Lettres de marque cybernétiques privées

Résumé#

Ce projet de loi permettrait au Président d'émettre des "lettres de marque et de représailles cybernétiques" qui commissionnent des personnes ou des entreprises privées pour effectuer des opérations cybernétiques spécifiques contre des cybermenaces étrangères nommées. Le principal changement est d'autoriser les acteurs privés à utiliser des outils cybernétiques offensifs (y compris des logiciels malveillants) et à saisir des actifs numériques en dehors du territoire américain, selon les conditions fixées par le Président. Les objectifs politiques déclarés sont de dissuader et de perturber la cybercriminalité, de récupérer des actifs numériques volés pour les victimes américaines, et d'utiliser la capacité privée pour agir plus rapidement que l'application traditionnelle de la loi.

Points importants :

• Changement principal : Crée une commission fédérale (une lettre de marque cybernétique) autorisant des entités privées à mener des opérations cybernétiques offensives limitées contre des cibles étrangères désignées.
• Cibles et géographie : Les opérations sont limitées à des individus/groupes/entités étrangers désignés et à des actifs ou infrastructures situés en dehors du territoire américain.
• Types d'actions autorisées : Collecte de renseignements, récupération de données, saisie d'actifs (y compris des cryptomonnaies), perturbation d'infrastructures malveillantes, et autres actions pour perturber ou dégrader des systèmes ciblés.
• Compensation et financement : Le Président peut exiger qu'un maximum de 15 % des actifs récupérés soit confisqué pour financer un programme de primes ; les non-détenteurs de lettres qui aident peuvent recevoir jusqu'à 5 % des actifs récupérés.
• Conditions et vérifications : Les détenteurs de lettres doivent déposer une caution, tenir des journaux d'activité pendant au moins 5 ans, et sont interdits de cibler sciemment des personnes ou entités américaines.
• Immunité légale : Les détenteurs sont à l'abri des poursuites pour des actes expressément autorisés par leur lettre.

Ce que cela signifie pour vous#

• Entreprises et entrepreneurs en cybersécurité privés

  • Pourraient postuler et, si sélectionnés, réaliser des missions cybernétiques offensives autorisées par le gouvernement sous une lettre de marque.
  • Doivent déposer une caution et tenir des journaux des opérations et des actifs saisis pendant au moins 5 ans.
  • Pourraient recevoir une partie des actifs récupérés ou des primes en tant que paiement, sous réserve des règles du programme.

• Personnes et entreprises qui détiennent des actifs numériques (échanges, dépositaires)

  • Pourraient être invités à coopérer avec des opérations de récupération ou de saisie ciblant des actifs stockés par ou acheminés par eux.
  • Pourraient voir une interaction opérationnelle accrue avec des acteurs privés autorisés à saisir des actifs.

• Victimes de vol facilité par la cybernétique

  • Le projet de loi vise à aider à retourner des actifs volés aux victimes américaines en autorisant des efforts de récupération privés et en canalisant certains fonds récupérés dans un fonds lié aux victimes.
  • Les récupérations seraient partagées : jusqu'à 15 % pourraient être conservés pour financer le programme de primes ; les fonds récupérés restants pourraient aller aux victimes ou au Fonds des victimes de crimes selon les instructions du projet de loi.

• Cibles étrangères désignées et infrastructures étrangères

  • Les individus, groupes ou entités étrangers que le Président liste comme "cybermenaces désignées" pourraient être soumis à des opérations cybernétiques offensives et à la saisie d'actifs par des acteurs privés.
  • Le projet de loi exige que ces cibles soient listées dans un registre public "conformément à la loi applicable."

• Tribunaux américains et recours juridiques

  • Le projet de loi interdit les poursuites contre les détenteurs de lettres pour des actes que la lettre autorise expressément. Les personnes lésées par de tels actes autorisés peuvent avoir des recours juridiques limités devant les tribunaux américains.

• Gouvernement fédéral et agences

  • Le Président (ou un délégué senior) décide qui reçoit des lettres, les montants des cautions et les directives du programme. Le projet de loi permet au Président d'émettre des directives sur les qualifications et la portée des opérations.

Dépenses#

Aucune information disponible publiquement.

Coûts ou effets financiers possibles que le projet de loi lui-même crée :

• Le projet de loi permet aux actifs récupérés de financer un programme de primes (jusqu'à 15 % de chaque récupération requise), et les fonds récupérés non utilisés d'être déposés dans le Fonds des victimes de crimes.
• Le gouvernement fédéral pourrait encourir des coûts administratifs pour gérer le programme : maintenir le registre public, établir et faire respecter les règles de caution, superviser les opérations et gérer les actifs saisis.
• Il pourrait y avoir des coûts indirects liés aux demandes diplomatiques, juridiques ou de réponse aux incidents si les actions déclenchent des disputes étrangères ou des dommages non intentionnels. Le projet de loi ne fournit pas de budget ou d'estimation des coûts.

Point de vue des partisans#

• Le projet de loi semble destiné à accélérer la perturbation de la cybercriminalité en utilisant la capacité du secteur privé à agir en temps réel, puisque les crimes liés aux actifs numériques se déplacent très rapidement.
• Il semble destiné à récupérer des actifs numériques volés et à restituer de la valeur aux victimes américaines, en utilisant un modèle d'incitation privée (paiements provenant des fonds récupérés).
• Le projet de loi semble destiné à dissuader et à perturber les acteurs cybernétiques étrangers en permettant des actions offensives directes contre leur infrastructure et leurs actifs.
• Il modélise le privateering historique (lettres de marque) adapté au domaine numérique, donnant aux entreprises privées une commission légale claire pour agir.
• Les exigences de caution et de tenue de dossiers pourraient être considérées comme des garanties pour encourager la conformité et la responsabilité des détenteurs de lettres.

Point de vue des opposants#

• Une préoccupation est que le projet de loi accorde une large immunité contre les poursuites pour des actions autorisées, ce qui pourrait laisser des tiers lésés avec des recours juridiques limités.
• Une préoccupation est le manque de supervision détaillée : le Président détermine en grande partie qui est qualifié, combien sont les cautions, et quelles vérifications s'appliquent. Le projet de loi ne précise pas de révision indépendante, de supervision judiciaire ou d'approbation du Congrès pour des lettres spécifiques.
• Une préoccupation est le risque d'escalade ou de conflit diplomatique si des actions offensives privées nuisent à des États étrangers ou à des civils. Le projet de loi autorise des opérations contre des infrastructures étrangères mais ne précise pas comment le droit international ou les conséquences étrangères sont gérés.
• Une préoccupation est l'attribution et l'erreur : les opérations cybernétiques peuvent affecter des systèmes au-delà des cibles prévues, et le projet de loi ne précise pas la responsabilité ou la réparation pour des dommages collatéraux en dehors du champ d'application d'une lettre autorisée.
• Une préoccupation est le risque opérationnel lié à l'autorisation de parties privées d'utiliser des logiciels malveillants et des outils offensifs - cela pourrait créer des risques de sécurité ou d'utilisation abusive si les outils échappent au contrôle ou sont utilisés de manière inappropriée.
• Il n'est pas clair comment le registre public des cybermenaces désignées fonctionnera, quels standards juridiques s'appliqueront, et comment la transparence et le respect des droits procéduraux pour les entités listées seront garantis.