Cybersécurité : cette publicité peut vous espionner sans même que vous cliquiez dessus

On connaissait les publicités qui vous suivent partout sur Internet après que vous avez cherché une paire de chaussures. Vous regardez une fois des baskets et, pendant trois semaines, votre navigateur se transforme en vendeur ambulant qui vous demande si vous êtes vraiment certain de ne pas vouloir acheter des chaussures.

Mais voici une version nettement moins sympathique : certaines publicités pourraient servir à espionner votre appareil, voire à y installer un logiciel malveillant, sans que vous cliquiez dessus.

Une enquête publiée le 15 octobre par le Citizen Lab, un laboratoire de recherche de l’Université de Toronto, et la société spécialisée dans la sécurité publicitaire Confiant a révélé un mécanisme baptisé “AdFection”. Derrière cette technique, les chercheurs pointent notamment Discover-Tech, une entreprise israélienne de publicité numérique dont l’infrastructure aurait servi de relais à des sociétés spécialisées dans les logiciels espions.

Bienvenue dans un monde où la bannière publicitaire pour un jeu auquel vous ne jouerez jamais peut cacher un tout autre projet que de vous faire dépenser 39,99 euros.

Une publicité qui n’a même pas besoin de votre clic

Le principe est particulièrement inquiétant. Normalement, une publicité s’affiche, vous l’ignorez avec le mépris d’un internaute expérimenté, puis vous poursuivez votre lecture. Avec AdFection, l’affichage de certaines publicités ciblées aurait pu suffire à déclencher une chaîne d’opérations permettant de profiler un utilisateur et, dans certains cas, de tenter d’infecter son appareil.

Pas besoin de cliquer sur un bouton douteux, de télécharger un fichier nommé « facture_finale_vraiment_finale.exe » ou de répondre à un prince étranger qui souhaite vous léguer sa fortune. Le simple chargement d’une publicité spécialement préparée pouvait constituer le point de départ de l’attaque.

Les chercheurs parlent d’une attaque « zero-click », autrement dit une attaque qui ne nécessite aucune action de la victime. C’est un peu comme si un cambrioleur pouvait entrer chez vous simplement parce que vous avez regardé une affiche collée sur votre boîte aux lettres. Sauf qu’ici, la serrure est numérique et que vous n’avez même pas nécessairement conscience qu’on essaie de la forcer.

Des millions d’appareils dans le viseur potentiel

Selon le Citizen Lab, Discover-Tech exploitait une plateforme baptisée Controlium, qui permettait notamment d’identifier et de sélectionner des appareils à partir d’informations comme leur adresse IP ou leur identifiant publicitaire mobile. Cette infrastructure aurait été utilisée par plusieurs acteurs du secteur des logiciels espions, dont Candiru, une entreprise israélienne déjà sanctionnée par les autorités américaines.

L’ampleur du réseau publicitaire est impressionnante. Les annonces associées à Discover-Tech ont été observées sur près de 200 000 sites web et applications mobiles, selon l’analyse des données présentée par les chercheurs. Des publicités ordinaires, pour des produits apparemment inoffensifs, pouvaient ainsi servir de couverture à des opérations de surveillance.

Attention, toutefois : cela ne signifie pas que tous ces sites étaient piratés ou que chaque personne ayant vu une publicité a été infectée. La présence d’une annonce constitue un indice d’exposition potentielle, pas une preuve d’infection. Une nuance importante, surtout quand on commence à imaginer que chaque bannière pour des chaussettes est pilotée par une officine d’espionnage.

Des journalistes réellement touchés

Le cas le plus concret concerne la chaîne d’information Al Jazeera. Le Citizen Lab indique avoir confirmé que 45 appareils Windows appartenant à des membres de son personnel avaient été compromis par un logiciel espion associé à Candiru entre 2024 et 2025.

Les chercheurs ont pu établir ces infections en analysant notamment des journaux techniques communiqués par le média. Il ne s’agit donc pas simplement d’une publicité suspecte repérée au détour d’une page web, mais d’attaques documentées sur des appareils réels.

Les publicités liées à Discover-Tech ont également été observées sur des réseaux associés à des organisations sensibles, dont l’OTAN et la Commission européenne. Cela ne prouve pas que les appareils de ces institutions ont été infectés. Cela montre néanmoins que des publicités provenant de cette infrastructure ont pu atteindre des environnements où la confidentialité des informations est particulièrement importante.

Et les iPhone ? Apple n’est pas un bouclier magique

Les appareils Apple sont également concernés par la portée technique de cette découverte. Les chercheurs indiquent que les attaques étudiées pouvaient viser des appareils iOS et Android, ainsi que des ordinateurs. Il serait donc faux de considérer qu’un iPhone est automatiquement à l’abri de ce type de menace simplement parce qu’il porte une pomme au dos.

Cela ne signifie pas pour autant que tous les iPhone sont vulnérables à chaque publicité, ni que les appareils Apple ont tous été infectés dans cette campagne. Les infections documentées chez Al Jazeera concernaient 45 appareils Windows. Il faut distinguer les capacités techniques d’une attaque des infections effectivement confirmées.

Apple propose par ailleurs le mode “Isolement”, ou Lockdown Mode, destiné notamment aux personnes susceptibles d’être la cible d’attaques numériques particulièrement sophistiquées. Mais cette protection renforcée ne transforme pas un appareil en coffre-fort inviolable. Et rien ne permet d’affirmer qu’Apple a annoncé une mesure spécifique en réponse à cette enquête.

Google réagit, mais le problème dépasse une entreprise

À la suite de l’enquête, Google a indiqué avoir bloqué Discover-Tech de ses plateformes publicitaires pour violations répétées de ses règles. Beeswax, une plateforme publicitaire appartenant à Comcast, a également coupé l’accès de l’entreprise à ses services. IAB Europe l’a de son côté retirée de sa liste de fournisseurs approuvés.

Ces décisions sont importantes, mais elles ne règlent pas automatiquement le problème de fond. La publicité en ligne repose sur un immense réseau d’intermédiaires, d’enchères automatisées et d’échanges de données. Une annonce peut traverser plusieurs systèmes avant d’apparaître sur votre écran. Si un acteur malveillant parvient à exploiter cette chaîne, un espace publicitaire banal peut devenir un outil de surveillance.

Pour un internaute ordinaire, inutile de jeter son smartphone dans un tiroir et de retourner au pigeon voyageur. Le risque d’une attaque aussi sophistiquée dépend notamment du ciblage et des moyens déployés. En revanche, garder ses appareils à jour, limiter les applications inutiles et utiliser un bloqueur de publicités sérieux sont des précautions raisonnables. Les personnes exposées à des risques particuliers (tels que les journalistes, militants ou responsables publics, par exemple) ont intérêt à suivre des recommandations de sécurité adaptées à leur situation.

Le plus dérangeant dans cette affaire, finalement, n’est pas qu’une publicité puisse être dangereuse. C’est que nous avons pris l’habitude de laisser défiler des milliers d’annonces sans nous demander qui les achète, qui les diffuse et quelles informations circulent derrière elles.

On pensait que le principal danger des publicités ciblées était de finir par acheter un grille-pain connecté dont personne n’a besoin. Il se pourrait que, dans certains cas, le problème soit nettement moins drôle.