Terrifiant : ces pubs piégées installent des logiciels espions à votre insu sans le moindre clic, si vous faites partie des cibles
Citizen Lab vient de découvrir une toute nouvelle catégorie d’attaque appelée AdFection qui utilise les publicités en ligne pour identifier une cible, dans le but d’injecter un logiciel espion. L’agence publicitaire accusée d’avoir facilité ces attaques travaillait avec Google et était certifiée par l’IAB.
Une étude du laboratoire canadien Citizen Lab a révélé l’existence d’une nouvelle forme de cyberattaque appelée AdFection. Contrairement aux méthodes classiques qui nécessitent un clic ou un téléchargement, cette attaque infecte un appareil simplement en affichant une publicité piégée sur un site ou une application. Le logiciel espion s’installe alors à l’insu de l’utilisateur, sans aucune interaction de sa part. Ce mécanisme exploite les outils de ciblage publicitaire en ligne pour identifier et infecter des cibles spécifiques, transformant ainsi une simple publicité en arme de cyberespionnage. L’objectif n’est pas de vendre un produit, mais de compromettre la sécurité d’un appareil ou d’une personne.
L’agence de publicité israélienne Discover-Tech est au cœur de cette découverte. Elle a utilisé les mécanismes de ciblage publicitaire pour diffuser des publicités piégées à grande échelle. Ces publicités ont été diffusées sur près de 200 000 applications Android, applications iOS et sites web dans de nombreux pays. Discover-Tech travaillait avec des réseaux publicitaires majeurs, dont celui de Google, et était certifiée par l’IAB (Interactive Advertising Bureau), un organisme chargé de réguler les standards de la publicité en ligne. Cependant, à la suite de l’enquête de Citizen Lab et de Confiant, Google a banni Discover-Tech pour « violation systématique de ses règles », et l’IAB a suspendu son certificat après un audit.
Les publicités piégées de Discover-Tech servaient de vecteur pour distribuer des logiciels espions mercenaires, développés par des entreprises spécialisées dans la surveillance. Parmi ces entreprises figure Candiru, une société israélienne sanctionnée en 2021 par les États-Unis, aux côtés du groupe NSO (créateur du logiciel espion Pegasus). Ces logiciels permettent d’espionner les appareils infectés, d’accéder à des données sensibles ou de contrôler à distance les fonctions de l’appareil. L’objectif est souvent de cibler des personnalités, des journalistes ou des institutions, comme le montre l’exemple d’Al Jazeera, dont 45 appareils ont été infectés entre 2024 et 2025 via ces publicités.
Les cibles de ces attaques ne se limitent pas aux particuliers. Selon Citizen Lab, les publicités piégées ont été affichées sur des appareils connectés à des réseaux sensibles, notamment ceux de ministères de la Défense, forces armées, agences de cybersécurité, organisations intergouvernementales comme l’OTAN, ainsi que des infrastructures critiques. Ces attaques soulèvent des questions sur la sécurité des données sensibles et la capacité des États à protéger leurs systèmes contre des cybermenaces transnationales. Le contexte géopolitique israélien est également mis en lumière, car plusieurs acteurs clés de cette affaire sont basés en Israël.
Face à cette découverte, *Google* a réagi en bannissant Discover-Tech de son réseau publicitaire, une décision prise après une enquête conjointe avec *Confiant*. Cette mesure vise à limiter la diffusion de publicités malveillantes, mais elle intervient tardivement, car des milliers d’utilisateurs ont déjà été exposés. Par ailleurs, l’*IAB* a suspendu la certification de Discover-Tech, ce qui montre une prise de conscience des risques liés à l’utilisation des outils de ciblage publicitaire à des fins malveillantes. Cependant, ces actions ne suffisent pas à éliminer totalement la menace, car de nouvelles agences ou méthodes pourraient émerger.
