AdFection: comment les publicités en ligne peuvent-elles distribuer des logiciels espions?
La publicité en ligne est conçue pour connecter les annonceurs aux utilisateurs intéressés par certains produits et services. Cependant, une enquête publiée par Citizen Lab, le laboratoire de recherche en sécurité numérique de l’Université de Toronto, montre que la même infrastructure peut être exploitée pour la surveillance et des attaques informatiques sophistiquées de type logiciel espion.
Dans le rapport officiel, publié par Citizen Lab, les chercheurs documentent une technique nommée AdFection, par laquelle des publicités ciblées peuvent être utilisées pour livrer des logiciels espions sans que la victime n’ait à cliquer sur un lien ou à ouvrir un fichier.
L’enquête identifie une infrastructure associée à la société israélienne Discover-Tech et à sa plateforme Controlium. Selon les auteurs, celle-ci aurait facilité à la fois l’identification et le profilage des utilisateurs, ainsi que la distribution de logiciels espions commerciaux développés par Candiru, une société connue plus tard sous le nom d’Integrity Labs. Un élément particulièrement important est la confirmation technique présentée par Citizen Lab : les chercheurs affirment avoir identifié des appareils au sein de l’organisation médiatique Al Jazeera infectés par des logiciels espions via des publicités en ligne ciblées.
Le rapport ne se limite pas à un cas isolé. Les auteurs analysent des milliards d’enregistrements publicitaires, l’infrastructure logicielle, les connexions entre fournisseurs et les données techniques pour expliquer comment les systèmes construits pour la publicité peuvent être transformés en un canal d’espionnage.
Comment fonctionne une attaque de logiciel espion «zéro clic» via la publicité?
Pour comprendre la technique AdFection, il faut analyser la manière dont les publicités sont diffusées sur les sites web et dans les applications. La plupart des utilisateurs voient les publicités comme des images, des vidéos ou des bannières. En réalité, la publicité numérique programmatique implique une infrastructure complexe, composée de plateformes d’enchères, d’intermédiaires, d’annonceurs et de fournisseurs de technologie publicitaire.
Enchères publicitaires en temps réel
Lorsqu’un utilisateur ouvre une page web ou une application qui affiche des publicités, un processus appelé Real-Time Bidding (RTB) peut avoir lieu. Dans un laps de temps très court, les plateformes publicitaires évaluent l’opportunité d’afficher une certaine annonce. Les demandes d’enchères peuvent inclure des informations telles que l’adresse IP, les identifiants publicitaires, les caractéristiques de l’appareil et les données sur l’application ou la page consultée.
Ces informations peuvent permettre de cibler les publicités vers certaines catégories d’utilisateurs ou même vers des appareils individuels, en fonction des identifiants disponibles. Le système est conçu pour la personnalisation de la publicité, mais la capacité d’identifier les utilisateurs et de transmettre du code aux appareils crée également des opportunités d’abus.
Exécution du code associé à la publicité
Une publicité numérique ne contient pas toujours seulement une image ou une vidéo. Elle peut inclure des scripts et des composants fournis par différents intermédiaires, qui sont exécutés dans le navigateur ou dans l’environnement d’affichage de l’application.
Selon l’analyse de Citizen Lab, l’infrastructure associée à Discover-Tech pouvait utiliser des scripts Java pour demander du code supplémentaire à des serveurs contrôlés par l’entreprise. Dans un scénario d’attaque, le code supplémentaire peut être dirigé vers un utilisateur spécifique, au lieu d’être livré à toutes les personnes qui voient la publicité.
Identification de la cible et livraison du logiciel espion
Selon les chercheurs, la plateforme Controlium permettait la gestion d’identifiants d’utilisateurs, la configuration des campagnes et l’observation des données associées aux demandes publicitaires. Cette capacité pouvait être utilisée pour identifier les appareils ciblés et pour livrer du code au moment de l’affichage de la publicité. Si l’appareil remplissait les conditions nécessaires et que les vulnérabilités exploitées étaient présentes, l’attaque pouvait se poursuivre avec l’installation du logiciel espion.
C’est le sens du terme «zéro clic»: la victime n’a pas besoin d’interagir explicitement avec la publicité pour que l’attaque se déroule. Il est important de préciser que l’affichage d’une publicité ne conduit pas automatiquement à l’infection de n’importe quel appareil. L’attaque décrite suppose une infrastructure spécialement conçue, la sélection de la cible et l’existence des conditions techniques permettant de compromettre le système.
Qu’ont découvert les chercheurs sur Discover-Tech et la plateforme Controlium?
Citizen Lab décrit Discover-Tech comme une entreprise qui se présentait comme un fournisseur légitime de publicité numérique, mais qui aurait eu un rôle d’intermédiaire entre l’écosystème publicitaire et plusieurs fournisseurs d’outils de surveillance. Sa plateforme, Controlium, est l’un des éléments centraux de l’enquête.
Selon le rapport, l’analyse de l’interface et du code de la plateforme a mis en évidence des fonctions de configuration des campagnes, de gestion des identifiants d’utilisateurs, de consultation des demandes publicitaires et de vérification des affichages publicitaires. Les chercheurs ont également identifié des mécanismes par lesquels le code pouvait être transmis conditionnellement à certains appareils.
Le rapport présente également des preuves de liens entre Discover-Tech et plusieurs entités de l’industrie de la surveillance commerciale, y compris Candiru/Integrity Labs, Intelos et Bindecy. La nature et l’ampleur des relations diffèrent selon l’entité et les preuves analysées ; il ne faut pas supposer que toutes ces entreprises ont eu le même rôle dans chaque attaque.
Un autre aspect important est l’infrastructure de serveurs utilisée pour la livraison des scripts. Citizen Lab décrit des serveurs qui pouvaient décider si un certain identifiant était éligible pour recevoir du code supplémentaire. Dans certaines situations, les serveurs ne renvoyaient pas de contenu, ce qui pouvait rendre plus difficile l’observation du mécanisme par des personnes ne faisant pas partie du groupe ciblé.
Ces constatations montrent pourquoi l’analyse technique de la publicité numérique peut nécessiter plus que l’examen visuel d’une bannière. Pour comprendre une attaque, les chercheurs doivent corréler les données d’enchères, le code, l’infrastructure réseau et les identifiants techniques.
Près de quatre milliards d’enregistrements publicitaires analysés
L’une des contributions les plus pertinentes du rapport Citizen Lab est l’analyse du volume d’activité publicitaire associée à la plateforme MyDSP, opérée par Discover-Tech. Les chercheurs ont analysé près de quatre milliards d’enregistrements d’enchères publicitaires pour la période de mars à juin 2026. Les données indiquent que les publicités associées à l’entreprise ont été affichées sur plus de 120 000 sites web et dans plus de 75 000 applications Android et iOS.
Le rapport distingue le nombre de demandes d’enchères, le nombre d’enchères gagnées et les publicités effectivement affichées. Ces catégories ne sont pas équivalentes et ne doivent pas être interprétées comme le nombre de victimes ou d’appareils infectés. Pour la même période, les données MyDSP analysées par les chercheurs indiquaient environ 3,77 milliards d’enchères et environ 442 millions d’affichages gagnés. Les auteurs ont également identifié un volume important d’enchères associées à des publicités qui semblaient contenir des scripts indiquant des serveurs NOAS, utilisés dans le mécanisme étudié.
Selon le rapport, de telles publicités ont été affichées aux utilisateurs de nombreux pays et via une gamme variée d’applications et de sites web. Les données géographiques sont basées en partie sur les adresses IP, et Citizen Lab avertit que la géolocalisation IP peut être inexacte, y compris en raison des VPN ou de l’infrastructure réseau.
Ces chiffres démontrent l’ampleur de l’infrastructure publicitaire analysée, et non le fait que des centaines de millions de personnes ont été infectées. L’exposition à une publicité, l’identification d’un utilisateur et la compromission d’un appareil sont des événements distincts. Cette différence est essentielle pour une interprétation correcte du rapport et pour éviter d’exagérer le risque.
Le cas d’Al Jazeera: preuves techniques d’infection par un logiciel espion
Citizen Lab affirme avoir identifié des appareils au sein du réseau Al Jazeera infectés par un logiciel espion commercial attribué à la société Candiru, connue plus tard sous le nom d’Integrity Labs. Le rapport présente des preuves techniques qui relient les incidents de 2024 et 2025 à l’infrastructure publicitaire étudiée. Les chercheurs ont analysé, entre autres, les liens d’infection, les paramètres techniques et les données associées aux systèmes utilisés pour livrer les attaques.
L’importance du cas réside dans le fait que la recherche ne décrit pas seulement la possibilité théorique d’utiliser des publicités pour des attaques informatiques. Les auteurs affirment avoir documenté techniquement l’utilisation de ce mécanisme pour compromettre des appareils réels. Pour les organisations médiatiques, de telles attaques peuvent avoir de graves conséquences. L’accès non autorisé aux appareils des journalistes peut mettre en danger les sources, les communications confidentielles et les informations sur les enquêtes en cours.
Cependant, le cas ne doit pas être interprété comme la preuve que tout journaliste ou utilisateur d’une application mentionnée dans le rapport a été infecté. La présence d’une publicité dans une application n’équivaut pas à l’infection de tous ses utilisateurs.
Quelles données peuvent être collectées et quels risques existent pour la confidentialité?
Le rapport Citizen Lab analyse deux catégories distinctes de menaces : la surveillance via les données de l’écosystème publicitaire et la compromission des appareils par des logiciels espions. La première peut apparaître même sans l’installation d’un programme malveillant. Les données générées par les enchères publicitaires peuvent permettre de corréler des identifiants avec des adresses IP, des localisations approximatives, des applications utilisées et des schémas d’activité. Cette pratique est pertinente pour ce que l’industrie appelle advertising intelligence ou ADINT : l’utilisation des données publicitaires à des fins d’analyse et de surveillance.
La deuxième catégorie suppose un risque plus sévère. Si un attaquant parvient à installer un logiciel espion sur un appareil, les informations accessibles dépendent du programme, des vulnérabilités exploitées et du niveau d’accès obtenu. En fonction des capacités de l’outil, les communications, les fichiers, les photos et d’autres données personnelles peuvent être exposées.
Citizen Lab décrit également une opération distincte, nommée par les chercheurs DARK CARTOGRAPHER, qui exploiterait des vulnérabilités dans les réseaux mobiles pour associer des identifiants publicitaires à des numéros de téléphone. Les auteurs précisent que l’enquête sur cet acteur est en cours et que des analyses supplémentaires seront publiées.
Par conséquent, le risque ne se limite pas à la publicité malveillante. Il inclut également la possibilité de transformer les données collectées pour la personnalisation des publicités en un instrument d’identification et de suivi des personnes.
Comment se protéger contre les logiciels espions distribués par des publicités?
Une attaque « zéro clic » ne nécessite pas d’action évidente de la part de l’utilisateur. Pour cette raison, la simple évitement des liens suspects ne suffit pas à éliminer tous les risques. Il existe, cependant, des mesures qui peuvent réduire l’exposition et améliorer la sécurité des appareils.
Mettre à jour le système d’exploitation et les applications
Installez les mises à jour de sécurité pour Android, iOS, Windows, macOS et les navigateurs utilisés. Celles-ci peuvent corriger des vulnérabilités qui pourraient être exploitées pour compromettre les appareils. Les mises à jour n’offrent pas une protection absolue contre les outils de surveillance avancés, mais elles sont une composante essentielle de la défense.
Réduire l’exposition au suivi publicitaire
Vérifiez les paramètres de confidentialité de votre téléphone et de votre navigateur. Limitez les identifiants publicitaires et les autorisations pour les applications qui n’ont pas besoin d’accéder à la localisation ou à d’autres informations sensibles.
Les protections anti-pistage et le blocage des publicités peuvent réduire certaines formes de collecte de données et limiter l’exposition à certaines publicités malveillantes. Cependant, ces outils ne garantissent pas la prévention des attaques «zéro clic».
Utiliser les fonctions de sécurité avancées
Les utilisateurs à haut risque, tels que les journalistes, les activistes et les personnes qui gèrent des informations confidentielles, devraient évaluer les fonctions de protection avancées offertes par leurs systèmes d’exploitation. Dans les environnements organisationnels, les mesures peuvent inclure la surveillance des appareils, des politiques de mise à jour strictes, la gestion centralisée de la sécurité et des procédures de réponse aux incidents.
Ne pas interpréter les symptômes courants comme des preuves d’infection par un logiciel espion
Une batterie qui se décharge rapidement, un téléphone qui chauffe ou une consommation de données inhabituelle ne prouvent pas, en eux-mêmes, l’existence d’un logiciel espion. S’il existe des indices concrets d’une attaque sophistiquée, il est recommandé de faire évaluer l’appareil par un spécialiste en cybersécurité.
Dans de telles situations, la réinitialisation du téléphone ne doit pas être considérée automatiquement comme une solution suffisante, surtout s’il est nécessaire de conserver les preuves pour une enquête.
Quelles mesures ont été prises après l’enquête de Citizen Lab?
Le rapport montre que les chercheurs ont transmis leurs constatations aux fournisseurs de technologie publicitaire et aux organisations de l’industrie. Selon Citizen Lab, Google et l’IAB Europe ont retiré Discover-Tech de leurs registres de fournisseurs approuvés, et Beeswax a interrompu l’accès de l’entreprise à sa plateforme. Vungle (Liftoff) et Eskimi ont également pris des mesures de suspension ou de blocage de l’accès.
Ces interventions sont importantes car elles démontrent que la prévention des abus ne peut pas être laissée exclusivement à la charge des utilisateurs. Les fournisseurs de publicité ont un rôle direct dans la vérification des partenaires, la surveillance de leur comportement et l’interruption de l’accès lorsque des preuves crédibles d’abus apparaissent.
Citizen Lab demande également l’ouverture d’une enquête sur les éventuelles violations de la législation applicable par Discover-Tech et Candiru/Integrity Labs. Cet appel doit être différencié d’une décision de justice: le rapport présente des conclusions de recherche et des recommandations, il n’établit pas en soi la responsabilité juridique définitive des entreprises.
Pourquoi ce type de logiciel espion représente-t-il un problème pour toute l’industrie publicitaire?
L’enquête met en évidence un problème structurel : l’infrastructure publicitaire permet la circulation de très grands volumes de données et implique de nombreux intermédiaires, sans que l’utilisateur ne puisse voir ou contrôler tous les composants techniques qui participent à l’affichage d’une publicité. Un fournisseur qui a accès aux identifiants publicitaires et aux mécanismes de livraison de code peut avoir la possibilité d’utiliser ces fonctions au-delà de l’objectif commercial déclaré.
Dans le cas d’AdFection, Citizen Lab affirme que cette infrastructure a été exploitée pour la surveillance, le profilage et la livraison de logiciels espions. Les chercheurs estiment que la situation met en évidence des lacunes systémiques dans la manière dont l’industrie publicitaire vérifie et surveille les acteurs qui participent aux enchères.
Pour réduire les risques, des vérifications plus strictes des fournisseurs, des audits techniques indépendants, une limitation de l’accès aux données, des mécanismes efficaces de signalement et d’intervention, ainsi qu’une évaluation attentive de la manière dont le code tiers peut être exécuté dans les applications et les navigateurs sont nécessaires. Ces mesures sont pertinentes non seulement pour les entreprises de publicité, mais aussi pour les développeurs d’applications, les administrateurs de sites web, les institutions publiques et les organisations qui gèrent des données sensibles.
La publicité numérique doit être traitée comme un risque de cybersécurité
Le rapport de Citizen Lab sur AdFection documente comment l’infrastructure de la publicité en ligne peut être exploitée pour la surveillance et la distribution de logiciels espions sans clic. L’analyse de Discover-Tech, de la plateforme Controlium et des liens avec les fournisseurs de logiciels espions commerciaux montre que les risques de l’écosystème publicitaire dépassent la sphère de la confidentialité et du suivi à des fins de marketing.
Pour les utilisateurs, la mise à jour des appareils, la limitation du suivi publicitaire et l’utilisation des fonctions de sécurité appropriées sont des mesures importantes, même si elles ne peuvent pas éliminer tous les risques. Pour l’industrie, la principale leçon est que la vérification des fournisseurs, l’audit de l’infrastructure et l’intervention rapide en cas d’abus doivent devenir des composantes centrales de la sécurité de la publicité numérique.
Si une publicité peut être transformée en instrument d’espionnage, la sécurité en ligne ne dépend plus seulement de ce que fait l’utilisateur, mais devient la responsabilité de tout l’écosystème technologique.
Source: citizenlab.ca
Note: image générée par l’IA
