Les États-Unis viennent de franchir un cap important dans leur doctrine de cybersécurité. L’administration Trump veut permettre à des entreprises privées américaines, sélectionnées et placées sous contrôle fédéral, de participer à des opérations offensives contre des organisations cybercriminelles étrangères.
Derrière une idée apparemment simple — attaquer les hackers plutôt que de seulement se défendre — se cachent pourtant des questions juridiques, techniques et géopolitiques considérables.
Car dans le cyberespace, savoir qui attaquer, où s’arrêter et qui sera responsable en cas d’erreur est loin d’être évident.
Du bouclier à l’épée
Pendant des années, le message adressé aux entreprises victimes de cyberattaques était relativement clair : protégez vos systèmes, détectez les intrusions, collectez des preuves et prévenez les autorités.
Mais ne poursuivez pas vous-même l’attaquant sur Internet.
C’est tout le débat autour du « hack-back », c’est-à-dire la possibilité pour une victime ou un acteur privé de sortir de son propre système informatique pour agir directement contre l’infrastructure utilisée par son attaquant.
Le mémorandum présidentiel signé le 12 août 2026 ouvre une nouvelle voie. L’objectif est de mettre les capacités techniques du secteur privé au service de la lutte contre les organisations criminelles transnationales opérant dans le cyberespace.
Il ne s’agit toutefois pas d’un permis général donné aux entreprises américaines pour pirater leurs attaquants.
Le programme doit être placé sous supervision fédérale. Les entreprises participantes devront être sélectionnées et obtenir une autorisation gouvernementale pour leurs opérations. Les modalités précises doivent encore être élaborées par les autorités américaines.
C’est une distinction essentielle.
Jusqu’où pourraient aller ces opérations ?
Potentiellement assez loin.
Le mémorandum distingue notamment des opérations de surveillance et des « cyber effects operations ».
Ces dernières peuvent produire des effets allant de la manipulation et de la perturbation d’un système jusqu’à sa dégradation ou sa destruction.
Imaginez un groupe de ransomware disposant de dizaines de serveurs pour gérer ses attaques, communiquer avec ses victimes ou héberger ses infrastructures.
Au lieu de simplement bloquer les connexions provenant de ces machines, une opération offensive pourrait chercher à pénétrer cette infrastructure, recueillir du renseignement, la perturber ou, dans certaines circonstances autorisées, la neutraliser.
Sur le papier, l’idée est séduisante.
Pourquoi laisser systématiquement l’initiative aux attaquants ?
Mais c’est précisément à ce moment que commencent les problèmes.
Zone grise n°1 : êtes-vous certain d’attaquer le bon ordinateur ?
L’attribution constitue l’un des problèmes fondamentaux de la cybersécurité.
Un attaquant professionnel ne lance généralement pas son opération depuis son ordinateur personnel.
Il utilise des serveurs loués sous de fausses identités, des machines précédemment compromises, des proxys, des VPN, des infrastructures cloud ou des équipements appartenant parfois eux-mêmes à des victimes.
Une adresse IP n’est donc pas une identité.
Supposons qu’une entreprise américaine soit autorisée à neutraliser un serveur utilisé par un groupe criminel.
Que se passe-t-il si ce serveur appartient en réalité à une entreprise innocente dont la machine a été compromise ?
La lutte contre une cyberattaque pourrait alors provoquer une nouvelle victime.
Zone grise n°2 : à qui appartient réellement le groupe de hackers ?
Le mémorandum vise des organisations criminelles étrangères et exclut notamment les groupes faisant partie d’un gouvernement étranger ou entièrement dirigés par celui-ci.
Mais dans la réalité, cette distinction peut devenir extrêmement difficile.
Un groupe peut mener des ransomwares pour son propre enrichissement tout en collaborant occasionnellement avec un service de renseignement.
Un gouvernement peut tolérer certaines activités criminelles sur son territoire.
Un groupe apparemment indépendant peut également servir de façade à une opération étatique.
Le dispositif américain prévoit de considérer un groupe comme indépendant sauf si des renseignements suffisamment clairs établissent son appartenance ou sa direction par un État.
Et c’est potentiellement explosif.
Car se tromper ne signifie plus simplement accuser le mauvais hacker.
Cela pourrait conduire une entreprise privée à attaquer une infrastructure liée à un État étranger.
Nous ne sommes alors plus très loin d’un incident diplomatique.
Zone grise n°3 : peut-on cyberattaquer sur le territoire d’un autre pays ?
Internet donne parfois l’impression d’être un espace sans frontières.
Les serveurs, eux, se trouvent quelque part.
Prenons un exemple volontairement simple.
Un groupe criminel russe attaque une entreprise américaine mais utilise pour son opération un serveur hébergé en Allemagne.
Les États-Unis autorisent une entreprise américaine à neutraliser cette infrastructure.
D’un point de vue américain, l’objectif est de lutter contre une organisation criminelle.
Mais l’opération produit des effets sur une infrastructure située en Allemagne.
Quelle souveraineté s’applique ?
La question devient encore plus sensible lorsque l’infrastructure se trouve dans un pays hostile ou lorsque plusieurs pays sont concernés simultanément.
Une cyberopération peut traverser des frontières en quelques millisecondes alors que le droit international reste largement structuré autour de territoires et de juridictions nationales.
Zone grise n°4 : quels dommages collatéraux ?
Détruire un bateau pirate au milieu de l’océan et neutraliser un serveur informatique ne posent évidemment pas les mêmes problèmes.
Une infrastructure numérique peut être partagée.
Un serveur peut héberger plusieurs services.
Une machine compromise peut appartenir à un hôpital, une PME ou une administration.
Une opération conçue pour neutraliser un criminel peut donc avoir des conséquences sur des tiers.
Et certaines cyberattaques ont déjà démontré qu’un effet informatique initialement ciblé pouvait se propager bien au-delà de sa cible.
La question devient alors :
qui assume les conséquences d’une opération qui tourne mal ?
L’entreprise privée ?
Le gouvernement qui l’a autorisée ?
Les deux ?
Zone grise n°5 : que se passe-t-il lorsque les hackers ripostent ?
C’est probablement l’une des questions les plus sous-estimées.
Un groupe de ransomware qui perd son infrastructure ne va pas nécessairement abandonner.
Il peut chercher à se venger.
Et contrairement à une agence de renseignement ou à une unité militaire, une entreprise privée possède des clients, des employés, des fournisseurs et une réputation commerciale à protéger.
La cible de la riposte pourrait donc devenir l’entreprise ayant participé à l’opération.
Ou ses clients.
Ou d’autres infrastructures américaines.
Des spécialistes interrogés sur cette nouvelle politique soulignent précisément le risque de représailles et d’escalade internationale.
La question n’est donc plus seulement :
« Pouvons-nous neutraliser les hackers ? »
Mais :
« Que feront-ils après ? »
Zone grise n°6 : jusqu’où peut-on privatiser la puissance cyber ?
C’est peut-être la question la plus fascinante.
Traditionnellement, les opérations offensives contre des adversaires étrangers relèvent des prérogatives de l’État.
Or les entreprises technologiques disposent aujourd’hui de capacités extraordinaires.
Certaines voient une portion considérable du trafic Internet mondial.
D’autres exploitent des infrastructures cloud gigantesques.
D’autres encore disposent de capacités avancées en renseignement sur les menaces, en intelligence artificielle ou en cybersécurité.
Microsoft et Google ont d’ailleurs déjà participé à des opérations visant des infrastructures criminelles, notamment en utilisant des procédures judiciaires civiles pour démanteler certains réseaux.
La nouvelle approche américaine pourrait aller beaucoup plus loin en intégrant certaines entreprises dans des opérations cyber offensives autorisées par l’État.
Et cela fait ressurgir une vieille idée.
Le retour des corsaires ?
Pendant plusieurs siècles, des États ont autorisé des navires privés à attaquer les intérêts de puissances adverses.
Ces acteurs n’étaient pas exactement des pirates.
Ils disposaient d’une autorisation de l’État.
On les appelait des corsaires.
Aux États-Unis, le débat autour des letters of marque and reprisal — les lettres de marque autorisant historiquement des acteurs privés à mener certaines actions contre un adversaire — est même revenu dans les discussions politiques sur le cyberespace.
Le parallèle avec les « corsaires numériques » n’est évidemment pas juridiquement parfait.
Mais l’image est puissante.
Des acteurs privés disposant de capacités techniques considérables pourraient désormais participer, avec l’autorisation et sous le contrôle de Washington, à des opérations offensives contre des adversaires désignés.
Le Financial Times décrit précisément cette évolution comme une forme moderne de cyber privateering.
Des garde-fous sont prévus
Il serait donc trompeur de résumer la décision par :
« Trump autorise les entreprises à hacker. »
Le dispositif est beaucoup plus encadré.
Les entreprises devront être sélectionnées, les opérations devront recevoir une autorisation et plusieurs agences devront pouvoir intervenir dans le processus de contrôle. Le programme prévoit également une garantie financière d’un million de dollars susceptible d’être perdue en cas de violation des règles.
Surtout, une grande partie des règles opérationnelles reste encore à définir : le Department of Justice et le Department of Homeland Security disposent de 60 jours pour établir les modalités du programme.
Il faut donc éviter deux conclusions prématurées.
La première serait de croire que n’importe quelle entreprise américaine peut désormais attaquer librement les hackers.
C’est faux.
La seconde serait de considérer qu’il ne s’agit que d’une coopération public-privé supplémentaire sans conséquence particulière.
Ce serait également sous-estimer la portée du changement.
Un changement de philosophie
Depuis longtemps, la cybersécurité repose sur une asymétrie frustrante.
Les défenseurs doivent protéger des milliers de machines, tandis que l’attaquant doit parfois trouver une seule vulnérabilité.
Et lorsque l’attaque réussit, l’entreprise victime consacre son énergie à reconstruire ses systèmes pendant que le criminel prépare déjà sa prochaine opération.
La nouvelle doctrine américaine cherche à modifier cette équation.
Elle pose une question simple :
et si les cybercriminels devaient eux aussi commencer à défendre leurs infrastructures ?
Stratégiquement, l’idée est intéressante.
Juridiquement et géopolitiquement, elle est beaucoup plus délicate.
Car une fois que des acteurs privés commencent à produire des effets offensifs au-delà des frontières américaines, les notions d’attribution, de souveraineté, de proportionnalité et de responsabilité deviennent centrales.
Le véritable enjeu ne sera donc pas de savoir si le hack-back fonctionne
Il sera de savoir si nous sommes capables de le contrôler.
Si le programme permet de perturber efficacement des infrastructures de ransomware tout en restant fortement encadré, les États-Unis pourraient créer un nouveau modèle de coopération entre l’État et l’industrie.
Mais si une entreprise se trompe de cible, touche une infrastructure critique étrangère ou déclenche une chaîne de représailles, le débat changera immédiatement de dimension.
Nous sommes peut-être en train d’assister à l’apparition d’un nouvel acteur du cyberespace :
l’entreprise privée autorisée par un État à conduire une action cyber offensive contre un adversaire étranger.
Ni pirate.
Ni militaire.
Ni simple entreprise de cybersécurité.
Une sorte de corsaire numérique.
Et si ce modèle fonctionne, il serait étonnant que les États-Unis restent longtemps les seuls à l’utiliser.
La véritable question devient alors : sommes-nous prêts pour un cyberespace dans lequel les États ne seront plus les seuls à pouvoir autoriser et conduire la riposte ?