennent au-delà des frontières, avec une attribution rarement claire et des conséquences difficiles à contenir. L'avertissement de Cybersecurity Dive sur les conflits géopolitiques n'est pas hypothétique : il décrit ce qui se produit lorsqu'une entreprise privée, à la poursuite d'un réseau criminel, tombe sur des infrastructures qu'un gouvernement étranger considère comme siennes.

Le programme est un pari que le gouvernement peut évaluer et superviser des entreprises qui misent elles-mêmes un million de dollars, et la liberté de leurs employés, sur la question du ciblage. Le mémorandum n'explique pas comment le gouvernement permettra de répondre à cette question. Il qualifie simplement le secteur privé de « sous-utilisé ». L'écart entre l'ambition et la mécanique est là où cette politique vivra ou mourra.