Ron Wyden veut faire la lumière sur l’usage des outils de piratage par les autorités américaines

Une demande née d’un déficit de transparence

Le 21 août 2026, le sénateur démocrate Ron Wyden a demandé au Government Accountability Office (GAO) — l’organisme indépendant chargé d’auditer le gouvernement fédéral américain — de mener un examen complet et non classifié de l’usage des outils de piratage et des logiciels espions par quatre agences : le FBI, la Drug Enforcement Administration (DEA), le service Homeland Security Investigations (HSI) d’ICE et les services secrets américains. 712

À l’origine de cette démarche, selon Wyden, se trouve une faille de contrôle qui dure depuis longtemps. Les forces de l’ordre fédérales utilisent des techniques d’intrusion informatique depuis plus de vingt-cinq ans, mais le Congrès comme le public disposent de très peu d’informations sur leur fréquence, leurs objectifs, leur portée ou les garanties opérationnelles qui les encadrent. 712

Un angle mort par rapport aux écoutes classiques

Le sénateur souligne une différence importante avec les méthodes de surveillance plus traditionnelles. Les écoutes téléphoniques et les dispositifs de type pen register ou trap-and-trace, qui permettent notamment de recueillir des informations sur les appels, sont associés à des obligations de déclaration annuelle. Les agences fédérales ne publient pas d’équivalent pour les opérations de piratage. 167

Cette absence de données laisse sans réponse des questions essentielles : combien d’appareils sont ciblés, dans quels types d’enquêtes, avec quelle fréquence et avec quelles conséquences pour les personnes qui ne sont pas visées par les investigations ? Wyden affirme en outre que le ministère de la Justice et le FBI ont à plusieurs reprises refusé de fournir le niveau de transparence réclamé par le Congrès. 712

Ce que le GAO devrait examiner

La demande porte notamment sur les points suivants :

• l’utilisation des outils et des logiciels espions, y compris leur fréquence et les raisons de leur déploiement ;
• les risques que des agents s’en servent à des fins non autorisées ou personnelles, ainsi que l’efficacité des contrôles destinés à prévenir ces abus ;
• l’acquisition, le stockage et la protection des outils afin d’éviter les fuites ;
• le traitement des failles de sécurité découvertes lors des opérations, notamment leur éventuelle transmission au processus gouvernemental chargé de déterminer si elles doivent être signalées aux entreprises technologiques ;
• les informations communiquées aux juges lors des demandes de mandat, en particulier les capacités techniques des outils et le risque qu’une intrusion touche des personnes inconnues ou innocentes.

Pour Wyden, l’enjeu dépasse donc la seule protection de la vie privée. Ces outils peuvent donner accès à des données particulièrement sensibles, tandis qu’une mauvaise sécurisation peut transformer une capacité conçue pour les enquêtes en risque de cybersécurité à grande échelle.

L’exemple des outils de L3Harris

Le sénateur a également mis en avant les risques liés à la circulation de technologies de niveau gouvernemental. Le cas de Peter Williams, ancien cadre de L3Harris accusé d’avoir volé puis vendu des outils sophistiqués, illustre selon lui la possibilité que de telles capacités échappent à leur détenteur initial et soient réutilisées par des acteurs étrangers hostiles ou des cybercriminels.

Cet exemple alimente une autre question centrale de la demande : les agences américaines disposent-elles de procédures suffisamment robustes pour suivre, conserver et protéger leurs outils de piratage, ainsi que les vulnérabilités qu’ils exploitent ?

Une pratique ancienne, un encadrement jugé en retard

Wyden rappelle enfin que l’intrusion informatique par les autorités américaines ne date pas des logiciels espions modernes. En 1999, lors de l’enquête visant le mafieux de Philadelphie Nicodemo S. Scarfo pour jeux d’argent clandestins et usure, le FBI avait utilisé un logiciel capable d’enregistrer les frappes au clavier afin d’accéder à des éléments chiffrés avec PGP. 712

Pour le sénateur, cette histoire montre surtout que les capacités techniques ont évolué plus vite que les mécanismes de transparence et de contrôle. Il demande donc au GAO de produire un rapport public présentant ses conclusions et ses recommandations.

En résumé, Ron Wyden réclame cet audit parce que des outils de surveillance très intrusifs peuvent exposer les données privées d’Américains et créer des risques systémiques, alors que le gouvernement n’a pas suffisamment démontré que leur usage, leur conservation, la gestion des failles, la présentation aux tribunaux et les contrôles internes sont correctement limités.