L’infrastructure publicitaire mondiale vient de révéler sa face la plus sombre. Des chercheurs du Citizen Lab, laboratoire de recherche de l’Université de Toronto, ont documenté pour la première fois une campagne d’espionnage sophistiquée exploitant les réseaux publicitaires pour déployer des logiciels malveillants sans aucune interaction des victimes. Baptisée « AdFection », cette opération orchestrée par l’entreprise israélienne Discover-Tech a permis l’infection d’au moins 45 appareils du réseau Al Jazeera entre 2024 et 2025, tout en exposant potentiellement des millions d’utilisateurs à travers le monde.
Une attaque zero-click d’une ampleur inédite
La campagne AdFection marque un tournant dans l’histoire de la cybersurveillance. Contrairement aux techniques d’espionnage traditionnelles nécessitant un clic sur un lien frauduleux ou l’ouverture d’une pièce jointe piégée, cette méthode exploite les vulnérabilités des navigateurs web pour installer automatiquement un spyware lors du simple chargement d’une publicité. « Le risque de voir son appareil infecté par un logiciel espion simplement en utilisant un site web ou une application affichant des publicités constitue un scénario cauchemardesque », alerte Wolfie Christl, chercheur senior au Citizen Lab, dans une déclaration rapportée par BetaKit.
L’infection survient en quelques secondes, sans qu’aucun signe visible ne trahisse la compromission. Le spyware déployé, développé par Candiru – société israélienne inscrite sur la liste noire du gouvernement américain depuis 2021 pour ses activités cybercriminelles – dispose de capacités d’intrusion particulièrement étendues. Il permet la collecte de fichiers et documents sensibles, l’extraction de cookies et d’identifiants de connexion, l’enregistrement d’appels téléphoniques ainsi que la capture d’images et de vidéos via les webcams et microphones des appareils infectés.
Discover-Tech, l’intermédiaire entre publicité légitime et surveillance illicite
Au cœur de cette opération se trouve Discover-Tech, entreprise israélienne spécialisée dans la technologie publicitaire. Son infrastructure, baptisée « Controlium », détourne les mécanismes standards de l’écosystème publicitaire pour transformer des plateformes légitimes en vecteurs d’attaque. L’enquête du Citizen Lab, menée en collaboration avec la société de sécurité new-yorkaise Confiant, révèle que Discover-Tech a traité pas moins de 4 milliards de dossiers d’enchères publicitaires, accumulant ainsi un volume considérable de données permettant un profilage extrêmement précis des utilisateurs.
Entre mars et juin 2026, au plus fort de la campagne, les publicités malveillantes de Discover-Tech ont été diffusées sur environ 70 000 applications mobiles et 120 000 sites web à travers le globe. Cette distribution massive n’a épargné aucun secteur sensible. Selon les données compilées par Citizen Lab et Confiant, les réseaux informatiques de l’OTAN, de l’ONU, de l’Agence internationale de l’énergie atomique, ainsi que des agences gouvernementales norvégiennes et suédoises ont tous affiché ces publicités infectées, exposant potentiellement leurs systèmes à une compromission.
Al Jazeera, cible privilégiée d’une offensive ciblée
La découverte de cette campagne trouve son origine dans la vigilance de l’équipe technique d’Al Jazeera. Dès 2024, les ingénieurs du réseau médiatique qatari ont détecté des anomalies persistantes sur les appareils de plusieurs journalistes. Face à ces modèles inhabituels, Al Jazeera a sollicité l’expertise du Citizen Lab pour une investigation approfondie. L’analyse forensique a confirmé que 45 appareils du réseau avaient été infectés par le spyware Candiru via le mécanisme publicitaire de Discover-Tech.
« Cette investigation devrait servir de signal d’alarme clair aux organisations de presse du monde entier : elles peuvent être activement ciblées via cette nouvelle menace », avertissent les chercheurs du Citizen Lab dans leur rapport. Bill Marczak, chercheur au sein du laboratoire, souligne l’importance de cette découverte : « Il y a eu beaucoup de spéculations sur le fait que les publicités en ligne pouvaient être utilisées pour identifier et pirater automatiquement des cibles avec une précision chirurgicale, mais c’est la première fois que nous disposons de preuves techniques concrètes montrant ce processus en action. »
Cette attaque s’inscrit dans un contexte plus large de surveillance des journalistes. Selon les données compilées par la BBC, au moins 100 journalistes, dissidents et autres personnalités ont été ciblés par le spyware Candiru dans plusieurs pays, pour un coût estimé à plusieurs millions de dollars. L’utilisation de tels outils, initialement commercialisés auprès d’agences gouvernementales pour lutter contre le terrorisme et la criminalité organisée, soulève des questions éthiques majeures lorsqu’ils sont détournés contre des professionnels de l’information.
Réactions et mesures correctives des plateformes
La publication du rapport Citizen Lab le 16 octobre 2026 a provoqué une onde de choc dans l’industrie publicitaire. Google, l’Interactive Advertising Bureau Europe, ainsi que les plateformes programmatiques Beeswax, Vungle (filiale de Liftoff) et Eskim ont immédiatement retiré ou suspendu l’accès de Discover-Tech à leurs systèmes. Ces mesures, bien que nécessaires, interviennent après plusieurs années d’exploitation active du réseau publicitaire à des fins d’espionnage.
L’affaire met en lumière les défaillances structurelles de l’écosystème publicitaire programmatique. Ce système repose sur des enchères automatisées se déroulant en quelques millisecondes, durant lesquelles des données personnelles détaillées – profil démographique, géolocalisation, identifiant mobile, adresse IP – transitent entre des centaines d’intermédiaires.
Enjeux géopolitiques et implications pour la sécurité nationale
Au-delà des considérations techniques, l’affaire AdFection soulève des questions géopolitiques sensibles. L’implication d’une entreprise israélienne dans une campagne visant spécifiquement Al Jazeera, média qatari souvent critique envers les politiques israéliennes, alimente les tensions régionales. Candiru, rebaptisée « Integrity Labs » après son inscription sur la liste noire américaine, continue manifestement ses activités malgré les sanctions internationales.
