Citizen Lab révèle une nouvelle technique d'espionnage

Le Citizen Lab, un groupe de recherche de l'Université de Toronto, a publié le 15 octobre un rapport détaillant une nouvelle méthode de cyberattaque baptisée AdFection. Cette technique consiste à intégrer du code malveillant dans des publicités ciblées, qui peuvent infecter un appareil simplement en étant affichées, sans que l'utilisateur ait besoin de cliquer sur un lien ou d'ouvrir un fichier.

Attaque sans clic qui contourne les défenses habituelles

La méthode AdFection est classée comme une attaque « zero-click » car elle ne nécessite aucune interaction de la part de l'utilisateur pour s'exécuter. Cela signifie que les précautions habituelles, comme éviter les liens suspects, ne offrent aucune protection. Le Citizen Lab a souligné qu'il s'agit de la première preuve technique publique qu'un logiciel espion de ce type utilise la publicité comme mécanisme de diffusion.

Al Jazeera visée dans un cas documenté

Le rapport identifie un cas documenté dans lequel la chaîne d'information qatarie Al Jazeera a été visée entre 2024 et 2025. Au moins 45 de ses appareils Windows ont été ciblés, selon Forbes. Le Citizen Lab attribue l'attaque à Candiru, un logiciel espion capable de surveiller les messages, les appels et la localisation des appareils.

Candiru liée à une entreprise israélienne

Candiru avait déjà été identifiée par le Citizen Lab en 2021. La même année, les États-Unis ont ajouté l'entreprise israélienne à l'origine de Candiru à leur liste noire commerciale. L'entreprise a ensuite été rebaptisée Integrity Labs après son rachat par le fonds américain Integrity Partners en 2025.

Un réseau publicitaire utilisé pour diffuser des logiciels malveillants

Les publicités malveillantes ont été achetées par Discover-Tech, un réseau publicitaire israélien fondé en 2020. L'outil de l'entreprise, Controlium, permet à ses clients de cibler des appareils par adresse IP ou par identifiants publicitaires. Cela rend possible la diffusion de publicités malveillantes capables d'exécuter du code lorsqu'elles s'affichent.

Un système d'enchères publicitaires en temps réel détourné

Les réseaux publicitaires utilisent des enchères en temps réel pour afficher les publicités : une application transmet des informations sur l'appareil aux acheteurs, et l'enchérisseur le plus offrant affiche alors sa publicité. Ce système, conçu à des fins marketing, permet un ciblage précis de chaque utilisateur. Discover-Tech a exploité ce mécanisme pour insérer des scripts malveillants dans les publicités.

Du code malveillant dissimulé dans les scripts publicitaires

Le script de Discover-Tech interrogeait ses propres serveurs pour déterminer si un appareil était visé. Si c'était le cas, le serveur renvoyait un code qui dirigeait l'appareil vers les serveurs de Candiru, lesquels infectaient alors l'appareil. Les réseaux publicitaires qui diffusaient ces publicités ignoraient la présence du code malveillant. Le Citizen Lab a récupéré près de quatre milliards d'enregistrements d'enchères sur les serveurs de Discover-Tech.

Des publicités apparues sur de grandes plateformes et chez des institutions

Entre mars et juin 2026, les publicités malveillantes ont été affichées dans 75 373 applications Android et iOS, dont des applications populaires comme MX Player, Viber et Duolingo. Elles sont également apparues sur 120 768 sites web, notamment ceux de l'OTAN, de l'ONU, du Parlement norvégien, des forces armées suédoises et d'organismes australiens de recherche nucléaire.

Bloqueurs de publicités et paramètres de confidentialité recommandés

Le Citizen Lab conseille aux utilisateurs d'installer des bloqueurs de publicités et de désactiver le suivi publicitaire dans les paramètres de leur téléphone. Il recommande également de réinitialiser régulièrement l'identifiant publicitaire de leurs appareils afin de réduire le risque d'être ciblé par des publicités malveillantes.

Discover-Tech exclue des réseaux publicitaires

À l'issue d'un audit, IAB Europe a suspendu Discover-Tech de sa liste de fournisseurs autorisés pour la collecte du consentement des internautes européens. De même, Beeswax, la plateforme publicitaire de Comcast, a retiré Discover-Tech de ses partenaires. Malgré cela, l'entreprise était certifiée par Google et IAB Europe depuis 2020.

Aucune réponse des entreprises concernées

Ni Discover-Tech ni Candiru n'ont répondu aux demandes de commentaires. Al Jazeera, qui a accepté d'être nommée dans le rapport, n'avait pas non plus réagi au moment de la publication de l'article de Forbes. Wolfie Christl, l'un des co-auteurs du rapport, a reconnu la difficulté de se défendre contre de telles publicités malveillantes.