Obama tape au portefeuille des pirates US et étrangers

Agacé par la multitude des affaires de piratage informatique (Sony Pictures, les banques américaines, les assurances, etc), Barack Obama a décidé de hausser le ton. Hier, dans un communiqué, il a indiqué avoir signé un décret présidentiel pour ajouter un nouvel outil dans l’arsenal de lutte contre la cyber-criminalité. En complément de l’engagement diplomatique, de la politique commerciale et des procédures judiciaires, la Maison Blanche ajoute la possibilité d’ordonner des sanctions financières. Dans ce texte, l’exécutif autorise le Trésor américain à bloquer ou geler les avoirs sur des personnes ou des entreprises impliquées dans des cyber-attaques significatives touchant des intérêts essentiels des Etats-Unis comme les systèmes bancaires, les industries de réseaux (électricité, gaz, pétrole) ou le monde de la santé (assurances, hôpitaux, etc).

L’originalité de cet acte est qu’il vise les citoyens américains, mais aussi les pirates étrangers individuels et « les entreprises qui utilisent sciemment des secrets industriels volés pour miner la santé économique de notre nation ». Une menace à peine voilée contre plusieurs pays qui sont suspectés lors des dernières attaques : Corée du Nord pour Sony Pictures, Chine pour Anthem et Premera, Iran pour les banques américaines. « Les intrusions et attaques informatiques – originaires pour beaucoup de l’étranger – visent nos entreprises, volent des secrets industriels, et coûtent des emplois américains », rappelle le Président des Etats-Unis.

DDoS et lanceur d’alertes touchés ?

A peine cette sanction annoncée, que les débats ont commencé sur la portée, le périmètre et le contrôle d’une telle décision. Premier à monter au créneau, John Smith, responsable de l’OFAC (Office of Foreign Assets Control) rattaché au Trésor. « Nous avons l’intention d’utiliser cet outil judicieusement et dans des circonstances exceptionnelles. » Les attaques visées pourront englober les raids menés par déni de service (DDoS), mais le décret écarte les pirates involontaires, c’est-à-dire les PC des utilisateurs enrôlés par des botnets.

Les associations de défense de la vie privée s’inquiètent d’une traduction large des différents types d’attaques listées. Ainsi, Marcy Wheeler qui édite le blog Empty Wheel, s’interroge sur des possibles sanctions contre Wikileaks qui a dévoilé plusieurs éléments sur les relations diplomatiques ou contre The Guardian qui a publié les documents d’Edward Snowden sur les méthodes de surveillance de la NSA. Les lanceurs d’alertes pourraient-ils être considérés comme des complices d’attaques s’appuyant sur des documents fournis ?