Résumé :
Citizen Lab, un institut de recherche sur la cybersécurité affilié à l'Université de Toronto au Canada, a récemment divulgué les résultats d'une enquête qui a attiré une large attention. Les chercheurs ont découvert qu'une nouvelle méthode d'attaque basée sur le système de diffusion de publicité en ligne était en réalité utilisée à des fins d'espionnage. Les attaquants peuvent identifier leurs cibles grâce à des publicités en ligne et déployer des logiciels espions sur les appareils sans même obliger les victimes à cliquer sur un lien.
L'équipe de recherche a baptisé cette technologie « AdFection » et a déclaré que c'était la première fois que des preuves techniques étaient obtenues publiquement prouvant que des attaques de logiciels espions commerciaux « sans clic » pouvaient être mises en œuvre à l'aide de systèmes de publicité en ligne. L'enquête a révélé que la technologie avait été utilisée dans le cadre d'une opération de pénétration en ligne ciblant Al Jazeera au Qatar.
Selon le rapport, une société israélienne appelée Discover-Tech a joué un rôle clé dans cette opération. La société prétend être une société de publicité numérique, mais les chercheurs pensent qu'elle exploite une plate-forme qui aide réellement les partenaires à identifier, suivre et cibler des appareils cibles spécifiques.
L'enquête a souligné que Discover-Tech exploite une plateforme appelée Controlium. La plate-forme est capable d'utiliser un système d'enchères en temps réel pour la publicité en ligne pour collecter des informations sur les appareils, notamment des identifiants publicitaires et des adresses IP. Une fois que le système a identifié la cible prévue, il peut envoyer un code malveillant à l'appareil correspondant, tandis que les utilisateurs ordinaires ne verront que le contenu publicitaire ordinaire. Cela signifie que la victime n’a pas besoin de cliquer sur l’annonce ni de télécharger de fichiers, et le processus d’attaque peut se dérouler automatiquement.
Les chercheurs ont déclaré que cette plate-forme peut non seulement identifier la cible, mais également devenir un point d'entrée pour la propagation des logiciels malveillants. Dans le cas d'Al Jazeera, les attaquants auraient utilisé ce mécanisme pour déployer le logiciel espion commercial Candiru sur des appareils ciblés. Candiru est un logiciel espion à louer bien connu qui peut contrôler à distance les appareils, voler des données et accéder à la caméra et au microphone de l'appareil.
Citizen Lab a déclaré avoir découvert qu'au moins 45 appareils du réseau d'Al Jazeera ont fait l'objet d'attaques similaires, entre 2024 et 2025. Les chercheurs pensent qu'il s'agit du premier exemple divulgué publiquement d'une infection technique complète par un logiciel espion sans clic via une publicité ciblée.
La portée de cette opération va également bien au-delà des cibles individuelles. L'équipe de recherche a analysé environ 4 milliards d'enregistrements d'enchères publicitaires et a découvert qu'entre mars et juin 2026, les annonces placées par Discover-Tech sont apparues sur environ 120 000 sites Web et plus de 70 000 applications mobiles dans le monde, impliquant plusieurs pays et régions.
Les chercheurs ont en outre souligné que ces publicités servent non seulement de propagande commerciale, mais sont également utilisées pour la reconnaissance et le dépistage de cibles à grande échelle. Des millions d'appareils ont été discrètement dirigés vers des serveurs liés à Candiru, aidant ainsi les attaquants à collecter des informations, à identifier des cibles et à se préparer aux attaques ultérieures.
L'enquête a également révélé que Discover-Tech figurait depuis longtemps sur les listes de fournisseurs certifiés de nombreux grands écosystèmes publicitaires, notamment le système publicitaire de Google et l'organisation européenne du secteur de la publicité, IAB Europe. Cela signifie que ses publicités peuvent atteindre un grand nombre de sites Web et d’applications dans le monde entier.
En plus de Candiru, Citizen Lab a également découvert qu'un autre groupe de menace appelé « Dark Cartographer » est connecté à la plateforme publicitaire. Les chercheurs ont déclaré que l'organisation exploite principalement les vulnérabilités liées aux opérateurs mobiles pour associer les identifiants publicitaires des appareils à de vrais numéros de téléphone, réalisant ainsi une désanonymisation des utilisateurs à grande échelle.
Au cours d'une enquête indépendante, la société de sécurité publicitaire Confiant a également découvert que des publicités pertinentes étaient apparues dans les ministères gouvernementaux, les agences de défense et les environnements réseau de l'OTAN. Cependant, il n’existe actuellement aucune preuve que ces dispositifs institutionnels aient été infectés avec succès.
Après que l'incident a été révélé, de nombreuses plateformes publicitaires ont pris des mesures pour mettre fin à leurs relations de coopération avec Discover-Tech. Dans le même temps, les chercheurs appellent les régulateurs et le secteur de la publicité à réexaminer les risques de sécurité de l’écosystème publicitaire numérique existant. Ils estiment que l’infrastructure publicitaire utilisée à l’origine pour le marketing commercial s’est avérée être un outil de surveillance de masse, de suivi de cibles et même de cyberattaques, et que ce phénomène pose de nouveaux défis en matière de confidentialité sur Internet et de sécurité des réseaux.
Commentaires