Corsaires numériques : quand la Maison-Blanche externalise l’offensive cyber au secteur privé

Executive summary

Le National Security Presidential Memorandum (NSPM) « Expanding Capabilities to Combat Transnational Cyber-Enabled Crime » du 12 août 2026 [1][2] crée un programme fédéral permettant à des entreprises américaines sélectionnées de mener deux catégories d’opérations contre des organisations criminelles transnationales : la surveillance cyber (intrusion clandestine à fin de renseignement) et les « effets cyber » (perturbation, dégradation ou destruction de systèmes). Le programme est piloté par le National Coordination Center (NCC) sous double tutelle du Department of Justice (DOJ) et du Department of Homeland Security (DHS), chaque opération exigeant une approbation écrite préalable ; le texte autorise les deux départements à faire du dépôt d’une caution d’au moins un million de dollars une condition contractuelle de participation [1][3].

Ce mémorandum est le troisième acte d’une doctrine déployée depuis mars 2026 : la Cyber Strategy for America, dont le premier pilier « Shape Adversary Behavior » promettait de mobiliser le privé contre les réseaux adverses [8][9], puis l’Executive Order 14390 du 6 mars ciblant la cybercriminalité et les « scam centers » [6]. La cohérence de la séquence rend d’autant plus notable un revirement : en mars, des responsables de l’Office of the National Cyber Director excluaient publiquement toute opération offensive privée. Cinq mois plus tard, l’option écartée devient le programme, sans justification publique du renversement [3].

Le point de fragilité est juridique. Plutôt que de faire modifier par le Congrès le Computer Fraud and Abuse Act (CFAA) de 1986, qui interdit l’accès non autorisé à un système informatique, le mémorandum structure les entreprises comme des délégataires des forces de l’ordre fédérales pour les faire entrer dans l’exemption de la section 1030(f). Les juristes de Jenner & Block relèvent qu’aucune décision de justice n’a examiné si cette exemption protège des entités privées agissant pour le compte du gouvernement [4] ; le cabinet Crowell & Moring souligne que le texte revendique une immunité pénale fédérale mais n’offre aucun bouclier de responsabilité civile pour les dommages collatéraux [12].

L’enjeu européen tient à la définition de la cible. Un groupe étranger est présumé non-étatique sauf renseignement clair établissant le contraire, ce qui place l’écosystème rançongiciel toléré par certains États dans le périmètre, et les attaquants directement pilotés par un État hors du périmètre [1][3]. Les infrastructures de ces groupes étant fréquemment hébergées dans des juridictions tierces, y compris européennes, des opérateurs commerciaux américains pourraient y conduire des opérations d’effets : le texte prévoit des procédures d’arrêt et de minimisation pour les seules personnes et systèmes américains [1]. Ce dispositif est l’exact inverse du modèle français, où la riposte offensive est un monopole militaire et où la loi écarte explicitement les entreprises [15][16].

Note méthodologique

Cet article distingue quatre registres : les faits établis (contenu littéral des textes publiés), les lectures analytiques (interprétation de ces textes à la lumière du droit et des précédents), les inférences raisonnées (hypothèses au conditionnel) et les paris éditoriaux, assortis de critères de vérification datés. La question de savoir si la section 1030(f) couvre des délégataires privés est une question ouverte que cet article ne prétend pas trancher : il rapporte l’état du débat en attribuant chaque position à sa source. Aucune intention n’est prêtée aux acteurs nommés ; seuls les effets observables et les dispositions littérales sont décrits.

I. Anatomie du mémorandum : ce que le texte dit exactement

Le mémorandum confie la création et la gestion du programme au National Coordination Center, structure logée au sein du Homeland Security Task Force et créée par la section 6(d) de l’Executive Order 14159 de janvier 2025, un décret consacré à l’immigration [1]. Ce détail d’architecture mérite d’être noté : l’instrument de coordination de la lutte contre la cybercriminalité transnationale hérite d’une structure conçue pour un tout autre objet.

Le programme est dirigé par deux « Program Executive Directors », l’un désigné par l’Attorney General, l’autre par le secrétaire à la Sécurité intérieure. Chaque opération requiert leur approbation écrite préalable, après coordination mutuelle. Les contrats conclus avec le DOJ ou le DHS organisent la sélection des entreprises : vérification rigoureuse, exigences de compétence technique, et faculté pour les deux départements d’imposer comme condition contractuelle le dépôt d’une caution ou d’une garantie d’au moins un million de dollars, perdue en cas de manquement aux règles du programme [1][3].

Le texte définit précisément les deux types d’opérations autorisées.

Le seuil d’exclusion est défini par la notion de « Critical Outcomes » : opérations susceptibles de causer la perte de vies humaines ou des blessures graves, ou d’atteindre le niveau de « l’usage de la force » ou de « l’attaque armée » au sens du droit international. Point notable : le mémorandum n’interdit pas absolument de telles opérations ; il retire aux deux directeurs le pouvoir de les approuver, l’autorité correspondante étant renvoyée à une annexe classifiée [1][3]. La ligne rouge existe, mais son régime exact demeure opaque.

II. La cible : une définition qui déplace la frontière

Le cœur stratégique du texte réside dans sa définition de la cible. Une « Cyber-Enabled Transnational Criminal Organization » (CE-TCO) est tout groupe étranger conduisant de la cybercriminalité contre le gouvernement, des personnes ou des intérêts américains, et qui n’est ni une composante institutionnelle d’un gouvernement étranger, ni entièrement opéré sous sa direction. La clause décisive est la présomption qui l’accompagne : un groupe sera présumé non-étatique, sauf si des renseignements clairs établissent ce lien [1]. La charge de la preuve est inversée.

Cette construction a une conséquence directe, relevée par la presse spécialisée : l’écosystème des rançongiciels russophones, qui opère fréquemment avec la tolérance d’un État sans en être l’émanation formelle, tombe précisément dans le périmètre du programme [3][4]. À l’inverse, les groupes directement pilotés par un appareil d’État en sont exclus, ce qui produit un paradoxe temporel : le mémorandum a été signé après des cyberattaques attribuées à des acteurs iraniens contre les fournisseurs d’eau de 45 municipalités américaines, alors que des hackers pilotés par un État sortent, par construction, du champ des cibles autorisées [3].

Pour un observateur européen, l’implication la plus sensible est territoriale. Les infrastructures de ces groupes, serveurs de commande, relais, machines compromises, sont fréquemment hébergées dans des pays tiers. Une opération d’effets conduite par une entreprise américaine pourrait donc toucher des systèmes situés sur le territoire d’un État allié. Or le texte n’organise de procédure d’arrêt, de minimisation et de notification qu’en cas de découverte du ciblage d’une personne américaine ou d’un système situé aux États-Unis ; il ne prévoit rien d’équivalent pour les systèmes situés dans des juridictions alliées, la conformité aux obligations internationales n’étant invoquée qu’en termes généraux [1].

III. Trois actes, une doctrine, un revirement

Le mémorandum est l’aboutissement d’une doctrine formulée par étapes depuis le début de l’année 2026.

Le premier acte est la Cyber Strategy for America, publiée début mars. Son premier pilier, « Shape Adversary Behavior », fait passer la posture américaine de « défendre et récupérer » à « dissuader et perturber », et annonce l’intention d’inciter le secteur privé à identifier et perturber les réseaux adverses [8][9]. Le deuxième acte est l’Executive Order 14390 du 6 mars, publié le même jour : il ordonne une revue interagences des outils contre les organisations criminelles transnationales, un plan d’action sous 120 jours, une cellule opérationnelle au sein du NCC et un programme de restauration des victimes financé par les avoirs saisis [6][7]. Le mémorandum du 12 août opérationnalise l’implication du privé annoncée en mars.

La justification officielle est chiffrée, mais elle appelle une précision de périmètre. Le fact sheet de mars indique que les consommateurs américains ont déclaré plus de 12,5 milliards de dollars de pertes liées à la fraude cyber en 2024 [7] ; celui d’août avance 20,8 milliards de pertes liées à la cybercriminalité en 2025 [2]. Ces deux chiffres ne mesurent ni le même périmètre ni la même année : le premier porte sur la seule fraude déclarée par les consommateurs, le second sur l’ensemble de la cybercriminalité déclarée au FBI. Leur juxtaposition dans les documents officiels successifs ne décrit donc pas une progression homogène. À périmètre constant, celui des rapports annuels de l’Internet Crime Complaint Center (IC3), les pertes déclarées passent de 16,6 milliards en 2024 à 20,877 milliards en 2025, soit une hausse de 26 % [10].

La séquence rend d’autant plus notable le revirement doctrinal. En mars, Thomas Lind, alors conseiller principal à l’Office of the National Cyber Director, déclarait que l’administration n’avait pas l’intention d’autoriser des opérations offensives privées : « Nous ne sommes pas intéressés par l’idée de combattre des pirates avec des pirates. » Le directeur national du cyber, Sean Cairncross, précisait la même semaine que les campagnes offensives privées n’étaient pas ce que l’administration entendait en sollicitant l’aide de l’industrie [3]. Ce renversement en cinq mois n’a, à ce stade, reçu aucune justification publique détaillée.

IV. Le point de fragilité : une base juridique jamais testée

Depuis 1986, le CFAA criminalise l’accès non autorisé à un système informatique, ce qui a maintenu le hack-back privé hors-la-loi : même une entreprise ripostant à une attaque tombait sous le coup de la loi. Le débat législatif est resté une impasse ; l’Active Cyber Defense Certainty Act du représentant Tom Graves, déposé en 2017 puis en 2019, n’a jamais atteint le vote en séance [11].

Le mémorandum contourne l’impasse sans toucher à la loi. Sa section 2(b) dispose que toutes les activités du programme sont conduites en conformité avec les lois applicables, « y compris la section 1030 du titre 18 », et que les entreprises agissent « sous le contrôle et la supervision du gouvernement des États-Unis », dans le cadre des « opérations d’enquête, de protection ou de renseignement légalement autorisées » des forces de l’ordre fédérales [1]. Cette formulation reprend presque mot pour mot l’exemption de la section 1030(f). La théorie est celle que les juristes Jeremy et Ariel Rabkin défendaient de longue date : la possibilité pour le gouvernement de députer des entreprises de cybersécurité. Une analyse de Georgetown Law la décrivait comme le cadre de hack-back le moins risqué, parce qu’il préserve le contrôle gouvernemental, tout en la jugeant non testée et juridiquement incertaine [11].

Non testée, elle l’est toujours. Les juristes de Jenner & Block, dans une analyse pour Lawfare citée par The Register, écrivent qu’aucune décision de justice n’a examiné si cette exemption protège des entités privées agissant pour le compte du gouvernement, ni à quelles conditions [4]. Dès mars, les juristes de Skadden estimaient qu’une implication plus directe du privé dans l’offensive exigerait vraisemblablement des évolutions légales et réglementaires ; Gareth Mott, chercheur au Royal United Services Institute, jugeait qu’un amendement du CFAA serait sans doute nécessaire [4].

Le risque est asymétrique. Le cabinet Crowell & Moring résume les lacunes : le texte revendique une immunité contre les poursuites fédérales, mais n’offre aucun bouclier de responsabilité civile pour les dommages collatéraux, laisse ouvertes des obligations de discovery susceptibles d’exposer outils propriétaires et personnels devant les tribunaux, et expose les entreprises à des représailles asymétriques des acteurs visés [12]. La note de recherche de la Cloud Security Alliance ajoute que si une cour rejetait ultérieurement l’extension de la 1030(f) aux délégataires privés, les entreprises ayant opéré sous l’autorité du programme s’exposeraient rétroactivement, au civil comme au pénal [13]. L’administration n’a pas eu besoin du Congrès pour agir ; en contrepartie, l’édifice repose sur une interprétation non validée plutôt que sur une base légale explicite.

V. La grammaire des corsaires

La presse américaine et française a immédiatement qualifié le dispositif de « corsaires numériques », par référence aux lettres de marque autorisant des acteurs privés à conduire des opérations militaires pour le compte d’un État [3][5][15]. Le parallèle éclaire la logique du texte et divise ses observateurs.

Chez les partisans, Josh Steinman, ancien responsable cyber de la Maison-Blanche du premier mandat, a salué l’initiative ; Chris Wysopal, cofondateur de Veracode, y voit « un changement assez majeur de la politique cyber américaine », tout en notant que le texte va moins loin que les propositions législatives de hack-back [5]. Chez les critiques, Jason Kitka, ancien responsable du Cyber Command, qualifie le dispositif de « machine à mouvement perpétuel pour menaces facturables », pointant l’incitation économique à identifier toujours plus de cibles [5].

Deux objections structurelles dominent. La première tient à l’attribution : dans un environnement où les attaquants sophistiqués masquent leur identité et où les infrastructures criminelles se recomposent en quelques heures, frapper la bonne cible sans toucher de tiers relève de l’exploit, et le risque d’opérations sous faux pavillon demeure. La seconde, plus décisive, tient à l’appropriation de l’escalade : dès lors que des entreprises exécutent des opérations à l’étranger sous licence gouvernementale, l’État s’approprie le risque diplomatique et le risque de représailles que ces opérations créent, sans contrôler pleinement le jugement quotidien des opérateurs. C’est cette réserve qui avait jusqu’ici maintenu, sous les administrations successives, l’offensive cyber à l’intérieur du gouvernement [5].

S’y ajoute une exposition individuelle. Jake Williams, vice-président de Hunter Strategy, avertit que les Américains participant à ces opérations pourraient être qualifiés de combattants non-uniformisés lors de déplacements à l’étranger, et détenus sur la base de simples allégations [3].

VI. Le fil rouge avec Genesis : la même externalisation, un objet plus grave

Ce mémorandum prolonge le schéma que nous avions identifié à propos de la Genesis Mission de novembre 2025 : l’État fournit la légitimité, le cadre et l’autorité ; le privé fournit la capacité, l’expertise et l’exécution ; la capacité mobilisée réside déjà, pour l’essentiel, dans le secteur privé, l’État se contentant de l’activer.

L’écosystème est prêt à s’engouffrer dans le canal : le Congrès avait inscrit un milliard de dollars pour les opérations cyber-offensives dans la loi de finances de l’an dernier, et Google indiquait dès août 2025 se préparer à des actions perturbatrices contre les cybercriminels [3]. La différence tient à la nature de l’objet. Externaliser le calcul scientifique engage la captation de valeur et la dépendance ; externaliser la coercition engage l’usage de la force, la responsabilité internationale et le monopole étatique de la contrainte. Le second registre est d’un ordre de gravité supérieur.

VII. L’angle mort européen : deux conceptions du monopole de la contrainte

En France, un dispositif de ce type serait aujourd’hui difficilement transposable. Le code pénal sanctionne l’accès et le maintien non autorisés dans un système de traitement automatisé de données, sans exception pour la riposte privée, et la Revue stratégique de cyberdéfense de 2018 recommandait explicitement d’écarter les entreprises de toute riposte offensive, jugée trop risquée sans contrôle direct de l’État [15][16]. Les seules opérations offensives autorisées relèvent de la lutte informatique offensive (LIO), capacité strictement militaire pilotée par le COMCYBER sous l’autorité du chef d’état-major des armées et, en dernier ressort, du président de la République ; la stratégie nationale de cybersécurité 2026-2030 confirme une riposte pilotée par l’État, les entreprises n’étant associées qu’au partage d’informations sur les menaces [15][17].

Cette divergence n’est pas un retard réglementaire que l’Europe rattraperait tôt ou tard. Elle traduit deux conceptions du monopole étatique de la contrainte : le modèle américain de 2026 admet sa délégation à des acteurs privés sous supervision ; le modèle français le tient pour indivisible.

Le risque n’est pas théorique : comme relevé en partie II, le texte ne prévoit pour les systèmes situés en juridiction alliée aucune procédure équivalente à celle protégeant les systèmes américains. La question de la souveraineté numérique européenne se poserait alors en des termes nouveaux : non plus la dépendance passive aux infrastructures américaines, mais l’exposition active à des opérations offensives conduites par des acteurs privés étrangers sur le sol européen, au nom de la protection d’un consommateur non-européen.

VIII. Contre-arguments : la lecture minimale mérite d’être entendue

L’honnêteté analytique impose de présenter la lecture la plus favorable, défendue par des praticiens sérieux. Le cabinet Wiley replace le texte dans la continuité du NSPM-13 d’août 2018, qui organisait déjà un processus de revue et d’approbation pour fluidifier les opérations offensives du Cyber Command : le dispositif de 2026 étendrait au privé une mécanique d’encadrement éprouvée plutôt qu’il n’ouvrirait un far west [14]. Les entreprises de cybersécurité conduisent par ailleurs depuis longtemps des opérations de défense active, saisies de botnets par voie judiciaire, honeypots, démantèlements d’infrastructures, et disposent souvent d’une visibilité en temps réel supérieure à celle des agences ; formaliser un canal d’approbation étatique de cette expertise est une réponse défendable à un manque de capacité réel. Les contrôles prévus sont substantiels sur le papier : approbation écrite par opération, revue annuelle des entreprises, obligations de cessation et de notification [1]. Enfin, les capacités d’attribution se sont sensiblement améliorées depuis les débats des années 2010, ce qui affaiblit l’objection historique du tir aveugle.

Ces arguments sont réels. Ils laissent entières les deux questions déjà posées : la solidité d’une base juridique non testée, et l’appropriation par l’État d’un risque d’escalade dont il ne contrôlera pas entièrement l’exécution.

IX. Critères de falsifiabilité

Premier critère, calendaire. Le mémorandum exige que des procédures opérationnelles soient établies sous 60 jours, soit vers la mi-octobre 2026, sans imposer leur publication [1]. Le critère observable est donc indirect : confirmation publique de leur adoption, admission d’une première entreprise, ou communication au Congrès. L’absence de tout signal vérifiable d’ici la fin 2026 renforcerait l’hypothèse d’un dispositif d’annonce ; le rapport de statut prévu sous 180 jours, vers février 2027, constituera le second jalon.

Deuxième critère, contentieux. Notre lecture soutient que la base juridique est fragile. Elle sera confirmée si un contentieux met en cause l’extension de la section 1030(f) avant la fin 2027, infirmée si aucune contestation sérieuse n’émerge ou si les tribunaux valident la théorie de l’exemption.

Troisième critère, adoption. Aucune entreprise participante n’avait été publiquement identifiée à la date de rédaction. Si, à l’horizon mi-2027, aucun acteur identifié n’a rejoint le dispositif, l’hypothèse d’un programme dissuadé par sa propre exposition juridique sera renforcée.

Quatrième critère, souveraineté tierce. Notre inférence sur l’exposition européenne sera confirmée si une opération américaine touchant une infrastructure en juridiction européenne fait l’objet d’une protestation diplomatique documentée avant fin 2028 ; elle restera spéculative en l’absence d’un tel événement.

X. Trois propositions pour une parade européenne

Le constat appelle une réponse. Les trois propositions qui suivent relèvent du registre éditorial assumé ; elles sont ordonnées de la moins à la plus exigeante, et chacune est assortie d’un jalon vérifiable.

Première proposition, diplomatique : obtenir la déconfliction avant que les procédures ne soient écrites. Le mémorandum laisse 60 jours, jusqu’à la mi-octobre 2026, pour établir les procédures opérationnelles du programme [1] : c’est la fenêtre utile. La France, via le SGDSN et avec le relais du dialogue cyber entre l’Union européenne et les États-Unis, devrait demander formellement que les systèmes situés en juridiction alliée bénéficient des mêmes déclencheurs d’arrêt, de minimisation et de notification que ceux prévus pour les systèmes américains, en prenant appui sur la clause générale de conformité aux obligations internationales du texte [1]. Même un refus aurait sa valeur : documenté, il renforcerait le dossier diplomatique et faciliterait la qualification politique d’une éventuelle intrusion future. Il ne suffirait toutefois pas, à lui seul, à déclencher le régime européen de sanctions cyber, ce régime visant les personnes ou entités impliquées dans des cyberattaques à effet significatif constituant une menace extérieure pour l’Union [19]. Jalon : une position écrite franco-européenne transmise à Washington avant le premier rapport de statut du programme, attendu vers février 2027.

Deuxième proposition, réglementaire : rendre visible le double statut des prestataires. Un fournisseur de cybersécurité opérant en Europe peut désormais être simultanément prestataire défensif de clients européens et opérateur offensif sous licence américaine. La parade n’est pas l’interdiction, qui serait à la fois inapplicable et coûteuse, mais la transparence obligatoire. En s’appuyant sur les obligations de sécurité de la chaîne d’approvisionnement prévues par l’article 21 de la directive NIS 2, qui fournissent un point d’appui mais pas encore la base juridique complète [20], la France ou l’Union pourrait créer une obligation spécifique de déclaration : tout prestataire d’entités essentielles ou importantes déclarerait sa participation à un programme offensif étranger, cette participation étant traitée comme un facteur de risque dans les référentiels de qualification des prestataires de l’ANSSI (PASSI, PRIS, PDIS) et dans la commande publique. La logique est celle que nous défendons pour le cloud : ne pas interdire, mais cesser de traiter comme équivalent ce qui ne l’est pas. Jalon : l’inscription d’un tel critère de déclaration dans un référentiel ANSSI ou dans les travaux européens de certification d’ici fin 2027.

Troisième proposition, capacitaire : répondre à l’argument de la capacité sans céder sur le monopole. Le meilleur argument du programme américain est le déficit de capacité publique face aux écosystèmes criminels. Or la réponse européenne existe déjà en germe : l’opération Endgame, initiée et conduite par la France, l’Allemagne et les Pays-Bas sous coordination d’Europol et d’Eurojust, a démontré depuis mai 2024 l’échelle atteignable par la voie judiciaire, plus d’une centaine de serveurs neutralisés lors de la première phase, puis des vagues successives jusqu’à plus d’un millier de serveurs démantelés fin 2025 [18]. La parade consiste à institutionnaliser ce modèle : une capacité permanente de perturbation sous contrôle judiciaire et étatique, dotée d’un financement propre et d’instruments juridiques dédiés, articulée en France avec la chaîne judiciaire, l’ANSSI et, dans leur cadre propre, les capacités militaires [15]. L’objet est de démontrer que le modèle régalien peut produire des effets comparables à ceux que Washington attend de ses corsaires, sans externaliser la contrainte. Jalon : une montée en cadence mesurable et documentée des opérations coordonnées de perturbation d’ici fin 2028.

Conclusion

Le mémorandum du 12 août 2026 est un pari institutionnel : celui qu’une délégation encadrée de la coercition cyber-offensive à des acteurs privés peut combler un manque de capacité réel sans déclencher les effets que trois décennies de prudence bipartisane avaient cherché à éviter. Ce pari repose sur une interprétation que nul tribunal n’a validée, et son issue se lira aux échéances posées ci-dessus.

La Genesis Mission externalisait la découverte scientifique ; ce texte externalise la contrainte. Le même modèle, appliqué à un objet infiniment plus sensible, appelle la même exigence : distinguer la formalisation utile d’une coopération existante de la privatisation d’une prérogative qui, en Europe du moins, demeure indivisiblement régalienne. L’Europe peut donc refuser la privatisation de la contrainte sans rester passive : par la déconfliction diplomatique, la transparence des prestataires et le renforcement de capacités permanentes de perturbation sous contrôle judiciaire.

Glossaire

CFAA (Computer Fraud and Abuse Act) : loi fédérale américaine de 1986 sanctionnant l’accès non autorisé à un système informatique. Sa section 1030(f) exempte l’activité légalement autorisée des agences fédérales de police et de renseignement.

CE-TCO (Cyber-Enabled Transnational Criminal Organization) : catégorie de cible définie par le mémorandum, désignant tout groupe criminel étranger non-étatique conduisant de la cybercriminalité contre des intérêts américains.

COMCYBER : commandement de la cyberdéfense français, pilotant la lutte informatique offensive sous l’autorité du chef d’état-major des armées.

Critical Outcomes : seuil défini par le mémorandum, couvrant les opérations susceptibles de causer des morts, des blessures graves, ou d’atteindre le niveau de l’usage de la force en droit international.

Hack-back : riposte offensive d’une victime contre l’infrastructure de son attaquant, interdite au secteur privé aux États-Unis avant ce texte, comme en France.

LIO (lutte informatique offensive) : capacité cyber-offensive française, strictement militaire, menée hors du territoire national.

NCC (National Coordination Center) : structure du Homeland Security Task Force chargée de piloter le programme, créée par l’Executive Order 14159 de janvier 2025.

NSPM (National Security Presidential Memorandum) : mémorandum présidentiel de sécurité nationale, instrument juridique de l’exécutif américain.

Bibliographie

[1] Maison-Blanche, « Expanding Capabilities to Combat Transnational Cyber-Enabled Crime », National Security Presidential Memorandum, 12 août 2026. whitehouse.gov

[2] Maison-Blanche, « Fact Sheet: President Donald J. Trump Expands Capabilities to Combat Transnational Cyber-Enabled Crime », 12 août 2026. whitehouse.gov

[3] Luke James, « White House authorizes private companies to launch hack-back cyberattacks that destroy data and systems, targeting foreign cybercrime organizations », Tom’s Hardware, 15 août 2026. tomshardware.com

[4] The Register, « Trump wants to grant private cyber firms a license to hack back », 13 août 2026 (citant les analyses de Jenner & Block pour Lawfare, de Skadden, mars 2026, et de Gareth Mott, RUSI). theregister.com

[5] Tim Starks, « Trump turns to private sector in offensive hacking operations memo », CyberScoop, 13 août 2026. cyberscoop.com

[6] Executive Order 14390 du 6 mars 2026, « Combating Cybercrime, Fraud, and Predatory Schemes Against American Citizens », Federal Register, vol. 91, n° 47, 11 mars 2026, p. 12051. govinfo.gov

[7] Maison-Blanche, « Fact Sheet: President Donald J. Trump Combats Cybercrime, Fraud, and Predatory Schemes Against American Citizens », 6 mars 2026. whitehouse.gov

[8] Tim Starks, « The long-awaited Trump cyber strategy has arrived », CyberScoop, mars 2026. cyberscoop.com

[9] Mayer Brown, « Presidential Memorandum Authorizes Vetted Private Companies to Conduct Offensive Cyber Operations Against Foreign Criminal Organizations », Legal Update, août 2026. mayerbrown.com

[10] FBI, « 2025 Internet Crime Report », Internet Crime Complaint Center, 7 avril 2026. ic3.gov

[11] Vladimir Tsakanyan, « The Privatization of Cyber Offense: Washington’s New Playbook Against Transnational Cybercrime », cybercenter.space, 13 août 2026 (sur la théorie Rabkin, l’analyse de Georgetown Law et l’historique de l’ACDC Act). cybercenter.space

[12] Rajeev Raghavan, Matthew F. Ferraro et Grace Tang, « License To Hack? The White House Greenlights Private-Sector Offensive Cyber Operations », Crowell & Moring, alerte client, août 2026. crowell.com

[13] Cloud Security Alliance, « Cyber Privateers: What the New Hack-Back Program Means for Enterprises », note de recherche, août 2026. labs.cloudsecurityalliance.org

[14] Wiley, « Navigating the New Presidential Memorandum on Transnational Cyber Enabled-Crime », alerte, août 2026. wiley.law

[15] Guillaume Belfiore, « Face au piratage, Trump veut son équipe de corsaires et légalise les cyberattaques menées par des sociétés privées », Clubic, 14 août 2026. clubic.com

[16] SGDSN, « Revue stratégique de cyberdéfense », février 2018, p. 88. sgdsn.gouv.fr

[17] SGDSN et ANSSI, « Stratégie nationale de cybersécurité 2026-2030 », janvier 2026, document accessible via cyber.gouv.fr.

[18] Europol, « Largest ever operation against botnets hits dropper malware ecosystem », communiqué, 30 mai 2024 : europol.europa.eu ; Eurojust, « Coordinated action to take down most dangerous malware variants », communiqué, 23 mai 2025 : eurojust.europa.eu ; Eurojust, « Authorities continue to protect citizens from cybercriminals during major malware operation », communiqué, 13 novembre 2025 : eurojust.europa.eu

[19] Conseil de l’Union européenne, « Cyber-attacks: Council extends listings until May 2027 », communiqué, 11 mai 2026. consilium.europa.eu

[20] Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 (« NIS 2 »), notamment son article 21. eur-lex.europa.eu