Hack-back légalisé : Trump autorise les entreprises privées à riposter offensivement contre les cybercriminels étrangers
Cybersécurité 13/08/2026Ajouter aux favoris
Un mémo présidentiel mandate le National Coordination Center pour créer un programme de hack-back encadré. Les sociétés privées de cybersécurité pourront candidater à des autorisations d'attaques offensives contre des organisations criminelles étrangères.
(1) Quoi : un mémo exécutif qui formalise le hack-back privé
Un mémo signé par Donald Trump mandate le National Coordination Center (NCC) pour établir un programme permettant aux sociétés privées de cybersécurité de candidater à des autorisations d'opérations offensives contre des organisations criminelles étrangères. En clair : le hack-back - longtemps une zone grise légale aux États-Unis - obtient un cadre officiel, au moins en intention.
Le mémo ne donne pas accès immédiat au hack-back. Il demande au NCC de construire le programme, avec ses critères d'éligibilité, ses limites et ses contrôles.
(2) Qui est impacté
Côté entreprises de sécurité : celles qui travaillaient déjà dans une zone grise offensive (takedowns de Command & Control, disruption d'infrastructure criminelle, sinkholing) disposent maintenant d'un signal politique fort - et d'une possible voie de légitimation formelle.
Côté victimes : les cibles visées sont explicitement les "foreign cybercrime organizations" - groupes ransomware, fraude financière, etc. opérant depuis l'étranger. Les États-nations sont théoriquement exclus, mais la frontière entre criminalité organisée et acteurs étatiques est souvent poreuse (Russie, Corée du Nord, Iran).
Côté CFAA : le Computer Fraud and Abuse Act interdit historiquement toute action offensive contre des systèmes tiers, même en représailles. Un mémo exécutif peut créer un régime d'exception, mais ne modifie pas la loi elle-même. Une marge d'incertitude juridique subsiste.
(3) Que faire
La réaction de la communauté sécu reste divisée. Certains experts saluent la clarification des règles d'engagement ; d'autres s'inquiètent de l'absence de garde-fous explicites contre les opérations mal attribuées (et les dommages collatéraux sur des infrastructures partagées sont réels dans ce type d'opération).
Le Computer Fraud and Abuse Act (1986) érige en infédérale toute intrusion non autorisée dans un système tiers - même en représailles. Les tentatives législatives d'introduire un droit au hack-back (Active Cyber Defense Certainty Act, plusieurs versions depuis 2017) n'ont jamais abouti au Congrès. Le mémo Trump contourne ce blocage par voie exécutive, sans résoudre l'ambiguïté légale pour les entreprises agréées.
À faire maintenant :
- CISO et équipes sécu : pas d'action immédiate requise. Le programme n'existe pas encore - attendez la publication des orientations NCC avant d'envisager quoi que ce soit.
- Cabinets juridiques sécu : commencez à documenter vos opérations actuelles de "défense active" dans l'anticipation d'éventuels critères d'éligibilité.
- Ne prenez aucune initiative offensive sur la seule base de ce mémo - le cadre légal reste incomplet et le risque d'exposition CFAA demeure.
Ressources, à tester
Article produit par intelligence artificielle, relu sous contrôle éditorial humain.
