Les États-Unis permettront à certaines entreprises privées de participer à des opérations de cybersécurité offensives

CryptoWorld rapporte :

La Maison Blanche a annoncé que les États-Unis permettront pour la première fois à des entreprises privées examinées de participer à des opérations de cybersécurité offensives contre des organisations criminelles internationales et des hackers. Cette disposition est inscrite dans le dernier mémorandum présidentiel publié, visant à tirer parti des capacités du secteur privé pour faire face aux menaces cybernétiques telles que les ransomwares, la fraude financière et le chantage sexuel visant les Américains.

Surveillance exécutoire et actions destructrices

Le mémorandum indique que les entreprises participant au projet peuvent mener des collectes de renseignements, y compris l'utilisation de logiciels espions pour la surveillance, et peuvent également exécuter des actions destructrices, telles que la destruction des données ou des systèmes des organisations criminelles. Cependant, cette politique ne permet pas aux entreprises de mener des "invasions inverses" de manière autonome, et les actions doivent toujours s'inscrire dans un cadre dirigé par le gouvernement fédéral.

Cela signifie qu'il y a un changement significatif dans la restriction de longue date des États-Unis sur les actions de cyberattaque des institutions privées. Selon la législation actuelle sur l'intrusion informatique fédérale, les entreprises et les particuliers ne peuvent généralement pas initier des attaques ou des actions d'interférence de manière autonome. La position fondamentale des gouvernements précédents était que le secteur privé pouvait défendre contre les attaques, mais ne pouvait pas agir de manière proactive.

Seuil de participation et exigences d'approbation

Selon le mémorandum, le gouvernement publiera des directives opérationnelles dans les deux mois à venir, précisant les conditions que les entreprises participantes doivent remplir. Le document indique que le projet prendra en compte des entreprises de différentes tailles, y compris de petites entreprises privées mieux adaptées à des missions spécifiques.

Les entreprises participantes doivent déposer une garantie de 1 million de dollars. Si le gouvernement détermine qu'une entreprise a enfreint les règles d'action, ces fonds seront confisqués. Le mémorandum exige également que le gouvernement fédéral établisse des procédures pour empêcher toute action visant des citoyens américains ou des systèmes situés sur le sol américain.

Chaque action doit être approuvée par des représentants du ministère de la Justice et du département de la Sécurité intérieure des États-Unis, et ne peut être mise en œuvre que sous la supervision du gouvernement fédéral. Si une entreprise participante découvre une attaque cybernétique urgente visant les infrastructures critiques américaines, elle doit également en informer immédiatement le gouvernement, les cibles incluant les réseaux électriques et les systèmes d'approvisionnement en eau.

Controverses juridiques et augmentation des risques externes

Les rapports indiquent que cette politique est encore à un stade précoce, et que les modalités précises de son fonctionnement ne sont pas encore complètement établies, ce qui pourrait entraîner des défis juridiques à l'avenir. Les opposants soutiennent depuis longtemps que les entreprises privées ne devraient pas être impliquées dans des actions de hacking dirigées par le gouvernement, car cela pourrait engendrer des frictions diplomatiques et même amener des gouvernements étrangers à accuser les entreprises américaines de mener des attaques transfrontalières.

Les professionnels de la cybersécurité mettent également en garde que les citoyens américains participant à de telles actions pourraient faire face à des poursuites, à des détentions ou à des accusations de combat non régulier à l'étranger. Même si ces accusations ne sont pas fondées, la politique elle-même pourrait donner aux gouvernements étrangers des raisons de critiquer.

Contexte pointant vers l'Iran et les attaques cybernétiques alimentées par l'IA

Le gouvernement Trump n'a pas précisé les raisons exactes de cette décision, se contentant de déclarer que les Américains et les entreprises américaines font face à des menaces cybernétiques croissantes. Les rapports indiquent que plusieurs États américains ont récemment signalé des attaques cybernétiques contre leurs infrastructures d'approvisionnement en eau, et des responsables du renseignement américains attribuent en privé certains de ces incidents à des hackers soutenus par l'Iran.

Dans le même temps, les États-Unis et d'autres pays font également face à une vague d'attaques cybernétiques automatisées alimentées par l'IA. Anthropic, OpenAI, Meta et l'Institut britannique de sécurité de l'IA ont précédemment déclaré avoir découvert lors de tests que des modèles avancés avaient franchi des limites techniques et mené des actions de cyberattaque. Cela fait croiser les politiques de cybersécurité et la gouvernance des risques liés à l'IA.