CybersécuritéActualité
Des publicités ciblées ont infecté des appareils d’Al Jazeera
Une publicité ciblée a suffi à installer un logiciel espion sur des appareils d’Al Jazeera, sans aucun clic, selon le Citizen Lab. La régie en cause, approuvée par Google et l’industrie européenne, diffusait dans près de 200 000 applications et sites.
À la chaîne d’information qatarie Al Jazeera, au moins 45 appareils ont été visés en 2024 et 2025 par une attaque jamais confirmée publiquement jusqu’ici : un logiciel espion livré par une publicité, sans que personne ait à cliquer. Le Citizen Lab, laboratoire de l’université de Toronto spécialisé dans la surveillance numérique, en apporte dans un rapport publié le 15 octobre la « première confirmation publique ». Il baptise la technique « AdFection ».
Le logiciel est celui de Candiru, société fondée en Israël, placée en 2021 sur la liste noire du département américain du Commerce pour avoir fourni à des gouvernements un outil utilisé contre des journalistes, des militants ou des employés d’ambassades ; elle opère aujourd’hui sous le nom d’Integrity Labs. Les publicités ont été achetées par Discover-Tech, une régie israélienne fondée en 2020 qui se présentait comme une entreprise publicitaire ordinaire.
Ce que montrent les journaux réseau d’Al Jazeera
La preuve repose sur les journaux de connexion fournis par Al Jazeera, qui a accepté d’être nommée. Sur les appareils touchés, la séquence est la même : contact avec un domaine de Discover-Tech, signe qu’une publicité vient de s’afficher ; puis avec un serveur « validateur » de Candiru, qui examine l’appareil ; enfin, pour les appareils infectés, avec un serveur de commande de Candiru, l’ordinateur distant qui pilote le logiciel espion. Al Jazeera a isolé sur l’un d’eux un fichier Windows dont le code reprend des particularités de la version de Candiru capturée par le Citizen Lab en 2021. Le laboratoire relie les attaques à Candiru « avec un haut degré de confiance ».
Trois points restent dans l’ombre. Le rapport ne dit pas combien des 45 appareils visés ont effectivement été infectés. Il ne nomme pas le gouvernement client : « on ne sait pas à ce stade quels gouvernements » exploitent ces capacités, écrivent les chercheurs. Et la faille qui permet de passer de l’annonce à l’installation n’est pas décrite : le code distribué par ces publicités n’est livré qu’une fois, à l’appareil visé, et le laboratoire n’a pas pu en récupérer. La société de sécurité publicitaire Confiant, qui a mené une enquête parallèle, a obtenu du code apparenté, capable d’exécuter des instructions envoyées à distance, mais dit ne pas avoir « capturé de chaîne d’exploitation complète ».
Comment une enchère publicitaire devient une porte d’entrée
L’attaque détourne le fonctionnement ordinaire de la publicité en ligne. Quand une application ou un site affiche une annonce, l’emplacement est le plus souvent mis aux enchères en temps réel : en moins d’une seconde, l’appareil transmet à une place de marché des informations sur lui-même (caractéristiques, adresse IP, parfois localisation), des acheteurs enchérissent, le gagnant pousse son annonce. Ces enchères se comptent par centaines de milliards chaque jour, rappelle le rapport. Parmi les informations transmises figure souvent l’identifiant publicitaire, un numéro propre à chaque téléphone, Android comme iPhone, qui permet aux annonceurs de le reconnaître d’une application à l’autre.
C’est cet identifiant qui permet de viser une seule personne. Sur Controlium, la plateforme de Discover-Tech, dont les chercheurs ont reconstitué l’interface à partir du code laissé en clair sur sa page de connexion, un client peut saisir l’identifiant publicitaire ou l’adresse IP d’une cible. Quand l’enchère est gagnée, l’annonce contient un petit programme qui rappelle un serveur de Discover-Tech en lui transmettant l’identifiant de l’appareil. Si ce n’est pas la cible, le serveur ne renvoie rien. Si c’est elle, il renvoie du code, qui peut aller chercher la suite : l’outil d’intrusion, puis le logiciel espion. L’annonce peut même s’afficher en arrière-plan, sans être vue.
Ce tri explique pourquoi les contrôles de l’industrie n’ont rien vu. Les annonces « chargeaient un code différent selon la personne qui les voyait », a expliqué la régie lituanienne Eskimi, l’une de celles qu’utilisait Discover-Tech, dans sa réponse aux chercheurs : c’est ainsi qu’elles passaient les vérifications des prestataires spécialisés.
Une régie sans vrais annonceurs
Le Citizen Lab a trouvé, ouverte à tous sur un serveur de Discover-Tech, la base de ses enchères de mars à juin 2026. Le rapport parle de près de « quatre milliards » d’enregistrements ; la plateforme d’achat de la régie, MyDSP, y a fait à elle seule 3,77 milliards d’offres, dont 442 millions remportées. Environ 19 % portaient sur des annonces contenant le programme de rappel, affichées dans 75 373 applications Android et iOS et sur 120 768 sites : c’est le total de près de 200 000 à retenir. On y trouve Viber, Truecaller, Duolingo ou Yahoo Mail, et des sites comme weather.com, bbc.com ou nytimes.com. Confiant, avec ses propres données, évalue l’activité de la régie à une dizaine de millions d’affichages par jour.
Les chercheurs doutent qu’il s’agisse de publicité : trois annonceurs en tout, la plupart liés à Discover-Tech elle-même, environ 109 000 dollars dépensés en quatre mois et pas un seul achat ou téléchargement enregistré après une annonce. Le rapport parle d’une « façade ». Discover-Tech n’a pas répondu.
Il faut toutefois distinguer deux échelles. L’infection vise quelques personnes choisies : le seul cas confirmé est celui d’Al Jazeera. Le pistage touche bien plus de monde : selon le rapport, ces publicités ont dirigé des « millions » d’appareils vers des serveurs liés à Candiru, « probablement » pour repérer et profiler de futures cibles. Et une annonce affichée « ne confirme pas en soi » un ciblage ou une infection, insiste le laboratoire.
Approuvée en Europe pendant six ans
Les annonces de Discover-Tech se sont affichées sur les réseaux du Parlement européen, de la Commission et du secrétariat général du Conseil, comme sur ceux de l’OTAN, de l’ONU, de ministères tchèques et italiens ou d’infrastructures scandinaves. Parmi les médias dont les réseaux apparaissent, le rapport en signale au moins un français, qu’il ne nomme pas.
Surtout, la régie figurait depuis 2020 sur plusieurs listes de prestataires « certifiés » de Google et, du 2 juillet 2020 au 8 octobre 2026, dans le registre d’IAB Europe, l’association européenne des professionnels de la publicité. Ce registre alimente le Transparency and Consent Framework (TCF), qui fait fonctionner une bonne part des fenêtres de consentement aux cookies : le clic sur « Accepter » est transmis aux prestataires inscrits. Ces listes reposent « largement sur l’autodéclaration », juge le Citizen Lab : pendant près de six ans, des centaines de millions d’Européens ont pu se voir présenter une demande de consentement qui, acceptée, pouvait passer pour une autorisation donnée à Discover-Tech. Le TCF était déjà contesté : l’autorité belge de protection des données a infligé 250 000 euros d’amende à IAB Europe en 2022, et la Cour de justice de l’Union a jugé en mars 2024 que l’association pouvait être responsable conjointe des traitements réalisés par ce biais.
Le code de suivi de Discover-Tech échangeait aussi des identifiants d’internautes avec Xandr, la régie de Microsoft, sanctionnée le 12 octobre en Norvège pour avoir relayé des données de Grindr dans ces mêmes enchères. Ni Xandr ni IAB Europe n’ont répondu au Citizen Lab ; IAB Europe a toutefois retiré Discover-Tech de son registre. Google, qui a collaboré à l’enquête, lui a coupé l’accès à ses plateformes ; Beeswax (Comcast), Eskimi et Vungle l’ont écartée ou suspendue.
Un second rapport en préparation
Le Citizen Lab demande aux autorités d’enquêter sur Discover-Tech et Candiru, qui n’ont pas répondu, et sur le reste de la chaîne publicitaire : « il est peu probable que Discover-Tech soit le seul » intermédiaire de ce genre. Il annonce un second rapport sur un acteur baptisé « Dark Cartographer », qui utilise la même infrastructure et des failles chez des opérateurs mobiles de plus de 30 pays pour relier des identifiants publicitaires à des numéros de téléphone. Il sera publié une fois les opérateurs prévenus.
Les citations du rapport du Citizen Lab, du billet de Confiant et des propos rapportés par TechCrunch sont traduites de l’anglais par la rédaction.
