Les États-Unis se montrent plus sévères dans la lutte contre la cybercriminalité

Comme on pouvait s'y attendre, une grande partie des déclarations sur les ransomwares émanant de Washington donnent aujourd'hui lieu à des dispositions législatives. L'agence nationale américaine de sécurité dans les transports (TSA), qui fait partie du ministère de la sécurité intérieure (DHS), a publié une nouvelle directive de sécurité à l'intention des exploitants de pipelines. Elle leur impose à la fois de se protéger de toute urgence contre les cyberattaques telles que les ransomwares, d'élaborer et de mettre en œuvre un plan de secours et de récupération en matière de cybersécurité, et de procéder à un examen approfondi de leur architecture de cybersécurité.

De son côté, la Chambre des représentants des États-Unis a adopté cinq projets de loi sur la cybersécurité le 20 juillet. Les entreprises privées seront ainsi soumises à des obligations plus strictes concernant le signalement des incidents de cybersécurité, tandis que des fonds seront alloués aux États et aux collectivités locales afin de renforcer les mesures de cybersécurité.

Au Sénat américain, le sénateur Mark Warner (D-VA) a présenté un projet de loi bipartite qui obligerait la CISA (Cybersecurity and Infrastructure Security Agency) à identifier et à neutraliser les menaces pesant sur les systèmes de technologie d'exploitation en charge des infrastructures stratégiques. Soutenu par les sénateurs Marco Rubio (R-FL), Gary Peters (D-MI) et Rob Portman (R-OH), ce projet de loi constitue le pendant sénatorial de l'un des projets de loi sur la cybersécurité adoptés par la Chambre des représentants.

La mesure la plus controversée est un programme de récompenses financé par le ministère américain de la justice, qui offre jusqu'à 10 millions de dollars en échange de renseignements sur les auteurs d'attaques par ransomware visant les infrastructures américaines. Géré par le service de sécurité diplomatique (DSS) du département d'État américain, le programme promet de récompenser toute personne disposant d'informations permettant d'identifier ou de localiser des individus agissant sous la direction ou le contrôle d'un gouvernement étranger et participant à des cyberactivités malveillantes contre des infrastructures stratégiques américaines en violation de la loi sur la fraude et les abus informatiques (CFAA).

En pratique, le département d'État s'appuie sur une technique éprouvée afin de démanteler les réseaux du crime organisé, à savoir faire appel à des informateurs dûment rémunérés pour dénoncer les cybercriminels. Malheureusement, ce genre de programme a souvent conduit les criminels à recourir à l'intimidation et à la violence pour faire taire les informateurs. De telles mesures soulèvent un sérieux dilemme pour les forces de l'ordre qui, jusqu'à présent, ont largement fermé les yeux sur les cyberattaques lancées à l'intérieur de leurs frontières contre des entités étrangères, au motif que cela ne relevait pas de leur compétence. Toutefois, cela le deviendrait si certains de leurs concitoyens étaient physiquement blessés ou tués par ces mêmes cybercriminels.

On ignore encore ce que le département d'État fera des informations qu'il recueillera. Le gouvernement américain a fait part de son intention de prendre des mesures plus musclées contre les cybercriminels ; il a par exemple déjà commencé à récupérer les paiements de rançon en piratant des portefeuilles numériques. De toute évidence, le gouvernement américain entend bien empêcher les cybercriminels de profiter de leurs gains illégalement acquis.

De nombreux professionnels de la cybersécurité estiment que ces mesures se faisaient attendre depuis longtemps. Les rouages de la justice sont en effet connus pour leur lenteur. Il va sans dire que bon nombre des auteurs de cyberattaques ne seront jamais poursuivis. Cependant, tout effort visant à décourager ce genre d'attaques en vaut la peine, ne serait-ce que pour rappeler aux individus qui profitent de ces crimes qu'ils sont désormais condamnés à surveiller leurs arrières en se demandant qui pourrait, d'une manière ou d'une autre, leur tomber dessus.