Le laboratoire Citizen Lab de l’université de Toronto a publié le 15 octobre 2026 un rapport montrant que des logiciels espions commerciaux ont été installés sur des appareils simplement en y affichant une publicité, sans que la victime clique sur quoi que ce soit. Au centre de l’enquête, une société israélienne, Discover-Tech, qui se présente comme une régie publicitaire ordinaire. C’est, selon les chercheurs, la première confirmation technique publique de ce mode d’attaque.
Ce que révèle le rapport « AdFection »
Citizen Lab affirme qu’au moins 45 appareils de la chaîne Al Jazeera ont été visés en 2024 et 2025 par le logiciel espion de Candiru, rebaptisé Integrity Labs. TechCrunch précise qu’il s’agissait d’ordinateurs Windows. Le rapport ne nomme pas les clients gouvernementaux à l’origine de ces opérations.
La plateforme de Discover-Tech, baptisée Controlium, permettait selon le rapport d’identifier, de pister puis d’infecter un appareil au moment même où une annonce s’y affichait. Le rapport relie aussi des connexions à Controlium à un second fabricant de logiciels espions, Bindecy. Bill Marczak, chercheur principal à Citizen Lab, estime auprès de TechCrunch que l’entreprise n’est « sûrement que la partie émergée de l’iceberg ».
Une diffusion à très grande échelle
Les chercheurs ont analysé près de 4 milliards d’enregistrements d’enchères publicitaires entre mars et juin 2026. Les annonces de Discover-Tech sont apparues sur près de 200 000 applications et sites, dont 75 373 applications et 120 768 sites ayant affiché des publicités contenant des scripts de l’attaquant. Ces scripts ont atteint des utilisateurs localisés dans 161 pays, le Yémen arrivant en tête du nombre brut d’enchères.
Des affichages ont été relevés sur les réseaux de ministères, d’organismes de défense, de l’OTAN, de l’ONU, d’institutions européennes, d’infrastructures critiques et de médias. La société Confiant, spécialiste de la qualité publicitaire associée à l’enquête, a aussi trouvé des traces sur les réseaux de l’Agence internationale de l’énergie atomique et de la Cour pénale internationale. Citizen Lab insiste : un affichage ne prouve pas une infection, mais justifie une investigation rapide.
Une société mal protégée elle-même
Paradoxe relevé par TechCrunch : Discover-Tech exposait son propre code source sur ses pages de connexion, ce qui a permis de reconstituer son tableau de bord sans identifiant. Selon le rapport, la logique d’authentification ignorait les jetons signés et un point d’accès non protégé livrait 128 jours de journaux de connexion, soit 120 noms d’utilisateurs, dont certains rattachés à Candiru et à Bindecy.
Les premières réactions de l’industrie publicitaire
Le rapport nomme plusieurs acteurs de la chaîne publicitaire par lesquels sont passées ces annonces. Plusieurs ont réagi : Google et IAB Europe ont retiré Discover-Tech de leurs registres de fournisseurs début octobre, Beeswax l’a exclue de sa plateforme, Vungle a suspendu son accès le temps d’un examen et Eskimi a bloqué ses comptes et domaines. Citizen Lab appelle les régulateurs à vérifier si Discover-Tech et Candiru ont enfreint la loi, et l’industrie à adopter des mesures contre ce type d’attaque.
Ce que cela change pour les organisations
Le message est inconfortable : l’écosystème publicitaire, conçu pour cibler finement des individus, peut aussi servir à les atteindre. Pour les journalistes, diplomates, ONG et administrations, y compris en Afrique (la Libye et la Somalie figurent parmi les réseaux gouvernementaux cités par le rapport), le premier geste conseillé par Bill Marczak est simple : désactiver le suivi publicitaire, voire bloquer totalement les publicités. Pour les directions informatiques, le rapport invite à vérifier si les réseaux concernés ont reçu ces annonces et à traiter les bloqueurs de publicité comme un outil de sécurité, pas comme un confort.
Questions fréquentes
Qu’est-ce qu’une attaque « zéro clic » ?
Une infection qui ne demande aucune action de la victime : ni ouverture de pièce jointe, ni clic sur un lien. Ici, le simple affichage d’une publicité suffisait, selon Citizen Lab.
Qui a été visé ?
Au moins 45 appareils d’Al Jazeera ont été ciblés. Des publicités piégées ont par ailleurs été affichées sur des réseaux gouvernementaux et internationaux, sans que l’infection y soit confirmée.
Comment se protéger ?
Les chercheurs recommandent aux personnes exposées de désactiver le suivi publicitaire ou de bloquer les publicités. Les organisations peuvent aussi filtrer les régies publicitaires au niveau du réseau.
Sources
- Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware — Citizen Lab, 2026-10-15
- Governments are hacking people with 'zero-click' spyware by showing them online ads — TechCrunch, 2026-10-15