Cybersécurité : les approches offensives reviennent en force

Le président Donald Trump a publié la semaine dernière un mémorandum enjoignant aux départements de la Justice (DOJ) et de la Sécurité intérieure (DHS) de créer un programme permettant à des entreprises vérifiées de pénétrer les groupes criminels pour les espionner ou pour saboter leurs opérations.

Selon Donald Trump, ce programme devrait aider les États-Unis à une cybercriminalité toujours très active contre le pays. Ce dernier figure occupe toujours la première marche du podium des victimes de rançongiciel.

Cette nouvelle politique représente une expansion spectaculaire du rôle du secteur privé dans les opérations cyber offensives contre les adversaires américains et brouille considérablement la frontière entre les activités de politique étrangère du gouvernement et les activités commerciales des entreprises. Bien que le programme se concentre sur les gangs criminels et non sur les États souverains, il marque le plus grand pas que le gouvernement américain ait jamais franchi vers un monde où les entreprises « ripostent » contre les gouvernements étrangers au nom des États-Unis.

De nombreux experts en cybersécurité ont vivement critiqué le concept de riposte numérique (hack-back), affirmant qu'il crée des risques d'escalade inacceptables et pourrait exposer les entreprises privées au type de rétorsion militaire étrangère auparavant réservé aux fonctionnaires gouvernementaux. Mais l'administration Trump a adopté des mesures agressives pour affronter les groupes criminels transnationaux, faisant preuve d'une moindre inquiétude quant aux dommages collatéraux potentiels.

La Maison Blanche a accordé 60 jours au DHS et au DOJ pour établir les procédures opérationnelles du programme, y compris les normes pour la participation des entreprises, les procédures de désaccord avec les militaires et de la communauté renseignement, ainsi que les exigences pour que les participants signalent les informations utiles qu'ils acquièrent sur les activités des gangs criminels.

Le mémorandum indique que le programme doit assurer « la participation à la fois de grandes entreprises, qui fournissent une capacité critique, et de plus petites entreprises, plus agiles, qui peuvent être mieux adaptées aux tâches spécialisées ou discrètes ». Mais il n'est pas exempt de risques juridiques, voire géopolitiques.

Ainsi, le mémorandum stipule que les entreprises ne peuvent pirater que des groupes criminels étrangers qui « ne sont pas une partie institutionnelle d'un gouvernement étranger ou qui n'est pas entièrement géré sous la direction d'un gouvernement étranger », mais il ajoute également qu'un groupe criminel sera présumé ne pas remplir ces conditions « à moins qu'un renseignement clair n'établisse un tel lien ». Et dans le domaine du rançongiciel, la ligne est déjà floue depuis plusieurs années.

Parallèlement, le gouvernement allemand a approuvé une réforme majeure accordant aux services de renseignement (BND et BfV) des pouvoirs considérablement élargis pour lutter contre les menaces hybrides modernes.

Cette réforme autorise les agents à mener des opérations cyberactives, notamment l’infiltration et la perturbation d’infrastructures informatiques étrangères, en ciblant tout particulièrement les menaces russes.

Cet élargissement vise à contrer les menaces accrues émanant de la Russie et d’autres acteurs étrangers, mais il reste soumis à un examen parlementaire et à un débat national concernant les libertés civiles et les préoccupations en matière de vie privée.

Motivée par des incidents de sécurité récents, tels que la découverte d’un drone piégé à l’aéroport de Leipzig/Halle, la réforme a été présentée comme le passage d’une surveillance passive au déploiement de contre-mesures actives, bien que les actions létales restent interdites.

La réforme n’est pas encore entrée en vigueur, dans l’attente de son adoption par le Bundestag.