Combattre les cyberpirates avec des "corsaires", le pari risqué des Etats-Unis

Des corsaires du XVIIIe siècle aux hackers sous contrat fédéral: les Etats-Unis vont autoriser des entreprises privées à pirater les groupes cybercriminels étrangers, un dispositif jugé sans équivalent qui partage les experts, entre espoir d'efficacité et crainte d'un engrenage incontrôlable.

Le mémorandum, signé mercredi par Donald Trump, charge les ministères de la Justice et de la Sécurité intérieure d'un programme inédit: des entreprises américaines, agréées et liées par contrat, pourront espionner et attaquer des organisations criminelles transnationales.

La Maison Blanche justifie son projet par les dommages des rançongiciels, de la "sextorsion" et des fraudes en ligne, qui auraient coûté, selon elle, 20,8 milliards de dollars aux Américains en 2025.

Le texte prévoit d'autoriser les partenaires privés à mettre hors service les serveurs des pirates ou infiltrer durablement leurs machines avec des logiciels espions.

Chaque opération nécessitera une pré-autorisation du gouvernement et les entreprises devront déposer une caution d'au moins un million de dollars. Toute action risquant de causer des morts ou des blessés est exclue, ainsi que tout ce qui atteindrait le seuil de l'"usage de la force" en droit international.

"Le secteur privé détient les données. Le secteur public détient les pouvoirs. Ce mémorandum les réunit", se félicite auprès de l'AFP Ari Redbord, ancien procureur fédéral devenu responsable des affaires publiques de TRM Labs, société d'analyse qui travaille avec les autorités américaines.

Il assume la comparaison historique: des "lettres de marque cyber", du nom des licences qui autorisaient jadis des navires privés, les corsaires, à attaquer les ennemis de leurs souverains.

L'analogie inquiète en partie Alan Woodward, professeur de cybersécurité à l'université de Surrey (Royaume-Uni), pour qui les licences des Etats n'ont jamais garanti la docilité des corsaires: "On peut distribuer des commissions. On ne peut pas distribuer l'obéissance", dit-il à l'AFP.

"Le verdict de l'Histoire sur les corsaires n'est pas qu'ils étaient immoraux. C'est qu'ils ont fini par causer plus d'ennuis, et que le jeu n'en valait plus la chandelle."

Faux procès, répond Ari Redbord: le système de Surcouf, le corsaire français, et de ses homologues britanniques ou néerlandais, a échoué "parce qu'il n'existait aucun moyen de surveiller un navire une fois sorti du port. La supervision, qui s'arrêtait au quai, accompagne désormais l'opération du début à la fin".

Volte-face inexpliquée

Le programme constitue pourtant une volte-face. En mars, un haut conseiller de la Maison Blanche assurait que l'administration n'avait "aucune envie de combattre les pirates avec des pirates", selon le média The Record. Et le directeur national du cyber, Sean Cairncross, excluait toute campagne offensive menée par le privé.

Ce revirement en cinq mois n'a encore reçu aucune justification officielle. "Je ne sais pas comment répondre", reconnaît auprès de l'AFP Jason Healey, chercheur à l'université Columbia et historien du cyberconflit.

Pour cet ancien de la Maison Blanche, le programme n'a toutefois rien d'un chèque en blanc: vérifications, contrats, approbations, "tout cela est adossé à l'Etat de droit", contrairement aux hackers que tolèrent ou pilotent la Russie, la Chine ou l'Iran.

Son inquiétude est ailleurs: "cette administration a systématiquement affaibli les organes qui pourraient exercer cette supervision", dit-il, citant le renseignement national et le limogeage du directeur de la NSA.

Quant au risque de représailles russes, il balaie: "Je me fiche que Poutine juge impoli qu'on démantèle un groupe qui attaquait des hôpitaux pendant une pandémie!"

Les géants américains de la tech pratiquent déjà une large activité cyber, mais sous contrôle judiciaire: Microsoft fait démanteler des infrastructures criminelles par décision de justice depuis quinze ans, Google mène ses propres opérations, mais uniquement sur ses propres infrastructures.

Le programme leur permettrait d'aller au-delà, sans supervision judiciaire, seulement étatique.

Sollicités par l'AFP sur leur intention d'y participer, Google n'a pas donné suite et Microsoft a fait savoir qu'il était trop tôt pour commenter, le mémorandum étant encore à l'étude.

Une prudence que M. Woodward comprend: une entreprise participante "cesse d'être un simple spectateur" aux yeux de ceux qu'elle attaque, et doit s'attendre à un ciblage direct "de ses propres réseaux, de ses dirigeants et de ses employés".

Les règles précises du programme, dont une annexe restera classifiée, doivent être fixées d'ici 60 jours.

D'ici là, chaque camp a son critère. M. Woodward redoute "une lente accumulation de cibles mal attribuées, de poursuites à l'étranger et de migraines diplomatiques". M. Redbord fixe la barre ailleurs: "Si les victimes ne récupèrent pas leur argent, le reste ne compte pas pour grand-chose."