Publicités piégées : comment une simple pub a installé un logiciel espion sans un seul clic
Le 15 octobre, le Citizen Lab de l’Université de Toronto a publié la première démonstration technique d’infections réelles par un logiciel espion « zéro clic » livré au moyen de publicités piégées. La victime n’a rien téléchargé ni cliqué : il a suffi qu’une pub s’affiche. Au moins 45 appareils de la chaîne Al Jazeera ont été infectés par le logiciel espion de Candiru en 2024 et 2025. Le Citizen Lab a baptisé la technique AdFection.
Au cœur de l’affaire : Discover-Tech, une entreprise israélienne qui se présentait comme une agence de publicité numérique, et sa plateforme Controlium. Selon les chercheurs, elle servait de pont entre les marchands de logiciels espions et les grands réseaux publicitaires, et aucune activité publicitaire légitime n’a été trouvée.
Anatomie d’une AdFection en 6 étapes
C’est ce qui rend ces publicités piégées si difficiles à repérer : la pub elle-même est banale, et la plateforme qui la diffuse ne voit jamais le code malveillant. Seuls les appareils choisis le reçoivent.
Ce que votre appareil révèle à chaque publicité
// Demande d’annonce simplifiée et fictive, inspirée du format OpenRTB
Ce que chaque ligne dit de vous
- 1L’appli ou le site où la pub s’affiche (ici, une appli météo).
- 2L’identifiant publicitaire de l’appareil, qui permet de vous reconnaître d’une appli à l’autre.
- 3L’adresse IP. Au bureau, elle révèle souvent le nom de votre entreprise : c’est ainsi que le Citizen Lab a vu des pubs de Discover-Tech sur les réseaux de ministères, de l’OTAN ou de grandes entreprises.
- 4Le système et sa version : de quoi choisir l’exploit qui fonctionnera.
- 5Une position approximative.
- 6Des catégories d’intérêt déduites de votre navigation.
Exemple illustratif : les vraies demandes contiennent souvent beaucoup plus de champs.
Qui doit s’inquiéter des publicités piégées?
Cibles de grande valeur
Journalistes, militants, élus, diplomates, personnes en conflit avec un gouvernement étranger
Risque réel d’infection
Profils exposés
Dirigeants, avocats (propriété intellectuelle), fournisseurs du gouvernement, de la défense, de l’énergie ou des semi-conducteurs, voyageurs d’affaires
Profilage probable, ciblage possible
Tout le monde
Chaque appareil qui affiche des publicités ciblées, au bureau comme à la maison
Profilage et suivi publicitaire
Soyons clairs : pour la grande majorité des PME, le risque d’être infecté par un logiciel espion de calibre gouvernemental reste faible. Mais deux choses vous concernent directement. D’abord, la même mécanique publicitaire sert aux criminels ordinaires pour pousser de faux logiciels et de fausses pages de connexion, comme on l’a vu avec les faux modèles ChatGPT piégés. Ensuite, si vous travaillez pour des clients sensibles (gouvernement, défense, énergie, cabinets juridiques), vos appareils peuvent servir de porte d’entrée vers eux.
Le conseil de Bill Marczak, chercheur principal au Citizen Lab : « Si vous pouvez être ciblé en raison de qui vous êtes ou de ce que vous faites, il est temps de désactiver le suivi publicitaire sur vos appareils, voire de bloquer complètement les publicités. »
10 minutes de réglages, appareil par appareil
| Appareil | Réglage | Où le trouver |
|---|---|---|
| Windows 11 | Désactiver l’identifiant de publicité | Paramètres › Confidentialité et sécurité › Général |
| iPhone et iPad | Refuser le suivi par les applis et les publicités personnalisées d’Apple | Réglages › Confidentialité et sécurité › Suivi, puis Publicité Apple |
| iPhone (profils très exposés) | Activer le Mode Isolement | Réglages › Confidentialité et sécurité › Mode Isolement |
| Android | Supprimer l’identifiant publicitaire | Paramètres › Google › Tous les services › Annonces (les libellés varient selon le fabricant) |
| Chrome et Edge | Couper les sujets publicitaires et passer la prévention du suivi en mode strict | Chrome : Confidentialité et sécurité › Confidentialité des annonces · Edge : Confidentialité, recherche et services › Prévention du suivi |
| Tous les appareils | Mises à jour automatiques du système, du navigateur et des applis | Les exploits zéro clic visent des failles : un appareil à jour leur ferme des portes |
Pour l’entreprise : 4 mesures qui ne dépendent pas de chaque employé
- Un filtrage DNS qui bloque les régies publicitaires douteuses et les domaines malveillants, au bureau comme sur les portables et téléphones en déplacement.
- Une gestion centralisée des appareils (par exemple Microsoft Intune) pour imposer la désactivation de l’identifiant publicitaire, les mises à jour automatiques et un bloqueur de publicités approuvé.
- Des téléphones professionnels séparés pour les profils exposés, sans applis gratuites financées par la publicité.
- Une surveillance proactive de vos systèmes, pour repérer les connexions vers des domaines inconnus ou un processus qui n’a rien à faire sur un poste.
Ce qu’on sait, ce qu’on ne sait pas encore
✔️ Ce qu’on sait
- Au moins 45 appareils Windows d’Al Jazeera ont été infectés par le logiciel espion de Candiru en 2024-2025.
- Entre mars et juin 2026, Discover-Tech a placé 3,77 milliards d’enchères et en a remporté 442 millions.
- Ses pubs ont été vues dans 75 373 applis et 120 768 sites, dont CBC, BBC, le New York Times, Duolingo, Yahoo Mail et Viber.
- Discover-Tech figurait sur des listes de fournisseurs « certifiés » de Google et d’IAB Europe. Elle en a été retirée, et Google, Beeswax, Eskimi et Vungle ont coupé ses accès.
❓ Ce qu’on ne sait pas
- Quels gouvernements étaient clients de la plateforme.
- Combien d’appareils ont réellement été infectés : une publicité affichée n’est pas une infection.
- Quelles failles précises ont été exploitées. Candiru a déjà utilisé des failles zero-day de Windows et de Chrome par le passé.
- Combien d’autres plateformes semblables existent. Le Citizen Lab parle de « la pointe de l’iceberg ».
Pour aller plus loin : pourquoi le cadenas du navigateur n’est pas une garantie, nos services informatiques gérés (mises à jour et gestion des appareils) et nos services de cybersécurité.
Réservez votre Bilan cyber gratuit
En 30 minutes, on regarde vos appareils, vos réglages publicitaires, le filtrage DNS et les mises à jour, et on vous dit par où commencer. Gratuit et sans engagement.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- The Citizen Lab (Université de Toronto) — Exposing AdFection: Executive Summary (15 octobre 2026, en anglais)
- The Citizen Lab — How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware (rapport complet, en anglais)
- TechCrunch — Governments are hacking people with ‘zero-click’ spyware by showing them online ads (15 octobre 2026, en anglais)
- BleepingComputer — Targeted ads installed Candiru spyware in zero-click attacks (16 octobre 2026, en anglais)
Photo : cottonbro studio, Pexels (licence Pexels).