Résumé

  • Sur les neuf sources examinées le 18 octobre 2026, aucun texte adopté, aucune condition de licence, aucune norme contraignante et aucun acte de régulateur n'impose de devoir de disponibilité, de divulgation ou de continuité à un fournisseur de DNS managé ou de résolution faisant autorité.
  • Le seul instrument réellement adopté après l'attaque porte sur l'usage et la gestion, par l'État fédéral, de ses propres objets connectés ; deux médias indépendants rapportent qu'un organe de contrôle a constaté que seules sept agences civiles sur vingt-deux satisfaisaient pleinement aux obligations d'inventaire correspondantes.
  • L'analyse publiée par l'exploitant lui-même n'était pas lisible à son adresse d'origine le jour de la consultation ; ce dossier ne reprend donc pas le récit familier des vagues successives.

Dynamic Network Services, Inc. figure dans ce répertoire sous la raison sociale de l'entreprise dont les serveurs de noms faisant autorité ont été la cible d'un réseau de machines compromises, assemblé dix ans plus tôt à partir de matériel grand public. Ce que le dossier public contient sur cet épisode est plus mince que sa réputation ne le suggère ; ce qu'il contient sur la responsabilité ensuite l'est davantage encore. Il s'agit d'un dossier d'espèce sur une lacune dans les instruments, non d'un verdict sur une entreprise.

Ce que le dossier contient, et ce qu'il ne contient pas

Il faut commencer par ce qui n'a pas pu être lu. L'analyse de l'incident publiée par le prestataire, à l'adresse où elle avait paru, ne renvoyait plus à cette analyse lorsque cette revue l'a sollicitée le 18 octobre 2026 : l'adresse redirigeait vers une page de blog d'entreprise générique, et aucun passage de l'analyse n'a pu être obtenu (voir l'adresse d'origine de l'analyse). C'est une observation de consultation à une date donnée, non une affirmation sur les raisons du déplacement de la page ni sur la décision de quiconque. La conséquence est concrète : la structure des vagues, la liste des services dégradés et le délai de rétablissement qui circulent dans les récits de seconde main ne peuvent être sourcés ici, et ce dossier ne les reprend pas.

Le dossier pénal, ensuite, a été décrit à cette revue plutôt qu'ouvert par elle. Le ministère de la Justice a publié une annonce de mises en accusation et de plaidoyers de culpabilité visant trois personnes liées au réseau Mirai, et un parquet fédéral a publié un communiqué sur les plaidoyers qui en ont résulté. Les deux adresses n'ont pas renvoyé de texte. Cette revue peut donc affirmer qu'une poursuite a existé et qu'elle concernait trois personnes ; elle ne peut citer ni noms, ni chefs de prévention, ni qualifications pénales, ni termes des plaidoyers, ni amendes, ni restitution, ni peines, et elle s'en abstient.

L'alerte désignait des appareils

Ce qui se lit, en revanche, c'est une alerte fédérale de cyberdéfense. L'alerte TA16-288A, « Heightened DDoS Threat Posed by Mirai and Other Botnets », reste publiée, porte une date de dernière révision au 17 octobre 2017 et comporte une section des systèmes concernés qui nomme les objets connectés — « Internet of Things (IoT) » — en donnant comme exemples imprimantes, routeurs, caméras vidéo et téléviseurs connectés. L'adresse qui la sert comporte une date de 2016 dans son chemin ; le corps du texte tel que récupéré n'affiche que la révision postérieure. Qui serait tenté de la présenter comme un avertissement émis quelques jours avant l'attaque doit donc constater que le texte obtenu n'établit pas lui-même la date de première publication.

Même pris au plus fort, ce document reste un avertissement. Il signale qu'une catégorie d'appareils est enrôlée dans du trafic de déni de service. Il ne crée d'obligation pour personne, n'assigne aucun débiteur d'obligation, ne fixe aucun niveau de performance et n'atteint aucun fournisseur de service de nommage. La prévisibilité est une colonne du tableau ; ce n'est pas la colonne de l'obligation.

La loi désignait des agences

Le législateur est intervenu. Le texte adopté de la loi publique 116-207 contient une disposition opératoire qui enjoint au directeur du National Institute of Standards and Technology de concevoir et publier, dans les quatre-vingt-dix jours suivant la promulgation, des normes et lignes directrices « for the Federal Government on the appropriate use and management by agencies of Internet of Things devices ». Une page du dossier parlementaire relative au projet devenu cette loi la décrit dans les mêmes termes : des exigences pour les agences fédérales et une mission de normalisation confiée au NIST.

Il faut lire ce texte lentement, à cause de ce qu'il ne dit pas. Le débiteur de l'obligation est le directeur d'un institut. L'objet est un ensemble de normes et de lignes directrices. La partie contrainte est le gouvernement fédéral, agissant par ses agences, dans son propre usage et sa propre gestion d'appareils connectés. Rien, dans la disposition citée, ne nomme un fournisseur de résolution, un serveur de noms faisant autorité, un registre, ni une obligation de continuité de quelque nature. Une page du NIST destinée aux fabricants a été décrite à cette revue comme énonçant des activités fondamentales pour les constructeurs d'appareils plutôt que des règles applicables à la couche de résolution ; cette description est un résumé, dont la portée juridique exacte n'a pas été vérifiée ici.

Le bilan d'exécution

Une obligation qui lie des agences vaut surtout par ce qui suit. Deux médias indépendants ont rapporté le même constat de l'organe de contrôle, le même jour. L'un écrit que « only seven of 22 civilian CFO Act agencies have fully met OMB requirements for inventorying and maintaining networked devices, according to GAO » (voir le premier article, daté du 1er octobre 2026). L'autre rapporte que « a handful of federal agencies missed deadlines to complete Internet of Things cybersecurity requirements called out in a 2020 law » (voir le second article). Les deux chiffres ne doivent pas être fusionnés : le premier est un décompte, le second n'en est pas un.

Tous deux rapportent en seconde main un produit de contrôle que cette revue n'a pas lu. Leur valeur tient à leur accord, depuis deux rédactions distinctes, sur le fait que le seul instrument réellement adopté n'a pas été pleinement exécuté dans les délais. C'est un constat de conformité en aval. Ce n'est pas une preuve sur les événements d'octobre 2016, et cela ne peut servir ni à imputer la perturbation à des agences fédérales, ni à exonérer le prestataire.

Six colonnes, pas un verdict

Une défaillance de ce type se plaide d'ordinaire dans une seule colonne, celle de la faute. Elle est plus honnête en six.

Prévisibilité : un avertissement fédéral sur des appareils enrôlables figurait au dossier. Attribution formelle : l'instrument localisé répartit des obligations sur les appareils détenus par les agences, non sur le service de nommage. Maîtrise : cette revue n'a établi aucune preuve technique sur ce que le prestataire pouvait absorber, réacheminer ou divulguer, et elle ne le présume pas. Exécution : le compte rendu de l'exploitant sur sa propre performance est illisible à son adresse de publication, donc la performance ne peut être évaluée ici. Causalité : rien dans ces documents ne montre quelle défaillance a produit quel effet.

Réparation : des poursuites pénales contre des personnes, décrites mais non lues, un régime d'appareils applicable aux agences, et aucun instrument localisé du côté du prestataire.

Lu ainsi, le cas cesse d'être une fable morale sur une entreprise et devient une question de conception : quand une couche dont tout le monde dépend n'est liée par personne, qu'est-ce qui la discipline exactement ? Au vu de ce dossier, la réputation et la possibilité pour le client de partir. Ce sont de vrais canaux. Ils sont aussi privés, et ni l'un ni l'autre n'a été mesuré ici.

La conclusion et sa portée

Sur les neuf sources retenues pour cette revue le 18 octobre 2026, aucun texte adopté, aucune condition de licence, aucune norme contraignante et aucun acte de régulateur n'a été localisé qui impose un devoir de disponibilité, de divulgation ou de continuité à un fournisseur de DNS managé ou de résolution faisant autorité.

C'est un résultat négatif daté, de portée étroite, qu'il ne faut pas gonfler. Une obligation inscrite dans une loi d'État, un contrat, un accord de niveau de service, une licence d'une autre juridiction ou une norme privée n'aurait pas été visible pour cette revue. L'absence d'instrument ne prouve pas non plus que la couche était dangereuse, ni qu'un exploitant donné ait manqué de soin.

Ce qu'elle montre, c'est une asymétrie d'attribution : l'attention formelle a atteint les appareils et les inventaires de l'État, tandis que le service partagé qui traduit des noms en adresses a acquis ses obligations par attente plutôt que par texte.