La Maison-Blanche a autorisé, le 12 août 2026, un programme inédit de hack-back cyber confié à des entreprises privées américaines : des sociétés dûment sélectionnées pourront mener, avec feu vert écrit du gouvernement, des opérations offensives contre des organisations cybercriminelles étrangères, y compris des actions capables de détruire des données et de mettre hors service des systèmes. Le dispositif est encadré de près : chaque mission devra être cosignée par le Department of Justice et le Department of Homeland Security, et les participants devront immobiliser au moins 1 million de dollars sur un compte d’escrow, perdu en cas d’infraction aux règles. Les premiers détails ont été rendus publics dans ce rapport sur l’autorisation de cyberattaques privées par la Maison-Blanche.
Le tournant est d’autant plus net qu’au printemps, l’administration assurait publiquement ne pas vouloir ouvrir cette porte. En mars 2026, Thomas Lind, alors conseiller principal à l’Office of the National Cyber Director, affirmait qu’il n’était pas question d’autoriser des offensives privées. Sean Cairncross, directeur national de la cybersécurité, tenait la même ligne. Cinq mois plus tard, Washington formalise l’inverse, dans un cadre qui ne crée pas un droit général de riposte pour les entreprises, mais un système de sous-traitance offensive placé sous contrôle fédéral.
Le hack-back cyber est autorisé, mais seulement comme mission sous contrôle de l’État
Le texte signé par Donald Trump est un National Security Presidential Memorandum intitulé Expanding Capabilities to Combat Transnational Cyber-Enabled Crime. Il s’appuie sur un National Coordination Center, le NCC, créé par l’Executive Order 14159 du 20 janvier 2025. C’est ce centre qui doit bâtir, gérer et maintenir le programme.
Le vocabulaire choisi par la Maison-Blanche est précis. Deux familles d’opérations sont prévues :
- Cyber Surveillance Operations : accès non autorisé à des systèmes étrangers afin de collecter du renseignement en restant non détecté ;
- Cyber Effects Operations : actions visant à perturber, dégrader, bloquer l’accès ou détruire des systèmes et des données.
Le point clé est là : les entreprises participantes pourront aller bien au-delà de la simple observation technique. Le mémo ouvre explicitement la voie à des actions destructrices, mais dans un schéma où l’entreprise agit pour le compte de l’État, pas en son nom propre. C’est aussi ce qui distingue ce programme des anciennes tentatives de légalisation du hack-back privé via une réforme du Computer Fraud and Abuse Act : cette fois, Washington ne modifie pas l’interdiction générale des intrusions non autorisées, il crée une voie dérogatoire sous supervision fédérale.
Pour le lecteur européen, cela rapproche le modèle américain d’une forme de « cyber-corsaires » sous mandat public. L’idée n’est pas sortie de nulle part : depuis le milieu des années 2010, plusieurs propositions de loi ont tenté d’autoriser des ripostes offensives limitées. Toutes ont achoppé sur les mêmes objections : risque d’erreur d’attribution, dommages collatéraux et escalade internationale. Le mémo du 12 août contourne cet échec législatif en passant par l’exécutif.
Des cibles limitées aux groupes criminels étrangers, pas aux opérateurs étatiques
Le programme vise des Cyber-Enabled Transnational Criminal Organizations, abrégées CE-TCO. Un groupe peut être ciblé tant qu’aucun renseignement clair n’établit qu’il fait institutionnellement partie d’un gouvernement étranger ou qu’il est entièrement dirigé par lui.
Cette nuance est essentielle. Les groupes de ransomware opérant avec la tolérance d’un État, sans contrôle formel direct, entrent dans le champ. Le rapport cite notamment le cas de l’écosystème ransomware installé en Russie. En revanche, les opérateurs directement intégrés à un appareil étatique sont exclus de ce programme et relèvent d’autres cadres.
Ce décalage apparaît dans le contexte qui a précédé le mémo. Des cyberattaques soupçonnées d’être d’origine iranienne ont visé des fournisseurs d’eau dans 45 municipalités américaines, principalement de petites villes. Certaines installations ont dû repasser en mode manuel. Dans le même temps, la CISA a diffusé une alerte urgente sur des hackers iraniens ciblant des automates programmables industriels dans l’eau et l’énergie. Politiquement, ces attaques ont nourri l’argument d’une posture plus offensive. Juridiquement, elles ne rentrent pourtant pas dans le périmètre normal du programme si leurs auteurs sont jugés liés à un État.
Le mémo fixe aussi une ligne rouge publique : les responsables du DOJ et du DHS ne peuvent pas approuver des opérations susceptibles d’entraîner des pertes humaines, des blessures graves, ou de constituer un usage de la force ou une attaque armée au sens du droit international. Le texte ne ferme toutefois pas totalement cette porte : l’autorité pour de telles opérations renvoie à une annexe classifiée. C’est l’une des zones les plus sensibles du dispositif.
Chaque entreprise devra déposer 1 million de dollars et obtenir un double feu vert DOJ-DHS
Le cadre opérationnel est pensé pour éviter l’image d’un Far West numérique. Les sociétés devront d’abord passer par une sélection rigoureuse menée par le DOJ et le DHS. Elles interviendront via des contrats formels avec l’un ou les deux ministères. Les règles d’éligibilité détaillées doivent encore être publiées, dans un délai de 60 jours, et le programme doit pouvoir accueillir à la fois de grands groupes et des structures plus spécialisées.
L’autre filtre est financier. Toute entreprise participante devra immobiliser au moins 1 000 000 de dollars sur un compte d’escrow. Si elle enfreint les règles du programme ou les clauses de son contrat, cette somme sera confisquée. Pour un acteur intermédiaire, c’est un ticket d’entrée dissuasif. Pour un géant du cloud ou de la cybersécurité, c’est surtout un marqueur symbolique de responsabilité.
Surtout, aucune opération ne pourra partir sur simple initiative privée. Chaque mission devra être approuvée au cas par cas par deux responsables, un au DOJ et un au DHS, via une autorisation écrite. L’entreprise devra présenter un plan opérationnel détaillant la cible, les objectifs, les méthodes techniques, les risques et les mesures de limitation. Le mémo impose en plus des procédures de déconfliction avec les forces armées et la communauté du renseignement pour éviter les interférences.
Le programme ajoute des obligations de transparence rarement mises en avant dans le débat public sur le hack-back. Les sociétés devront déclarer au NCC leurs autres contrats liés à des activités cyber offensives ou de renseignement. Elles devront aussi transmettre les informations utiles collectées sur les groupes visés. Et si une opération touche accidentellement une « U.S. person » ou un système situé sur le sol américain, l’arrêt doit être immédiat, avec notification aux autorités.
Autrement dit, les entreprises n’obtiennent pas un nouveau droit opposable devant les tribunaux. Elles reçoivent, éventuellement, une autorisation discrétionnaire de l’État pour exécuter certaines missions. On est plus près d’un outil de politique publique que d’une libéralisation du hack-back.
Un virage budgétaire et stratégique qui expose aussi les opérateurs privés
Le changement de doctrine s’inscrit dans un mouvement plus large. Le Congrès a fléché 1 milliard de dollars vers les opérations cyber offensives dans la loi de finances de l’année précédente. Dans le même temps, certains grands acteurs technologiques disaient déjà se préparer, depuis août 2025, à participer à des actions de perturbation contre des cybercriminels. Le terrain politique et industriel était donc prêt.
Reste une série de risques lourds. Jake Williams, vice-président R&D de Hunter Strategy, avertit que des Américains participant à ces opérations pourraient être considérés à l’étranger comme des « combattants non uniformés » lors de déplacements. La formule est brutale, mais elle résume bien le problème : ces employés agiraient avec l’aval de Washington sans bénéficier du statut des militaires réguliers.
À cela s’ajoutent les risques classiques des opérations offensives : infrastructures partagées avec des victimes collatérales, responsabilité internationale des États-Unis si une opération viole la souveraineté d’un autre pays, et effet d’entraînement si d’autres États décident à leur tour d’encadrer leurs propres « cyber-privateers ».
Vu de France, où le hack-back privé reste interdit, le programme américain pourrait tout de même avoir des effets concrets. Des opérations de disruption réussies contre des groupes ransomware actifs à l’international pourraient alléger la pression sur des collectivités, des hôpitaux ou des PME françaises. À l’inverse, des infrastructures criminelles hébergées sur des services partagés pourraient entraîner des perturbations indirectes pour des clients européens. Sur ces sujets, nos analyses cybersécurité sur TechPi suivront surtout les conséquences pratiques, bien plus que l’annonce politique.
Prochaine étape dans 60 jours : les vraies règles du jeu restent à publier
Le calendrier est désormais serré. Dans les 60 jours suivant le 12 août, le NCC, le DOJ et le DHS doivent publier les règles détaillées du programme : critères d’éligibilité, reporting, déconfliction et encadrement opérationnel. C’est ce texte d’application qui dira jusqu’où les entreprises pourront aller en pratique.
Il faudra aussi surveiller la manière dont Washington définira concrètement les CE-TCO, les premiers indices publics d’opérations menées sous ce nouveau cadre, et la réaction des pays servant de base à ces groupes criminels. C’est à ce moment-là que l’on saura si ce programme reste un outil de pression politique, ou s’il inaugure une nouvelle phase de l’offensive cyber américaine déléguée au privé.
