SN
CEMAC
Washington élargit son arsenal de lutte contre la cybercriminalité en associant des entreprises privées à des opérations offensives à l'étranger. Dans un mémorandum signé le 12 août, le président américain Donald Trump autorise des sociétés de cybersécurité préalablement vérifiées à mener, sous contrôle fédéral, des actions de surveillance et de perturbation contre des réseaux criminels transnationaux. Pour plusieurs experts, cette décision soulève des questions sur les risques de dommages collatéraux pour les infrastructures numériques du continent.
Des frappes directes sur les serveurs ?
Concrètement, le texte permet aux entreprises participantes de conduire des "opérations à effets cybernétiques" susceptibles de provoquer "la manipulation, la perturbation, le déni, la dégradation ou la destruction" de systèmes d'information, de réseaux ou d'infrastructures contrôlées par des systèmes informatiques. Chaque opération doit toutefois faire l'objet d'une approbation écrite des départements de la Justice et de la Sécurité intérieure (DHS), dans le cadre d'une "déconfliction opérationnelle" impliquant également les départements d'État, du Trésor, de la Guerre (Défense) et la communauté du renseignement.
La première inquiétude concerne la possibilité de frappes directes sur le sol africain. Les experts se demandent jusqu'où iront ces entreprises privées lorsqu'elles chercheront à neutraliser un réseau de cybercriminels basé en Afrique de l'Ouest, du Centre ou de l'Est. Les réseaux locaux subiront-ils des coupures ou des dégradations orchestrées depuis les États-Unis ? Le mémorandum précise que seules les organisations criminelles "non institutionnelles" et non entièrement dirigées par un gouvernement étranger peuvent être ciblées, ce qui exclut en principe les infrastructures étatiques. Reste à savoir comment cette règle sera appliquée sur le terrain.
Espionnage préventif
Deuxième sujet de préoccupation : l'espionnage préventif. Le texte autorise des "opérations de cybersurveillance" impliquant "l'accès à ces systèmes d'information sans autorisation du propriétaire ou de l'exploitant". Des responsables informatiques africains s'interrogent : les fournisseurs d'accès et les hébergeurs du continent doivent-ils s'attendre à voir des entreprises privées américaines pénétrer leurs serveurs sous prétexte de surveiller des pirates ?
Le mémorandum impose que les entreprises participantes soient "vérifiées", disposent de personnel habilité et déposent une garantie financière d'au moins un million de dollars, confiscable en cas de violation des règles. Si ces garde-fous réduisent le risque d'intrusions abusives, ils ne les éliminent pas pour autant.
Souveraineté nationale
La question de la souveraineté des États africains reste également centrale. Le processus de décision décrit dans le mémorandum est entièrement interministériel américain, sans mention explicite de consultation des pays tiers. En droit international, les opérations menées sur des serveurs situés à l'étranger restent soumises aux règles de souveraineté et, le cas échéant, aux accords de coopération judiciaire ou de sécurité entre Washington et les États concernés. Pour plusieurs analystes, le fait que des opérations offensives puissent se dérouler sur leurs territoires sans l'accord formalisé de leurs ministères ou de leurs juges constitue un précédent inquiétant.
Les impacts indirects sur les économies africaines constituent un autre point de vigilance. Le document affirme chercher à éviter des incidents majeurs pouvant "entraîner la mort ou des blessures graves", mais ne prévoit pas de mécanisme d'indemnisation automatique pour les tiers lésés à l'étranger. En cas d'erreur d'attribution, une attaque ciblée contre des cybercriminels pourrait paralyser un datacenter ou une banque locale. Les entreprises participantes n'ayant ni immunité souveraine ni protection diplomatique, toute compensation pourrait dépendre de procédures judiciaires, d'accords bilatéraux ou de décisions politiques au cas par cas.
Risques de bavures
Au-delà de ces quatre alertes, un débat plus large porte sur la fiabilité de l'attribution dans le cyberespace. Un pirate basé en Europe ou en Asie peut utiliser à distance un serveur vulnérable situé dans une PME d'Afrique du Nord pour lancer ses attaques. Si une riposte américaine détruit ce serveur, c'est l'entreprise locale innocente qui subit les conséquences. Pour les spécialistes, identifier la machine qui tire ne signifie pas avoir identifié le véritable tireur, ce qui accroît considérablement le risque de dommages collatéraux.
Ce mémorandum ravive également la frontière floue entre défense et attaque. Jusqu'où une société privée de cybersécurité peut-elle aller lorsqu'elle riposte ? Transformer des informaticiens en acteurs d'opérations offensives pourrait comporter un risque de bavures pour toutes les entreprises légitimes qui partagent les mêmes infrastructures numériques. Pour limiter ces risques, plusieurs experts insistent sur la nécessité de cartographier précisément les vulnérabilités et les chemins d'attaque, tout en maintenant le déclenchement des frappes sous un contrôle juridique et étatique strict.
Quoi qu'il en soit, ces nouvelles réalités exigent une prise de conscience des décideurs africains. Alors que le cyberespace mondial se transforme en un terrain de confrontation, les infrastructures informatiques du continent pourraient servir de cibles collatérales.
Anselme Akéko
Publié le 18/08/26 11:51
La Rédaction
