Citizen Lab, le laboratoire de l’Université de Toronto, a révélé une campagne informatique qui a utilisé des publicités ciblées pour installer des logiciels espions sophistiqués sur des appareils iOS et Android, sans que la victime clique sur la publicité ou interagisse avec elle. Le laboratoire a baptisé cette campagne « AdFection » et a déclaré qu’elle avait infecté 45 appareils de l’organisation médiatique Al Jazeera en 2024 et 2025.
L’importance de cette campagne tient au fait qu’elle constitue, selon les résultats de l’enquête, la première confirmation probable de la livraison de logiciels espions mercenaires par l’intermédiaire de publicités ciblées. Dans ce scénario, il suffit de charger une page web ou d’ouvrir une application installée pour que le processus d’exploitation commence, tandis que l’infection reste généralement invisible pour l’utilisateur sans outils ou logiciels d’investigation spécialisés.
Comment l’écosystème publicitaire a-t-il été utilisé ?
Citizen Lab a déclaré que les publicités étaient fournies par la société israélienne Discover-Tech, qui se présente comme une entreprise publicitaire légitime. Le laboratoire l’a toutefois décrite comme un intermédiaire entre les acheteurs de publicités et les éditeurs ou développeurs d’applications, jouant un rôle dans la mise en relation du marché publicitaire avec l’écosystème des logiciels espions mercenaires.
Ce type d’intermédiation repose sur des enchères publicitaires ciblant des catégories précises à l’aide d’identifiants d’appareils mobiles, de la localisation, d’adresses IP et d’autres données. Le laboratoire a obtenu plus de 4 milliards d’enregistrements d’enchères traités par Discover-Tech, qui montrent la diffusion des publicités de l’entreprise dans plus de 70 000 applications mobiles et 120 000 sites entre mars et juin 2026.
Les résultats indiquent que Discover-Tech a utilisé les cadres de consentement liés au Règlement général sur la protection des données européen pour cibler des utilisateurs au sein de l’Union européenne. Elle a également diffusé ses publicités par l’intermédiaire des réseaux de Google, de Yandex et de Beeswax. Google et l’IAB Europe avaient inscrit l’entreprise comme fournisseur « agréé » ou « vérifié » avant de retirer son nom des registres, tandis que Google a mis fin à son accès aux plateformes d’échange publicitaire. Beeswax a également supprimé l’entreprise de sa plateforme, et Vungle, une filiale de Liftoff, lui a temporairement suspendu l’accès pour procéder à un examen. Eskimi a, quant à elle, bloqué ses comptes et ses domaines.
Qu’est-ce qui a changé concrètement ?
Selon l’enquête, les publicités étaient affichées auprès de cibles correspondant à certains profils, puis un code JavaScript ou un autre code se connectait aux serveurs de commande de Candiru, qui renvoyaient à leur tour un exploit installant la charge malveillante sans interaction de l’utilisateur. Citizen Lab a déclaré que Candiru avait développé et distribué le logiciel et qu’elle opère actuellement sous le nom d’Integrity Labs.
Le rapport n’a pas révélé les vulnérabilités exploitées ni le logiciel final installé par la campagne. La source estime qu’il pourrait s’agir de vulnérabilités « zero-day » corrigées après la découverte de la campagne par Citizen Lab, mais ce point n’a pas été confirmé par des détails techniques publiés. Discover-Tech et Candiru n’ont pas non plus répondu aux demandes de commentaire.
Pourquoi cette information est-elle importante ?
Citizen Lab a déclaré que les publicités liées à Discover-Tech étaient apparues sur des réseaux appartenant à l’Organisation du traité de l’Atlantique nord et aux Nations unies, ainsi qu’auprès d’organes législatifs européens, de fournisseurs d’infrastructures critiques en Australie et d’agences et forces armées gouvernementales en Norvège et en Suède. Le laboratoire avertit que les rédactions, les journalistes, les rédacteurs et leur personnel pourraient être directement ciblés.
La campagne révèle un problème qui dépasse l’appareil de la victime : les outils de ciblage publicitaire conçus pour identifier de larges audiences commerciales peuvent être transformés en canal de diffusion de logiciels espions très spécialisés. Citizen Lab a donc appelé les annonceurs et les responsables gouvernementaux à prendre des mesures préventives pour empêcher ce type de campagne.
Pour réduire les risques, la source a recommandé d’utiliser un blocage des publicités, de réinitialiser l’identifiant publicitaire sur iOS et Android, d’installer des outils de blocage sur les réseaux domestiques ou professionnels, ainsi que d’installer les mises à jour du système et des logiciels dès qu’elles sont disponibles. Cela ne signifie toutefois pas que ces mesures garantissent la prévention de l’infection dans tous les cas, notamment parce que les détails des vulnérabilités et de la charge finale n’ont pas été publiés.