Des chercheurs lient une firme publicitaire israélienne à des attaques de logiciels espions à zéro clic

Des chercheurs du Citizen Lab ont identifié une nouvelle méthode de livraison de logiciels espions mercenaires, liant la firme israélienne de technologies publicitaires Discover-Tech à des attaques à zéro clic contre des appareils du réseau d'information international Al Jazeera. Le rapport, publié le 15 octobre 2026, décrit une technique que les chercheurs appellent « AdFection », où des publicités ciblées servent de canal pour installer des logiciels espions sans interaction de l'utilisateur.

La technique AdFection

Selon le Citizen Lab, Discover-Tech exploite une plateforme appelée Controlium, qui permet aux clients de désanonymiser et de prendre l'empreinte digitale des utilisateurs d'Internet. Lorsqu'un utilisateur ciblé voit une publicité, le code de celle-ci peut exécuter automatiquement du JavaScript qui installe un logiciel espion. Ce processus ne nécessite aucun clic ni interaction de la part de la victime, ce qui le distingue des méthodes traditionnelles de phishing ou de livraison de logiciels malveillants.

« L'écosystème [de la publicité en ligne] est armé à une échelle massive pour profiler des millions d'utilisateurs, puis infecter silencieusement des cibles avec des logiciels espions mercenaires à zéro clic », indique le rapport.

Les chercheurs affirment qu'au moins 45 appareils au sein d'Al Jazeera ont été ciblés lors d'attaques en 2024 et 2025. Le logiciel espion utilisé dans ces cas est attribué à Candiru, un fournisseur de surveillance mercenaire qui a changé de nom pour « Integrity Labs ». La séquence d'attaque implique que l'appareil contacte d'abord l'infrastructure de Discover-Tech, suivi d'une connexion à un serveur de validation de Candiru, et enfin l'établissement d'une communication avec un serveur de Commande et Contrôle (C&C).

Envergure et réponse de l'industrie

L'analyse de quatre milliards d'enregistrements d'enchères de Discover-Tech a révélé que les publicités de l'entreprise étaient affichées sur près de 200 000 sites web et applications uniques dans des dizaines de pays. Le rapport note que Discover-Tech figurait sur les listes de fournisseurs « certifiés » et « approuvés » tenues par Google et l'association de l'industrie publicitaire IAB Europe jusqu'au début octobre 2026.

Suite à la divulgation de ces conclusions, plusieurs grands fournisseurs publicitaires ont pris des mesures. Google a résilié l'accès de Discover-Tech à ses plateformes d'échange publicitaire, et IAB Europe a retiré l'entreprise de ses registres. Beeswax a retiré Discover-Tech de sa plateforme d'achat publicitaire, tandis que Vungle (Liftoff) a suspendu l'accès dans l'attente d'une révision. Eskimi a bloqué les comptes et les domaines de l'entreprise.

Wolfie Christl, chercheur au Citizen Lab, a déclaré : « Il est désastreux que les grands fournisseurs publicitaires et les organisations n'aient apparemment été ni en mesure de détecter ni de prévenir les opérations publicitaires malveillantes de l'entreprise pendant des années. »

Liens avec d'autres fournisseurs de surveillance

L'enquête a également révélé des liens entre Discover-Tech et d'autres entités de surveillance mercenaire, notamment Intelos et Bindecy. Intelos est décrit comme une firme de renseignement publicitaire mercenaire (ADINT), tandis que Bindecy est identifiée comme une société de piratage mercenaire. De plus, les chercheurs ont identifié un acteur de menace distinct, désigné sous le nom de DARK CARTOGRAPHER, qui utilise l'infrastructure de Discover-Tech pour lier les identifiants publicitaires des appareils aux numéros de téléphone, un processus qui désanonymise massivement les utilisateurs d'Internet.

Bill Marczak, chercheur au Citizen Lab, a souligné l'importance des conclusions : « Il y a eu beaucoup de rumeurs selon lesquelles les publicités en ligne peuvent être utilisées pour identifier et pirater automatiquement des cibles avec une précision chirurgicale, mais pour la première fois, nous avons maintenant des preuves techniques concrètes montrant ce processus en action. »

Pourquoi c'est important

Le rapport met en évidence les vulnérabilités structurelles du système d'enchères en temps réel (RTB) utilisé pour la publicité en ligne. Parce que les publicités peuvent contenir du code exécutable, les acteurs malveillants peuvent exploiter l'écosystème pour cibler des individus spécifiques avec une grande précision. L'incapacité des grands fournisseurs publicitaires et des organismes de l'industrie à détecter ces opérations pendant des années soulève des inquiétudes quant à la sécurité de l'infrastructure publicitaire numérique pour les États, les secteurs privés et la société civile. Le Citizen Lab a appelé les régulateurs à enquêter pour déterminer si Discover-Tech et Candiru/Integrity Labs ont violé les lois applicables.

Sources (en anglais)

• citizenlab.ca: Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware - The Citizen Lab
• theguardian.com: Online ads weaponised to deliver ‘zero-click’ spyware, researchers say | Hacking | The Guardian

Traduction réalisée par IA de l’article original en anglais, vérifiée automatiquement pour dire la même chose que l’original. Les sources ont été vérifiées en anglais.