Trump autorise le hack back pour le secteur privé
Le président des États-Unis, Donald Trump, a signé le 12 août 2026 un mémorandum de sécurité nationale (NSPM) créant le premier programme formel de hack back privé outre-Atlantique. Ce texte permet aux sociétés de cybersécurité privées de mener des opérations offensives contre des groupes cybercriminels établis à l’étranger. Le National Coordination Center (NCC) administrera ce dispositif, sous l’autorité de deux directeurs exécutifs nommés respectivement par les départements de la Justice (DoJ) et de la Sécurité intérieure (DHS).
Une entreprise souhaitant participer devra obtenir un agrément, conclure un contrat avec le DoJ ou le DHS, puis recevoir une autorisation écrite avant chaque opération. Elle pourra alors recourir légalement à des techniques de cybersurveillance, y compris à l’aide d’un logiciel-espion, ainsi qu’à des cyberattaques visant à perturber ou saboter les infrastructures exploitées par des criminels.
Le NSPM définit également les cibles autorisées : des groupes criminels étrangers d’envergure menant des campagnes de rançongiciel, de hameçonnage, de sextorsion ou de fraude à l’investissement contre des victimes américaines. Ces activités auraient causé 20,8 milliards de dollars (18 milliards d’euros) de pertes en 2025. Le NSPM exclut formellement toute opération sortant de ce cadre, sous peine de sanctions pénales.
Dans son préambule, le mémorandum affirme que le secteur privé américain dispose « d’un avantage historiquement sous-utilisé », fondé sur une « profondeur technique » et une « vitesse opérationnelle » que le gouvernement ne peut égaler. Ce texte marque un revirement de la politique de la Maison Blanche : en mars 2026, le directeur national du cyber, Sean Cairncross, avait exclu tout recours à des campagnes offensives privées.
Plusieurs professionnels du secteur comparent ce programme aux lettres de marque accordées autrefois à des corsaires pour combattre des pirates étrangers. En normalisant le hack back privé, le dispositif crée un précédent susceptible de bouleverser les équilibres de la cybersécurité mondiale.
Ses défenseurs y voient une réponse opérationnelle au manque de moyens des agences gouvernementales pour lutter contre la cybercriminalité. Ses opposants pointent des risques d’escalade, allant de l’incident diplomatique aux représailles contre des intérêts américains.
Des juristes ont également relevé plusieurs lacunes dans le texte. Il ne prévoit ni règles précises sur la responsabilité en cas de dommages collatéraux à des tiers, ni critères permettant de déterminer quels groupes criminels étrangers peuvent relever du dispositif. Les règles précises du programme doivent être fixées dans les 60 jours.
Source : INCYBER NEWS
