Le Citizen Lab, un laboratoire de l’université de Toronto qui traque les logiciels espions vendus aux États, a publié ce jeudi 15 octobre un rapport sur une technique qu’il a baptisée AdFection. Une publicité ciblée s’affiche dans une application ou sur un site, et le code qu’elle transporte suffit à infecter l’appareil, sans clic ni lien à ouvrir (on parle d’attaque zero-click). Ce qui signifie que la méfiance habituelle face aux liens douteux ne protège pas contre cette attaque. D’après les chercheurs, c’est la première preuve technique publique qu’un logiciel espion de ce type passe par la publicité.
Le cas documenté concerne Al Jazeera. En 2024 et 2025, au moins 45 appareils de la chaîne d’information qatarie ont été visés, des ordinateurs sous Windows d’après Forbes. Le Citizen Lab attribue l’attaque, avec un haut niveau de confiance, au logiciel espion de Candiru, capable d’espionner les messages, les appels et la localisation d’un appareil infecté.
Le Citizen Lab avait déjà épinglé Candiru en 2021, et les États-Unis ont placé la société israélienne sur leur liste noire commerciale la même année. Elle opère aujourd’hui sous le nom d’Integrity Labs, après un rachat annoncé en 2025 par le fonds américain Integrity Partners.
Les publicités, elles, ont été achetées par Discover-Tech, une société israélienne fondée en 2020 qui se présente comme une régie publicitaire ordinaire. Son outil Controlium permet à ses clients de désigner une cible par son adresse IP ou par son identifiant publicitaire, le numéro unique qu’Android et iOS attribuent à chaque téléphone pour la pub. Le client peut ensuite lui envoyer une publicité piégée.
Jusqu’à 330€ d’avantages avec nos offres Hello Prime ou Hello Prime Duo, dont 80€ cash à l’ouverture de compte !
Une enchère publicitaire comme porte d’entrée
Chaque pub affichée dans une application sort d’une enchère en temps réel. En moins d’une seconde, l’application transmet aux acheteurs des informations sur l’appareil, et le plus offrant affiche sa publicité. Ce système, pensé pour le marketing, permet de viser une seule personne. Surtout, une pub peut contenir du code qui s’exécute au moment où elle s’affiche.
Discover-Tech y glissait un petit script qui interroge ses propres serveurs. Si l’appareil n’est pas visé, le serveur ne renvoie rien. S’il l’est, il renvoie du code qui oriente l’appareil vers les serveurs de Candiru, qui l’examinent avant de l’infecter. Les régies qui diffusaient ces pubs ne voyaient donc jamais le code malveillant.
Le Citizen Lab a récupéré près de quatre milliards d’enchères de Discover-Tech, laissées en accès libre sur l’un de ses serveurs. Entre mars et juin 2026, des pubs contenant ce script ont été affichées dans 75 373 applications Android et iOS, dont MX Player, Viber ou Duolingo, et sur 120 768 sites web.
Ces pubs sont aussi apparues sur des réseaux de l’Otan et de l’ONU, du Parlement norvégien, des forces armées suédoises et d’organismes de recherche nucléaire australiens.
Des millions d’appareils exposés, combien d’infectés ?
Pour le Citizen Lab, l’affichage d’une pub Discover-Tech ne prouve à lui seul ni un ciblage ni une infection. Au minimum, il a permis à la société de profiler l’appareil.
Le rapport estime aussi que des millions d’appareils ont été redirigés vers les serveurs de Candiru, probablement pour faire du repérage à grande échelle. Combien ont réellement été infectés ? Le rapport ne donne pas de chiffre. Le seul cas d’infection documenté en détail reste celui d’Al Jazeera.
Google, qui a collaboré à l’enquête, a coupé l’accès de Discover-Tech à ses plateformes publicitaires début octobre. IAB Europe tient la liste des prestataires autorisés à recueillir le consentement des internautes européens, celui des bandeaux cookies. L’association a suspendu Discover-Tech de cette liste le 8 octobre, à la suite d’un audit, comme elle l’a indiqué à Wired. Beeswax, la plateforme d’achat publicitaire de Comcast, l’a aussi retirée. Discover-Tech figurait pourtant sur les listes « certifiées » de Google et d’IAB Europe depuis 2020.
Ni Discover-Tech ni Candiru n’ont répondu aux demandes de commentaire. Al Jazeera, qui a accepté d’être nommée dans le rapport, n’avait pas réagi non plus quand Forbes a publié son article.
Wolfie Christl, coauteur du rapport, l’a reconnu auprès de Forbes : « il est difficile, voire presque impossible, de se protéger en permanence contre les publicités malveillantes ». Le Citizen Lab conseille malgré tout d’installer un bloqueur de pub, dans le navigateur ou directement sur la box. Il recommande aussi de désactiver le suivi publicitaire dans les réglages du téléphone et de réinitialiser régulièrement son identifiant publicitaire.
Votre café et votre dose de tech vous attendent sur WhatsApp chaque matin avec Frandroid.
Pour nous soutenir gratuitement, dites simplement à Google d’ajouter Frandroid à vos sources préférées en cliquant ici.
Ce contenu est bloqué car vous n'avez pas accepté les cookies et autres traceurs. Ce contenu est fourni par Disqus.
Pour pouvoir le visualiser, vous devez accepter l'usage étant opéré par Disqus avec vos données qui pourront être utilisées pour les finalités suivantes : vous permettre de visualiser et de partager des contenus avec des médias sociaux, favoriser le développement et l'amélioration des produits d'Humanoid et de ses partenaires, vous afficher des publicités personnalisées par rapport à votre profil et activité, vous définir un profil publicitaire personnalisé, mesurer la performance des publicités et du contenu de ce site et mesurer l'audience de ce site (en savoir plus)
En cliquant sur « J’accepte tout », vous consentez aux finalités susmentionnées pour l’ensemble des cookies et autres traceurs déposés par Humanoid et .
Vous gardez la possibilité de retirer votre consentement à tout moment. Pour plus d’informations, nous vous invitons à prendre connaissance de notre Politique cookies.