Citizen Lab prouve que des pubs ciblées installaient un espion sans clic

Une publicité en ligne peut contenir bien plus qu’une image. Elle peut aussi embarquer du code, et des chercheurs du Citizen Lab, à l’Université de Toronto, viennent de montrer que ce code pouvait servir à installer un logiciel espion sur l’appareil d’une personne ciblée, sans qu’elle ait à toucher son écran. Le laboratoire a baptisé cette technique AdFection. Une personne piratée de cette façon « ne remarquerait rien d’anormal », a expliqué à Wired Bill Marczak, chercheur principal. « En fait, elle ne verrait peut-être même aucune publicité. »

Voilà qui concerne tous ceux dont le téléphone regorge d’applications gratuites. Jusqu’ici, les attaques sans clic passaient le plus souvent par des failles dans les applications de messagerie, que les entreprises peuvent corriger. Celle-ci s’est appuyée sur les mécanismes ordinaires qui déterminent les publicités que vous voyez : une enchère qui se déroule en une fraction de seconde à chaque chargement d’une application ou d’une page Web, et qui transmet déjà l’identifiant publicitaire de votre appareil, votre adresse IP et des informations sur votre téléphone.

Au cœur du dispositif se trouve Discover-Tech, une entreprise enregistrée en Israël qui se présentait comme une société de publicité. D’après le rapport, sa plateforme, Controlium, permettait à ses clients d’isoler une cible à partir de son identifiant publicitaire, d’un cookie de navigateur ou de son adresse IP, puis d’envoyer du code sur son appareil dès qu’une publicité s’affichait. Tous les autres internautes recevaient une publicité normale. Le Citizen Lab relie avec un haut degré de certitude une série d’attaques contre le réseau d’information Al Jazeera à Candiru, un fabricant de logiciels espions qui se fait désormais appeler Integrity Labs. Au moins 45 appareils au sein du groupe audiovisuel ont été ciblés, et un ordinateur Windows infecté a livré un fichier qui désignait les serveurs de Candiru.

La manière dont les chercheurs ont réussi à entrer dans le système a quelque chose de presque comique. La page de connexion de Controlium livrait le code source complet de son propre tableau de bord : l’équipe a donc enregistré la page, coupé ses liens vers les serveurs externes et activé tous les écrans. Un serveur de Discover-Tech a également laissé près de quatre milliards d’enregistrements d’enchères publicitaires accessibles à tous. On y voit des publicités contenant la balise de script de l’attaquant dans 75 373 applications Android et iOS, ainsi que sur 120 768 sites Web. Des noms bien connus apparaissent dans les données : l’application de messagerie Viber a affiché plus de 700 000 de ces publicités sur Android ; on les a aussi retrouvées dans Yahoo Mail, Opera Mini et Duolingo.

Ces chiffres sont à interpréter avec prudence. Le Citizen Lab insiste sur le fait qu’une publicité de Discover-Tech apparue sur votre écran ne signifie pas que votre téléphone a été piraté. Dans la plupart des cas, le serveur ne renvoyait aucun code, et les données d’enchères ne couvrent qu’une seule des plateformes publicitaires de l’entreprise, sur une période de quatre mois. Le Citizen Lab n’a pas précisé quels gouvernements avaient financé l’opération contre Al Jazeera. Quant à sa découverte de publicités diffusées sur des réseaux de l’OTAN, des Nations unies et de plusieurs institutions européennes, elle témoigne de leur portée, mais ne confirme aucune infection. En Norvège, les publicités ont atteint les réseaux du Parlement et de la police ; en Suède, ceux des forces armées et de l’opérateur national du réseau électrique. Les moyens de défense à la disposition du grand public sont assez rudimentaires. Le conseil de Marczak à toute personne susceptible d’être ciblée « en raison de qui vous êtes ou de ce que vous faites » : désactiver le suivi publicitaire ou bloquer complètement les publicités.

Le secteur de la publicité a commencé à réagir. Google indique avoir bloqué Discover-Tech sur ses plateformes publicitaires après une enquête conjointe avec le Citizen Lab et l’entreprise de sécurité Confiant, et avoir ajouté des avertissements Safe Browsing pour les sites Web liés au groupe. IAB Europe a suspendu l’entreprise de sa liste de fournisseurs publicitaires agréés, tandis que Beeswax, propriété de Comcast, l’a exclue de sa plateforme. Discover-Tech n’a répondu ni à Wired ni à TechCrunch.

Le Citizen Lab a publié son rapport le 15 octobre 2026. Celui-ci porte sur les attaques contre Al Jazeera en 2024 et 2025, ainsi que sur les données d’enchères recueillies de mars à juin 2026. Un deuxième rapport doit paraître sur un autre groupe, que le laboratoire appelle DARK CARTOGRAPHER et qui, selon lui, a utilisé la même infrastructure pour associer les identifiants publicitaires des téléphones à leurs numéros, en exploitant des failles chez des opérateurs mobiles dans plus de 30 pays.

Pour Marczak, Discover-Tech n’est « sûrement que la partie émergée de l’iceberg ». Son équipe n’a pas eu à chercher longtemps pour tomber sur ses publicités. Elles sont apparues sur les écrans des chercheurs alors qu’ils consultaient les sites de CBC et de Yahoo et jouaient au Sudoku sur Android.

Étiquettes: cybersécurité, publicité en ligne, AdFection, Candiru, Citizen Lab, Discover-Tech