США планируют легализовать кибератаки частных компаний на зарубежные серверы по указу Трампа

Quelque part, bientôt, un ingénieur salarié d’une entreprise américaine recevra peut-être l’autorisation écrite de pénétrer dans un serveur étranger. Pas pour le protéger. Pour l’espionner, le perturber ou le détruire au nom du gouvernement des États-Unis. Le mémo signé le 12 août par Donald Trump donne à cette scène les habits propres du contrat, du contrôle administratif et de la lutte contre le crime. Il ressuscite pourtant une figure beaucoup plus ancienne: le corsaire, acteur privé auquel l’État prête un morceau de sa puissance. Le texte ne permet pas à chaque société victime d’une cyberattaque de rendre les coups. Il crée un programme réservé à des entreprises américaines sélectionnées, placées sous le contrôle fédéral et liées par contrat aux départements de la Justice ou de la Sécurité intérieure. Deux directeurs doivent approuver par écrit chaque opération. Voilà le meilleur argument des promoteurs du dispositif: mieux vaut une offensive encadrée qu’un «hack back» improvisé dans l’arrière-boutique d’une multinationale. Cette prudence affichée ne dissipe pas le premier danger: l’erreur. Une infrastructure criminelle ne porte pas de pavillon noir. Elle peut emprunter une machine compromise, un service cloud partagé ou les ressources d’un tiers qui ignore tout de l’attaque. Le mémo prévoit l’arrêt d’une opération qui toucherait par mégarde une personne ou un système américain. Il n’accorde pas, dans sa partie publique, la même attention explicite au serveur d’une entreprise luxembourgeoise, d’une banque européenne ou d’une administration alliée. Le deuxième risque tient à l’attribution. Washington définit les organisations visées et présume qu’un groupe étranger n’appartient pas à un gouvernement, sauf renseignement clair établissant le contraire. La logique mérite d’être lue deux fois. Dans un domaine où les attaquants dissimulent leurs traces et utilisent des intermédiaires, l’absence de preuve d’un lien étatique devient le point de départ d’une action privée autorisée. Une erreur ne produirait pas seulement une panne. Elle pourrait déclencher une escalade entre États. Le Luxembourg ne se trouve pas à l’abri parce que le programme recrute des sociétés américaines. Sa place financière dépend de clouds, de réseaux et de prestataires internationaux; la localisation technique d’une donnée, son propriétaire et son utilisateur relèvent rarement du même territoire. Une opération décidée à Washington peut donc traverser une chaîne de fournisseurs avant d’atteindre sa cible. Un acteur luxembourgeois innocent pourrait subir une interruption, une perte de données ou une riposte dirigée contre une infrastructure partagée. Le droit ajoute une autre frontière. L’Union européenne impose aux États membres de sanctionner l’accès intentionnel et illégal à un système d’information; le Luxembourg a transposé ce cadre dans sa législation pénale. Une autorisation américaine ne devient pas, par magie diplomatique, une autorisation luxembourgeoise. Le mémo affirme que le programme respectera les obligations internationales des États-Unis. Mais les procédures de sélection des cibles, de coordination interministérielle et de prévention des conflits figurent en partie dans une annexe classifiée. Le contrôle existe; le public et les alliés ne peuvent pas en mesurer la solidité. Les défenseurs du projet rappelleront, avec raison, que les rançongiciels (de l’anglais «ransonware», logiciel de rançon) ruinent des entreprises, paralysent des hôpitaux et prospèrent derrière des frontières complaisantes. Ils souligneront aussi que la puissance publique conservera la direction des opérations et que les conséquences assimilables à l’emploi de la force ne pourront pas être approuvées par les deux directeurs du programme. L’inaction possède, elle aussi, un prix. Reste une différence essentielle entre acheter une compétence et louer la violence. Une entreprise répond à un contrat, protège ses méthodes, cherche des marchés et mesure sa réussite à des résultats. L’État, lui, devrait répondre devant le droit, ses alliés et les citoyens des actes accomplis en son nom. En installant des prestataires privés dans cet espace, Washington ne supprime pas sa responsabilité. Il allonge seulement la chaîne qui permet de la retrouver. Les corsaires naviguaient avec une lettre de marque et promettaient de frapper les ennemis du souverain. Ils ont aussi brouillé pendant des siècles la limite entre guerre, commerce et piraterie. La technologie a changé. La tentation, elle, possède une mémoire remarquable.