Logiciels espions : une pub banale suffit à infecter un téléphone

Une simple visite sur un site d'information peut suffire à infecter un téléphone. Deux rapports publiés jeudi 15 octobre par le laboratoire canadien Citizen Lab et par l'entreprise américaine Confiant, spécialisée dans la lutte contre la fraude publicitaire, décrivent comment des logiciels espions se diffusent aujourd'hui par le biais de publicités d'apparence banale.

Ces travaux établissent, pour la première fois de façon documentée, le mécanisme par lequel des publicités piégées permettent de diffuser des logiciels espions sans aucun clic de la victime. Le constat inquiète les chercheurs autant que les éditeurs de presse, dont les sites servent, à leur insu, de vecteurs d'infection.

Une publicité qui exécute du code à distance

Tout commence en avril, un dimanche matin. Jérôme Dangu, cofondateur et directeur technique de Confiant, inspecte une publicité suspecte parmi les millions diffusées chaque jour sur les sites grand public et sur Google. En étudiant un nom de domaine particulier, il découvre qu'elle est conçue pour exécuter du code sophistiqué, caché aux systèmes de détection.

« Si vous cherchez à cacher le code, c'est généralement que vous utilisez une vulnérabilité inconnue », Jérôme Dangu, cofondateur et directeur technique de Confiant.

Cette publicité piégée visait à infecter silencieusement les terminaux de personnes ciblées, à l'aide d'un logiciel espion développé par Candiru, une entreprise israélienne qui vend des outils de cybersurveillance à des Etats. Le code ne s'exécutait que sur la machine de la cible, repérée grâce à son adresse IP ou à son identifiant publicitaire unique.

Discover-Tech, la courroie entre pub et surveillance

Des mois d'enquête ont permis à Citizen Lab et à Confiant d'établir comment Candiru s'appuie sur l'industrie publicitaire pour atteindre à distance les cibles de ses clients. Une autre société israélienne, Discover-Tech, joue un rôle central dans cette chaîne : elle sert d'intermédiaire entre des acteurs privés de la surveillance et l'écosystème publicitaire classique.

Discover-Tech a accès à la masse de données qui permet aux annonceurs de cibler avec précision certains consommateurs, une capacité détournée au profit du marché des logiciels espions mercenaires. Citizen Lab a baptisé ce dispositif « AdFection ».

« Nous fournissons la première confirmation technique publique d'une attaque de logiciel espion mercenaire sans clic, diffusée via une publicité ciblée », Citizen Lab, laboratoire canadien de recherche.

Des cibles repérées dans le monde entier

Selon l'analyse de Citizen Lab, les publicités liées à Discover-Tech ont été diffusées sur près de 200 000 applications Android, applications iOS et sites web différents, dans de nombreux pays. Le laboratoire précise que ces publicités ont été affichées sur des appareils connectés à des réseaux sensibles à travers le monde, sans pouvoir pour l'instant chiffrer précisément l'ampleur des attaques réalisées.

Citizen Lab affirme également, « avec une grande certitude », que des attaques ayant visé le média qatari Al Jazeera en 2024 et en 2025 sont liées au logiciel espion Candiru diffusé par les publicités de Discover-Tech. Au moins 45 appareils de la rédaction auraient été visés.

Un marché de la cybersurveillance en expansion

Ce mode d'infection via la publicité, appelé malvertising, profite des circuits standards de diffusion des annonces en ligne. Les réseaux publicitaires, submergés par des millions d'insertions quotidiennes, peinent souvent à distinguer une publicité malveillante d'une annonce fiable, ce qui facilite l'infiltration de code espion jusque sur des sites parfaitement légitimes.

Candiru n'en est pas à son premier signalement : l'entreprise israélienne figure depuis plusieurs années sur des listes de vigilance de chercheurs en sécurité et d'organisations de défense des droits numériques, pour avoir vendu ses outils à des gouvernements accusés de surveiller des journalistes, des avocats ou des opposants politiques. Les deux rapports publiés jeudi ajoutent Discover-Tech à cette chaîne d'acteurs, en révélant pour la première fois son rôle d'intermédiaire technique entre le marché publicitaire et celui de la cybersurveillance mercenaire.