Un mémorandum présidentiel signé le 12 août 2026 autorise pour la première fois des cyberattaques privées conduites par des entreprises américaines vérifiées contre des organisations criminelles étrangères. Chaque opération devra être approuvée par écrit par deux directeurs, l’un issu du département de la Justice, l’autre du département de la Sécurité intérieure. Le texte ne crée aucun droit général à la riposte informatique : il ouvre un programme fermé, contractuel et révocable.
Une caution ou un séquestre d’au moins un million de dollars. Un contrat signé avec le département de la Justice ou celui de la Sécurité intérieure. Une procédure de vérification portant sur la compétence technique, la sécurité interne et les antécédents. Et, pour chaque opération, l’accord écrit de deux directeurs exécutifs. Voilà le ticket d’entrée du dispositif ouvert par le président américain Donald Trump.
Le texte s’intitule Expanding Capabilities to Combat Transnational Cyber-Enabled Crime et a été mis en ligne le 12 août 2026 sur le site de la Maison-Blanche. Ce n’est pas un décret présidentiel au sens strict, mais un mémorandum de sécurité nationale, adressé à seize administrations, du département d’État au Trésor en passant par la communauté du renseignement. Le pilotage revient au National Coordination Center, rattaché à la Homeland Security Task Force.
Deux familles d’opérations sont ouvertes aux sociétés retenues. Les Cyber Surveillance Operations visent la collecte de renseignement dans des systèmes informatiques, y compris par accès non autorisé, en restant indétectable. Les Cyber Effects Operations recouvrent la manipulation, la perturbation, le blocage, la dégradation ou la destruction de systèmes. Les cibles sont limitées aux organisations criminelles transnationales étrangères opérant en ligne contre les intérêts américains.
Ce que le mot légalise ne dit pas
Le titre de la source parle de légalisation. La formule mérite d’être bornée. Le mémorandum ne lève pas l’interdiction générale du piratage informatique aux États-Unis. Le Computer Fraud and Abuse Act continue de s’appliquer. Le texte s’appuie sur son article 1030(f), qui exclut du champ pénal les activités d’enquête autorisées d’une agence fédérale. Les entreprises participantes n’agissent pas pour leur compte : elles opèrent, selon le mémorandum, exclusivement au nom et sous la supervision du gouvernement fédéral.
La liste des interdits est explicite. Sont exclues les opérations susceptibles de provoquer la mort, des blessures graves, ou de constituer un recours à la force au sens du droit international. Sont également exclus le ciblage de citoyens américains, des systèmes américains et des infrastructures contrôlées par des personnes résidant aux États-Unis. Toute activité touchant une personne américaine suppose l’obtention préalable des autorisations judiciaires nécessaires.
Le calendrier est court. Les deux co-directeurs disposent de soixante jours pour publier les procédures opérationnelles. Un bilan est prévu tous les cent quatre-vingts jours auprès du directeur national du cyberespace, et une révision annuelle du dispositif. Aucun crédit budgétaire nouveau n’est créé. Les cabinets d’avocats Mayer Brown et Wiley, qui ont publié des analyses du texte, relèvent la même zone grise : le mémorandum ne dit pas clairement si les entreprises exécutent elles-mêmes les opérations ou si elles se bornent à fournir des capacités et à désigner des cibles.
Les corsaires, deux siècles plus tard
Le débat n’est pas neuf. Le hack back, c’est-à-dire la riposte informatique d’une victime contre son agresseur, agite Washington depuis une décennie. L’Active Cyber Defense Certainty Act, déposé au Congrès en 2017 puis en 2019 par le représentant Tom Graves, visait déjà à créer une exception au Computer Fraud and Abuse Act. Il n’a jamais été adopté. Plusieurs experts cités par CyberScoop rapprochent le nouveau programme des lettres de marque du XVIIIe siècle, qui déléguaient à des armateurs privés le droit de faire la guerre en mer.
Le contexte immédiat est plus prosaïque. En juillet et août 2026, des piratages attribués à des acteurs liés à l’Iran ont visé des réseaux d’eau potable du Minnesota, poussant le FBI à alerter des services d’eau dans sept États, selon NBC News. Le rapport annuel de l’Internet Crime Complaint Center du FBI chiffre à 20,8 milliards de dollars les pertes déclarées par les victimes américaines de cybercriminalité en 2025.
Le mémorandum ne désigne aucune entreprise. Les principaux acteurs américains du renseignement sur les menaces, de Microsoft à Google en passant par Amazon, Méta et Palantir Technologies figurent tous parmi les entreprises membres du Forum économique mondial.
Les experts ne s’accordent que sur le doute
Paul Rosenzweig, ancien sous-secrétaire adjoint chargé de la politique au département de la Sécurité intérieure, résume sa position en quatre mots. « C’est une mauvaise idée. » Michael Garcia, ancien responsable de l’agence américaine de cybersécurité CISA, aujourd’hui chez Monument Advocacy, pointe le risque d’erreur d’attribution : une frappe destinée à un groupe criminel peut atteindre l’infrastructure d’un État étranger. Robert Graham, dirigeant d’Errata Security, redoute l’érosion progressive de la supervision fédérale. Erica Lonergan, universitaire à Columbia, s’inquiète des flous sur l’évaluation des cibles, la réduction des risques et le contrôle.
Les partisans avancent l’argument de la parité. Joshua Steinman, ancien responsable cyber de la Maison-Blanche sous le premier mandat Trump, souligne que la Chine et la Russie pratiquent déjà ce type d’opérations à grande échelle. Ari Redbord, responsable des affaires publiques de TRM Labs, juge le dispositif transformateur. Kyle Hanslovan, dirigeant de la société de cybersécurité Huntress, plaide pour une coalition élargie de volontaires. Au département de la Sécurité intérieure, le sous-secrétaire adjoint Joseph Alm assume l’objectif : effrayer ceux qui s’en prennent aux Américains.
Restent les angles morts que personne ne comble. Le texte ne prévoit ni notification ni recours pour une organisation désignée à tort. Il ne dit rien de la saisie des avoirs ni de l’indemnisation des victimes. Il n’anticipe pas davantage la réaction d’États tiers qui pourraient sanctionner les entreprises participantes.
En France, la riposte reste au COMCYBER
De ce côté de l’Atlantique, la question est tranchée depuis longtemps. Le code pénal français punit l’accès et le maintien frauduleux dans un système de traitement automatisé de données à ses articles 323-1 et suivants, sans exception de légitime défense numérique. La Revue stratégique de cyberdéfense publiée en 2018 avait écarté explicitement la cyber-riposte confiée à des acteurs privés.
La répartition des rôles reste stricte. L’Agence nationale de la sécurité des systèmes d’information, l’ANSSI, exerce un mandat défensif : prévention, détection, réponse à incident, qualification de prestataires. La lutte informatique offensive relève du commandement de la cyberdéfense, le COMCYBER, sous autorité militaire et hors du territoire national. À l’échelle européenne, la directive NIS 2 impose aux entités essentielles et importantes des obligations de gestion des risques et de notification d’incidents. Elle n’ouvre aucun droit de riposte.
L’asymétrie est le vrai sujet. Les interdits posés par le mémorandum protègent les citoyens, les systèmes et les infrastructures américains. Ils ne mentionnent pas ceux des pays alliés. Une opération conduite depuis les États-Unis contre un serveur criminel hébergé en Europe se heurterait au droit national de l’État concerné, sans qu’aucun mécanisme de coordination ne soit prévu par le texte.
Les procédures opérationnelles attendues sous soixante jours diront si ce guichet reste étroit ou devient une porte. Washington vient de créer un statut sans nom : ni policier, ni soldat, ni pirate.