Un nouveau rapport de Citizen Lab révèle l’existence d’un logiciel espion baptisé AdFection, capable d’infecter des téléphones et des ordinateurs par la simple affichage d’une publicité malveillante, sans que la victime ait besoin de cliquer sur un lien ou d’ouvrir un fichier. Les chercheurs décrivent cette découverte comme la première confirmation d’attaques d’espionnage soutenues par des gouvernements et diffusées par des publicités en ligne, selon une méthode « sans clic ».
Selon le rapport, cette technologie a été développée par l’entreprise israélienne Discover-Tech, qui se présente comme une société de publicité légitime. Le dispositif a été utilisé pour cibler des journalistes et des employés du réseau Al Jazeera, ainsi que des responsables et des employés d’organisations et d’institutions telles que l’Organisation du traité de l’Atlantique Nord, la Commission européenne, NVIDIA et Arm.
Comment les publicités sont-elles devenues un canal d’espionnage ?
Discover-Tech a exploité le système d’enchères en temps réel utilisé dans la publicité ciblée, qui permet aux annonceurs de se disputer l’affichage de publicités auprès d’utilisateurs spécifiques. Selon Citizen Lab, cette infrastructure a plutôt été utilisée pour identifier les utilisateurs ou lever leur anonymat, puis sélectionner certaines cibles, avant d’intégrer du code malveillant dans des publicités en apparence ordinaires.
La dangerosité de cette méthode tient à l’ampleur du réseau publicitaire : l’organisation affirme que des publicités liées au dispositif ont été affichées 442 millions de fois sur plus de 120 000 sites, dont BBC et The New York Times, ainsi que sur des applications comme Duolingo, Badoo et Grindr. Ces publicités sont également apparues sur des appareils utilisés par des armées, des gouvernements, des infrastructures critiques et des agences nationales de cybersécurité.
Une mesure de Google et des questions en suspens
Google faisait partie des plateformes publicitaires ciblées par cette technologie, mais l’entreprise a retiré Discover-Tech de sa liste mondiale de fournisseurs après une enquête conjointe avec Citizen Lab et la société Confiant. Google a déclaré que l’entreprise avait été bloquée sur ses plateformes en raison d’une violation systématique de ses politiques.
Les chercheurs ont également découvert des journaux de connexion sur le site de Discover-Tech contenant des données concernant des employés de la société de logiciels espions Candiru. Discover-Tech et les autres parties citées dans le dispositif n’avaient pas commenté ces informations au moment de la publication de l’article.
Pourquoi cette information est-elle importante ?
Cette révélation montre que le modèle de la publicité numérique, qui atteint les utilisateurs à travers un très grand nombre de sites et d’applications, peut se transformer en canal d’infection ne nécessitant aucun comportement manifeste de la part de la victime. Cela élargit l’ampleur des risques par rapport aux attaques reposant sur l’hameçonnage ou le téléchargement d’un fichier, mais ne prouve pas que chaque publicité ou chaque plateforme publicitaire est exposée de la même manière : le rapport se concentre sur un dispositif précis et une entreprise précise, tandis que les enquêtes sont toujours en cours et que tous leurs détails n’ont pas été rendus publics.
Le chercheur de Citizen Lab Bill Marczak a déclaré que ce qui a été révélé pourrait n’être que « la partie émergée de l’iceberg », appelant les personnes susceptibles d’être ciblées en raison de leur identité ou de leur travail à désactiver le suivi publicitaire ou à bloquer les publicités. Des questions demeurent quant à l’étendue de la diffusion de cette technologie, au nombre réel d’appareils infectés et aux acteurs à l’origine de ces opérations, sans réponses complètes dans les éléments disponibles.