Trump légalise le hack-back cyber pour les firmes privées

Un mémorandum qui redéfinit les règles du hack-back cyber

Le 12 août 2026, le président Donald Trump a signé un mémorandum présidentiel de sécurité nationale (National Security Presidential Memorandum, NSPM) instituant le premier programme formel des États-Unis permettant à des entreprises privées de cybersécurité de conduire des opérations offensives contre des groupes criminels basés à l'étranger. Ce texte constitue l'aboutissement opérationnel d'un processus engagé dès le 6 mars 2026 avec l'Executive Order 14390, qui avait enjoint les agences fédérales à élaborer des plans d'action contre la cybercriminalité transnationale ciblant des citoyens américains.

Le dispositif sera administré par le National Coordination Center (NCC), un organe rattaché à la Homeland Security Task Force et codirigé par deux directeurs exécutifs nommés respectivement par le Département de Justice (DOJ) et le Département de la Sécurité Intérieure (DHS). Cette gouvernance bicéphale assure une double supervision : judiciaire et sécuritaire. Les entreprises souhaitant participer doivent d'abord être agréées, puis signer un contrat avec le DOJ ou le DHS, et enfin obtenir une autorisation écrite préalable pour chaque opération ciblant une organisation précise. Aucune initiative autonome n'est tolérée en dehors de ce cadre formel.

Concrètement, le NSPM autorise les sociétés participantes à mener deux catégories d'actions : des opérations de cyber-surveillance (collecte de renseignements sur les réseaux adverses) et des opérations à effets cyber (perturbation ou sabotage d'infrastructures criminelles). Les organisations visées sont les transnational criminal organizations (TCOs) qui conduisent depuis l'étranger des campagnes de ransomware, de phishing, de sextorsion et de fraudes aux investissements contre des victimes américaines. Selon les données citées par BleepingComputer et Help Net Security, ces escroqueries ont généré 20,8 milliards de dollars de pertes pour les Américains en 2025, principalement via des réseaux opérés depuis la Birmanie, le Cambodge et la Thaïlande où des milliers de travailleurs forcés exécutent ces fraudes à grande échelle.

Le cadre opérationnel est strictement encadré. Toute action doit cesser immédiatement si elle dépasse son périmètre autorisé. Des procédures de minimisation de l'exposition aux données non pertinentes doivent être appliquées. Le NCC doit être notifié en temps réel de tout incident, à charge pour lui d'en informer le DOJ. Les entreprises peuvent nouer des relations commerciales avec d'autres entités privées partageant des renseignements, ainsi qu'avec des agences locales, tribales ou territoriales identifiant des cibles — mais toutes ces relations commerciales doivent être déclarées au NCC. Les sociétés agissant sans autorisation préalable restent pleinement exposées aux sanctions civiles et pénales du Computer Fraud and Abuse Act (CFAA), dont les peines peuvent atteindre dix ans d'emprisonnement pour les infractions intentionnelles.

Le préambule du mémorandum affirme que le secteur privé américain possède un avantage cyber offensif critique historiquement sous-utilisé, et que le gouvernement ne peut égaler la profondeur technique ni la vitesse opérationnelle des meilleures firmes de cybersécurité privées. Cet argument, rapporté par SecurityWeek et Infosecurity Magazine, constitue une reconnaissance officielle sans précédent de la supériorité capacitaire du secteur privé dans le domaine offensif — une admission que peu d'agences gouvernementales auraient formulée publiquement par le passé.

La mesure a été largement couverte le 13 août 2026 par BleepingComputer, The Record (Recorded Future News), CyberScoop, SecurityWeek et Infosecurity Magazine. Plusieurs analystes ont souligné la parenté symbolique avec les lettres de marque de l'ère coloniale, par lesquelles les États autorisaient des corsaires à attaquer des navires ennemis. La comparaison est imparfaite — le cadre juridique, la transparence et la supervision fédérale sont incomparablement plus développés — mais elle illustre la nature de la délégation consentie : une mise à disposition d'une capacité coercitive étatique à des acteurs non gouvernementaux sous mandat exprès.

Les réactions du secteur sont contrastées. Les partisans du programme font valoir que les agences fédérales manquent chroniquement de ressources humaines spécialisées dans les opérations cyber offensives, et que les firmes privées de threat intelligence et de red-teaming disposent de compétences que l'État peine à recruter dans un marché du travail extrêmement tendu. Les critiques, exprimés notamment dans CyberScoop, portent sur le risque d'escalade : des opérations contre des groupes criminels hébergés dans des États souverains — même non coopératifs — peuvent créer des incidents diplomatiques ou provoquer des représailles contre des intérêts américains ou alliés.

Le mémorandum présente par ailleurs plusieurs lacunes que des juristes spécialisés ont immédiatement relevées. Il ne précise pas de mécanisme explicite de responsabilité en cas de dommages collatéraux subis par des tiers innocents dont les systèmes auraient été affectés lors d'une opération. Il reste également silencieux sur les critères précis permettant de qualifier une organisation de TCO éligible, laissant une latitude interprétative susceptible d'être élargie dans le temps selon les priorités politiques du gouvernement en place. TechTimes et IBTimes UK ont souligné ces zones grises dans leurs analyses du texte publié par la Maison Blanche.

Quand l'État délègue sa capacité coercitive au secteur privé

La décision de Washington s'inscrit dans une tendance structurelle : la privatisation progressive des capacités cyber offensives par les démocraties occidentales. Israël, le Royaume-Uni et plusieurs États d'Europe du Nord font depuis longtemps appel à des contractants privés pour des missions de renseignement cyber et de perturbation active. L'originalité de la démarche américaine tient à sa formalisation publique et à sa base exécutive affichée, ce qui la distingue des pratiques habituellement discrètes de sous-traitance offensive.

Historiquement, le débat sur le hack-back légal n'est pas nouveau aux États-Unis. Dès 2017, le projet Active Cyber Defense Certainty Act (ACDC) avait tenté d'ouvrir une brèche dans le CFAA pour autoriser des contre-attaques proportionnées par les victimes elles-mêmes. Ce texte n'avait jamais abouti, victime de l'opposition des agences gouvernementales redoutant une prolifération d'incidents inter-étatiques. Le NSPM 2026 contourne cette impasse en maintenant le monopole de l'autorisation au niveau fédéral, tout en mobilisant les capacités techniques du secteur privé — un compromis politique habile dont les effets pratiques restent à évaluer dans la durée.

Pour les organisations françaises et européennes, l'impact est indirect mais réel. D'une part, les infrastructures criminelles ciblées par le programme américain sont souvent les mêmes qui mènent des campagnes contre des victimes européennes : un démantèlement réussi d'un réseau de fraude aux cryptomonnaies basé en Asie du Sud-Est protège indirectement les entreprises et particuliers français. D'autre part, si des opérations mal encadrées affectent des systèmes transitant par des juridictions européennes, des conséquences juridiques pourraient se répercuter sur des entreprises européennes partenaires de firmes américaines agréées.

La question de la réciprocité est également centrale. En normalisant le hack-back privé, les États-Unis fournissent un argument que des régimes moins scrupuleux pourraient invoquer pour légitimer leurs propres opérations contre des entreprises ou des infrastructures occidentales. La régulation internationale du cyberespace reste profondément fragmentée, et ces mesures unilatérales compliquent les efforts de définition de normes communes au sein du Groupe d'experts gouvernementaux de l'ONU (GGE). L'Union européenne, qui développe sa propre politique de cyber-diplomatie dans le cadre de la Cyber Diplomacy Toolbox, devra prendre position sur ce précédent dans les prochains mois.

Ce qu'il faut retenir

• Le NSPM du 12 août 2026 crée le premier programme américain formel autorisant des firmes privées agréées à mener des opérations cyber offensives contre des groupes criminels étrangers, sous supervision stricte du NCC, du DOJ et du DHS.
• Chaque opération requiert une autorisation écrite préalable et spécifique ; les actions non autorisées restent punissables sous le Computer Fraud and Abuse Act.
• Ce précédent redéfinit les équilibres de la cybersécurité internationale et soulève des questions durables sur l'escalade, la responsabilité des dommages collatéraux et la normalisation mondiale du hack-back privé.