45 appareils d'Al Jazeera piégés par une attaque zéro-clic

Le laboratoire canadien Citizen Lab, rattaché à l'université de Toronto, et l'entreprise américaine de lutte contre la fraude publicitaire Confiant ont publié jeudi 15 octobre un rapport sur un nouveau mode d'attaque informatique. Baptisée « adfection », cette technique permet d'infecter un appareil par un simple affichage de publicité, sans qu'aucun clic ne soit nécessaire.

L'attaque zéro-clic a visé des journalistes et des équipes du média qatari Al Jazeera. Elle a été distribuée par l'entreprise israélienne Discover-Tech, qui a diffusé des publicités piégées contenant le logiciel espion de Candiru, une société concurrente de NSO également blacklistée par les Etats-Unis en 2021 pour ses activités cyber malveillantes.

Une attaque sans clic, via la publicité ciblée

Selon le Citizen Lab, il s'agit de la première confirmation technique publique d'une attaque par logiciel espion de type zéro-clic perpétrée par des mercenaires via la publicité ciblée. Entre 2024 et 2025, 45 appareils du média qatari ont été touchés, dont des ordinateurs fonctionnant sous Windows.

L'équipe technique interne d'Al Jazeera a d'abord repéré des comportements inhabituels sur certains appareils en 2024, un phénomène qui s'est poursuivi en 2025. Le média a alors sollicité le Citizen Lab pour une enquête approfondie, confirmant ses soupçons.

Comment fonctionne la « pubfection »

Discover-Tech s'est intégrée à l'écosystème publicitaire mondial, obtenant le statut de vendeur certifié par Google et par l'IAB Europe. Cette position lui a permis de diffuser des publicités via la plateforme américaine et de s'insérer dans des bandeaux de consentement RGPD, récupérant ainsi des données des internautes.

Quand un utilisateur ciblé reçoit une publicité, celle-ci embarque un code JavaScript malveillant. L'appareil contacte d'abord les domaines de Discover-Tech, puis un serveur de validation de Candiru qui vérifie l'appareil avant de l'infecter, avant une communication finale avec un serveur de commande et de contrôle.

« Une impression publicitaire de Discover-Tech ne confirme pas en soi un ciblage ou une infection par un logiciel espion », Citizen Lab.

Entre mars et juin 2026, Discover-Tech a distribué ces publicités auprès des utilisateurs de 75 373 applications Android et iOS, parmi lesquelles MX Player, Yahoo Mail, Duolingo ou Badoo, et sur 120 768 sites web, selon le décompte du Citizen Lab. Les appareils Android apparaissent plus exposés que les iPhone : la version Android de Viber a diffusé 700 000 publicités de Discover-Tech contre 200 000 pour sa version iOS.

Des réseaux sensibles exposés

Le Citizen Lab précise qu'il n'a pas observé de tentative d'attaque confirmée contre d'autres cibles, mais que ses données montrent une diffusion des publicités de Discover-Tech sur des appareils connectés à des réseaux sensibles : l'OTAN, divers ministères de la Défense, des armées, des agences de cybersécurité et d'autres médias. La société Confiant a également indiqué, dans un rapport distinct cité par Al Jazeera, que certaines publicités de Discover-Tech étaient apparues sur des réseaux critiques utilisés par le Pentagone, l'Agence internationale de l'énergie atomique et la Cour pénale internationale.

« pour vous protéger, bloquez les publicités dès maintenant », John Scott-Railton, chercheur au Citizen Lab.

Les chercheurs rappellent qu'une impression publicitaire ne prouve pas à elle seule un ciblage ou une infection, mais qu'elle justifie une enquête urgente sur ces réseaux. Candiru avait déjà été associé par le passé à la surveillance d'au moins 100 journalistes, dissidents et autres cibles dans plusieurs pays, selon Al Jazeera.

Les réactions et la suite

Al Jazeera Media Network a indiqué jeudi « condamner le ciblage d'appareils appartenant à plusieurs de ses employés avec un logiciel espion » et a affirmé continuer à « protéger ses employés et ses systèmes ». Le média a précisé avoir volontairement coopéré avec les chercheurs, une collaboration qui a permis de vérifier et documenter publiquement ces attaques.

Informées par les chercheurs, plusieurs entreprises de l'écosystème publicitaire, dont Google, l'IAB Europe, Beeswax (filiale de Comcast), Vungle et Eskimi, ont coupé les accès de Discover-Tech à leurs outils. D'autres sociétés contactées par les chercheurs n'ont pas répondu. Le rapport du Citizen Lab, long de 72 pages, ne donne pas de chiffre global sur le nombre d'appareils réellement infectés dans le monde : le cas d'Al Jazeera reste à ce jour le seul documenté en détail.

« Si vous cherchez à cacher le code, c'est généralement que vous utilisez une vulnérabilité », Jérôme Dangu, cofondateur et directeur technique de Confiant.