C'est le premier cas publiquement confirmé de logiciel espion mercenaire diffusé via des publicités numériques ciblées, sans que les victimes aient à cliquer sur un lien, ouvrir une pièce jointe ou interagir avec le contenu malveillant. (Image : GoldenDayz / envato
Des chercheurs ont mis au jour une campagne de logiciel espion « zéro clic » utilisant l’infrastructure de la publicité numérique pour cibler et infecter des appareils spécifiques, soulevant de nouvelles inquiétudes quant à l’exploitation des systèmes publicitaires en ligne à des fins de surveillance.
Il s’agit du premier cas publiquement confirmé de logiciel espion mercenaire diffusé via des publicités numériques ciblées, sans que les victimes aient à cliquer sur un lien, ouvrir une pièce jointe ou interagir avec le contenu malveillant.
L’enquête, publiée le 15 octobre par le Citizen Lab de l’Université de Toronto, a révélé qu’une entreprise israélienne de technologies publicitaires, Discover-Tech, fournissait une infrastructure permettant aux opérateurs de logiciels espions d’identifier des appareils spécifiques via la publicité en ligne et d’infecter potentiellement des cibles sélectionnées dès l’affichage d’une publicité.
Les chercheurs ont baptisé cette technique « AdFection ».
Logiciel espion diffusé via des publicités en ligne ordinaires
Selon l’enquête du Citizen Lab, Discover-Tech exploitait une plateforme appelée Controlium, capable d’utiliser les identifiants publicitaires, les adresses IP et d’autres informations sur les appareils pour identifier et profiler les individus. Une fois qu'un appareil sélectionné recevait une publicité, du code supplémentaire pouvait être automatiquement délivré.
Citizen Lab a déclaré que cette architecture démontrait que « le simple affichage d'une publicité ciblée suffit à infecter un appareil ».
Contrairement aux attaques de phishing classiques, la victime n'avait pas besoin de cliquer sur la publicité. Dans certains cas, selon Citizen Lab, la publicité pouvait même s'afficher en arrière-plan pendant qu'une personne utilisait un site web ou une application par ailleurs légitime.
Wolfie Christl, chercheur principal chez Citizen Lab, a déclaré à Reuters que « le fonctionnement actuel de la publicité en ligne constitue une menace systémique pour la sécurité ».
Les chercheurs ont établi un lien quasi certain entre cette technique et un logiciel espion développé par la société israélienne de surveillance Candiru, également connue sous le nom d'Integrity Labs. Le département du Commerce américain a ajouté Candiru à sa liste d'entités en 2021, affirmant que la société avait fourni un logiciel espion à des gouvernements étrangers qui l'ont utilisé pour cibler malicieusement des journalistes, des responsables gouvernementaux, des militants, des universitaires et d'autres personnes.
La preuve la plus convaincante pour Citizen Lab provenait d'Al Jazeera. Des chercheurs ont indiqué qu'au moins 45 appareils au sein de la rédaction ont été ciblés par des attaques « zéro clic » entre 2024 et 2025. Les journaux réseau ont révélé que les appareils infectés contactaient d'abord l'infrastructure de Discover-Tech, puis les serveurs de validation de Candiru et enfin l'infrastructure de commande et de contrôle de Candiru.
L'ampleur des opérations publicitaires de Discover-Tech était bien supérieure au nombre d'infections par logiciels espions confirmées. Citizen Lab a analysé près de quatre milliards d'enregistrements d'enchères publicitaires exposés et a constaté que des publicités Discover-Tech étaient apparues sur plus de 120 000 sites web et plus de 70 000 applications mobiles entre mars et juin 2026.
Les chercheurs ont également trouvé ces publicités sur des réseaux associés à des gouvernements, des forces armées, des agences nationales de cybersécurité, les Nations Unies, l'OTAN et des institutions de l'Union européenne. Cependant, la présence d'une publicité ne prouve pas que ces organisations étaient infectées par un logiciel espion.
Bill Marczak, chercheur chez Citizen Lab, a averti TechCrunch que Discover-Tech n'est « sans doute que la partie émergée de l'iceberg ».
Google et les régies publicitaires coupent les ponts avec Discover-Tech
Ces révélations ont suscité de vives réactions dans le secteur de la publicité numérique, soulevant des questions sur la manière dont une entreprise soupçonnée de faciliter les opérations de logiciels espions a pu accéder aux principales plateformes publicitaires.
Discover-Tech figurait sur les listes de fournisseurs agréés ou certifiés de Google et de l'IAB Europe. Google a déclaré à Reuters avoir collaboré avec Citizen Lab et Confiant durant l'enquête et avoir retiré Discover-Tech de ses plateformes publicitaires « pour violation systématique de nos règles ».
L'IAB Europe a également suspendu Discover-Tech de sa liste mondiale de fournisseurs (GVL) suite à un audit ayant mis en évidence des violations de ses règles. Dans un communiqué du 15 octobre, l'organisation a indiqué que la confirmation de la présence de logiciels espions « pourrait également justifier une exclusion définitive de la GVL ».
D'autres régies publicitaires ont emboîté le pas. Beeswax, filiale de Comcast, a retiré Discover-Tech de sa plateforme après un examen interne et une analyse de sécurité réalisée par un tiers. Un porte-parole de l'entreprise a déclaré à WIRED : « Nous appliquons une politique de tolérance zéro en matière de publicité malveillante ».
Liftoff, propriétaire de Vungle, a suspendu l'accès de Discover-Tech le temps d'un audit interne, tandis que la plateforme publicitaire Eskimi a bloqué les comptes et les domaines de l'entreprise. Eskimi a indiqué à Citizen Lab que les balises publicitaires de Discover-Tech étaient conçues pour contourner les analyses de sécurité automatisées en renvoyant un code différent selon l'appareil, l'adresse IP et la localisation.
Volasim, une autre entreprise identifiée lors de l'enquête, a reconnu avoir utilisé Discover-Tech comme prestataire de publicité externe, mais a nié toute implication dans des activités liées aux logiciels espions. Citizen Lab a indiqué que Discover-Tech, Candiru/Integrity Labs, Xandr (filiale de Microsoft Advertising) et la société chinoise de technologies publicitaires Sunteng figuraient parmi les entreprises n'ayant pas répondu à ses demandes de commentaires avant la date limite de publication. Reuters a par ailleurs rapporté que Yandex n'avait pas répondu à sa demande de commentaires.
Al Jazeera, de son côté, a condamné les attaques contre ses employés. Dans un communiqué diffusé par la chaîne, elle a qualifié le ciblage des journalistes d'« atteinte à la liberté de la presse et au droit du public à l'information » et a exigé que les responsables soient traduits en justice.
Les spécialistes en cybersécurité affirment que l'importance d'AdFection dépasse le cadre de cette campagne de logiciels espions, car elle révèle comment l'architecture de la publicité ciblée peut être détournée à des fins de surveillance.
Les mêmes systèmes d'enchères en temps réel qui permettent aux annonceurs d'identifier des appareils spécifiques et de leur diffuser des publicités personnalisées peuvent potentiellement permettre à un attaquant sophistiqué de trouver une cible, de remporter l'enchère pour l'affichage de son écran et d'y injecter un code malveillant.
Pour les cibles à haut risque telles que les journalistes, les dissidents et les représentants du gouvernement, Citizen Lab recommande de désactiver le suivi publicitaire, d'utiliser des bloqueurs de publicités fiables et de maintenir ses appareils et navigateurs à jour. Les chercheurs appellent également les autorités de régulation et le secteur publicitaire à étudier comment empêcher l'infrastructure publicitaire de devenir un vecteur de diffusion de logiciels espions malveillants.
Pour améliorer votre expérience, nous (et nos partenaires) stockons et/ou accédons à des informations sur votre terminal (cookie ou équivalent) avec votre accord pour tous nos sites et applications, sur vos terminaux connectés.
