Alors que des stratèges à Washington poussent à l’attaque, des voix s’alarment : les États-Unis seraient de moins en moins prêts à encaisser les coups de cyber-bélier chinois, affaiblis par des coupes budgétaires sévères.
Le scénario fait froid dans le dos : une future administration Trump qui appuierait sur le bouton des cyberattaques offensives massives contre la Chine, en dépit des avertissements des experts qui craignent une riposte dévastatrice. Au cœur de ce débat tendu, une contradiction frappante : la volonté d’attaquer fort se heurte à un affaiblissement criant des défenses nationales, notamment suite aux coupes budgétaires qui laminent des agences pourtant cruciales. Ajoutez à cela des discussions autour de vieux pouvoirs de guerre pour justifier ces frappes, et un recours croissant au secteur privé, et vous obtenez un tableau complexe, teinté d’inquiétude dans les milieux de la cybersécurité.
L’Appel du Clairon Offensif : Pourquoi Maintenant ?
Depuis le printemps 2025, un vent de révolte numérique souffle sur une partie du Capitole. Emmenés par des sénateurs républicains comme Shelley Moore Capito et Roger Wicker, certains appellent ouvertement à passer à l’offensive cyber contre Pékin. Leur argument principal ? L’activité persistante et souvent impunie des hackers liés au régime chinois. On se souvient notamment de l’affaire Volt Typhoon, ce groupe qui s’est incrusté dans les réseaux d’infrastructures critiques américaines, laissant présager de possibles sabotages en cas de conflit. Ou encore Silk Typhoon, qui aurait réussi à compromettre des systèmes du Trésor et des boîtes mail de hauts responsables américains – une intrusion perçue comme une provocation majeure.
Ces intrusions, perçues comme des « frappes sous le seuil » par la Chine, mettent la pression sur Washington. L’idée d’une « réponse appropriée » – sous-entendue, une riposte cyber proportionnée ou supérieure – gagne du terrain. C’est l’application du concept de « deterrence by punishment » (dissuasion par la punition) dans le domaine cyber, mais avec un bémol de taille : est-on capable de punir et d’encaisser la riposte ?
Du côté chinois, le discours est clair et sans équivoque : il s’agit de désinformation américaine. Les autorités chinoises clament respecter le droit international et combattre elles-mêmes la cybercriminalité. Un porte-parole de l’ambassade de Chine à Washington a fermement rappelé que « la Chine combat les cyberattaques en vertu du droit, et nous exhortons les États-Unis à ne pas instrumentaliser cette question ». Ce déni, classique, est aussi une manière d’avertir que toute attaque américaine sera perçue comme une agression et pourrait entraîner une réponse symétrique ou asymétrique.
Quand la Cyber flirte avec la Piraterie du XVIIIe Siècle
C’est l’un des détails les plus frappants (et potentiellement effrayants) révélés récemment : au sein de la Maison Blanche et du Pentagone, on évoquerait sérieusement de dépoussiérer un pouvoir de guerre du XVIIIe siècle pour donner une base légale aux cyberattaques offensives contre des entités non étatiques. De quoi parle-t-on exactement ? Des « lettres de marque » (ou lettres de course), ces autorisations données par un État à des particuliers armateurs pour attaquer les navires ennemis ou pratiquer la piraterie « légale » pour son compte. L’idée serait d’adapter ce concept à l’ère numérique, autorisant par exemple des opérations contre des cartels sud-américains ou des groupes de narcotrafiquants pour prouver la détermination et les capacités offensives américaines, tout en gardant un flou juridique sur les limites de ces actions contre des acteurs qui ne sont pas des États souverains.
Cette approche, mélangeant opérations secrètes (classifiées) et collaboration avec des entreprises privées (dont le rôle deviendrait quasi-militaire), soulève d’énormes questions sur le droit de la guerre et la responsabilité des États. Qui est responsable si une entreprise privée dépasse les bornes sous l’effet d’une « lettre de marque » cyber ?
Parallèlement, Morgan Adamski, le directeur exécutif du U.S. Cyber Command – l’équivalent numérique des forces spéciales – a confirmé que son commandement cherchait activement à renforcer les partenariats avec les entreprises privées en 2025. Une stratégie de « partenariat public-privé » forcée, qui pourrait être vue comme une nécessité tactique, mais qui contraste fortement avec le désengagement financier de l’État fédéral dans ses propres agences de cybersécurité.
Le Talon d’Achille : Quand Washington Saborde ses Propres Défenses
C’est là que le tableau devient particulièrement sombre pour les États-Unis. Alors que l’on envisage de monter en puissance dans l’offensive, des décisions récentes affaiblissent considérablement la capacité à parer les coups qui ne manqueront pas d’arriver. Les experts s’alarment d’un double mouvement : un « musclage » affiché couplé à un déshabillage en règle des agences vitales.
CISA : La Lame Frôle les Infrastructures Critiques
Le Cybersecurity and Infrastructure Security Agency (CISA) est censé être la première ligne de défense, l’agence fédérale qui protège les hôpitaux, les réseaux électriques, les systèmes de transport, l’eau… bref, tout ce qui fait tenir le pays debout. Mais c’est justement cette agence qui prend le plus gros coup. Des licenciements massifs sont annoncés, potentiellement jusqu’à 1 300 postes – une saignée de près d’un quart de ses effectifs – d’ici avril 2025.
- Moins d’experts pour analyser les menaces et les vulnérabilités en temps réel.
- Moins de mains pour aider les entités locales et les entreprises à renforcer leur propre sécurité.
- Un ralentissement des audits de sécurité et des inspections sur les infrastructures critiques les plus sensibles.
- Une capacité réduite à mener des campagnes de sensibilisation pourtant essentielles face aux menaces d’ingénierie sociale.
Michael Daniel, l’ancien coordinateur de la cybersécurité de la Maison Blanche sous Obama, aujourd’hui à la tête de la Cyber Threat Alliance, est catégorique : ces mesures « affaiblissent la capacité des États-Unis à protéger leurs réseaux et infrastructures, alors que les menaces chinoises et russes se multiplient ».
Démantèlement du CSRB : Faire le Ménage… Vraiment ?
Autre décision qui passe mal dans les cercles d’experts : le démantèlement, en janvier 2025, du Cyber Safety Review Board (CSRB). Cet organisme, créé dans la foulée de l’attaque retentissante contre SolarWinds, avait pour mission de mener des revues post-mortem indépendantes après chaque cyber-incident majeur pour en tirer les leçons et améliorer la posture de défense globale. Dissoudre un tel organe consultatif, c’est un peu comme supprimer l’enregistreur de vol après un crash : on se prive d’un mécanisme d’apprentissage essentiel.
Les opérations offensives, même contre des cartels, risquent de provoquer des réactions en chaîne… Les réseaux chinois ou russes sont bien plus complexes à neutraliser que quelques serveurs de groupes criminels.
Enfin, le remplacement du Général Timothy Haugh – qui dirigeait simultanément l’U.S. Cyber Command et la NSA – est perçu comme une perturbation supplémentaire. Si les rotations sont normales, changer de leader à la tête de ces deux organismes jumeaux en pleine préparation de potentiels coups de boutoir numériques, tout en affaiblissant les défenses passives (CISA), interroge sur la cohérence de la stratégie globale.
Risque Maximum de Rétorsion : L’Épée de Damoclès
L’avis est quasi unanime chez les spécialistes : lancer des cyberattaques offensives, même sous couvert de vieux textes légaux ou via des intermédiaires privés, expose les États-Unis à des risques de rétorsion accrus et potentiellement disproportionnés. La Chine, comme la Russie, dispose de capacités cyber considérables et n’hésiterait pas à frapper les points faibles américains. Ces points faibles, précisément, sont devenus plus nombreux avec les coupes budgétaires.
Les coupes budgétaires à CISA et le remplacement de Haugh envoient un signal contradictoire : on veut frapper fort, mais on ne protège pas ses propres remparts.
Les cibles potentielles pour Pékin ou Moscou ne manquent pas : les infrastructures critiques justement affaiblies, la finance, les entreprises, les données sensibles… Un ancien responsable du Pentagone l’a formulé crûment : « Les opérations offensives, même contre des cartels, risquent de provoquer des réactions en chaîne ». Il ajoute que s’attaquer aux réseaux chinois ou russes est une tout autre paire de manches que quelques groupes criminels : ils sont imbriqués, étatiques, et capables d’une riposte d’une complexité et d’une intensité bien supérieures.
La dépendance aux partenariats privés pour la défense ajoute une couche de complexité et de fragilité. Même si Morgan Adamski vante les mérites de la collaboration avec le secteur privé, la question demeure : des entreprises, aussi compétentes soient-elles, ont-elles les ressources, la coordination et l’autorisation légale pour défendre efficacement le pays face à une cyberattaque étatique coordonnée et massive ? Leur mandat premier est de protéger leurs propres clients et leurs propres réseaux, pas la résilience nationale.
Le Revers Isolationniste : Quand les Alliés s’inquiètent
Ce virage offensif, couplé à un affaiblissement interne, s’accompagne d’un recul des initiatives internationales qui avaient été poussées sous l’administration Biden. Fini les efforts coordonnés avec les partenaires pour lutter contre les ransomwares ou traquer les logiciels espions vendus à des régimes autoritaires. L’heure est à une approche plus unilatérale, plus isolée.
Des responsables européens, qui comptent souvent sur la coopération et le leadership américain en matière de cybersécurité, expriment leurs craintes face à cet effilochage des alliances. Face à des menaces cyber qui ne connaissent pas les frontières, la réponse multilatérale (partage de renseignement, actions coordonnées, pression diplomatique conjointe) est jugée essentielle. Voir Washington se retirer, alors que les attaques prolifèrent et ciblent de plus en plus des pays en développement, laisse un vide et affaiblit le front uni face à des acteurs comme la Chine et la Russie.
L’équation est complexe : une administration qui veut montrer les muscles cyber, mais qui semble scier les branches sur lesquelles elle est assise, en coupant dans les défenses, en démantelant les mécanismes de supervision et en s’éloignant de ses alliés. Les discussions sur l’utilisation de vieux pouvoirs de guerre sont symptomatiques d’une volonté de sortir des cadres, mais elles ne compenseront pas le manque criant d’investissement dans la résilience et la coopération. L’audace de l’offensive cyber américaine, si elle se confirme, pourrait bien se heurter de plein fouet à une réalité simple : la riposte risque de faire très mal si l’on a soi-même baissé la garde.
