Une publicité ciblée suffisait : un logiciel espion installé sans clic chez Al Jazeera, révèle Citizen Lab

Voir une publicité, sans cliquer dessus, et repartir avec un logiciel espion. Le laboratoire Citizen Lab de l’université de Toronto affirme en apporter la première preuve technique publique, dans un rapport publié le 15 octobre 2026. Il baptise la méthode AdFection.

Une régie au service des espions

Au centre du dossier, Discover-Tech, une société israélienne qui se présente comme une entreprise publicitaire ordinaire. Selon Citizen Lab, sa plateforme Controlium permet à ses partenaires d’identifier un appareil précis, d’en relever l’empreinte et de l’infecter au moment où l’annonce s’affiche. C’est une attaque « zéro clic », qui ne demande aucune action de la victime (on en a parlé ICI).

Le mécanisme exploite le fonctionnement normal de la publicité en ligne : une annonce peut charger du code JavaScript, qui en charge d’autres, jusqu’à un éventuel exploit du navigateur. Comme ce code peut viser un identifiant d’appareil, il peut être envoyé à une seule personne.

Au moins 45 appareils visés chez Al Jazeera

Les chercheurs ont reconstitué la séquence dans les journaux réseau fournis par Al Jazeera : affichage d’une annonce de Discover-Tech, contact avec un serveur de vérification, puis communication avec un serveur de commande. Au moins 45 appareils de la chaîne ont été visés. Un fichier DLL isolé sur un poste Windows compromis est attribué « avec un haut degré de confiance » au logiciel espion de Candiru, rebaptisé Integrity Labs.

Citizen Lab relie aussi Discover-Tech à d’autres vendeurs, Intelos et Bindecy. Le commanditaire des attaques n’est pas identifié.

Certifiée par l’industrie

L’ampleur dépasse un seul média. Sur quatre milliards d’enchères publicitaires analysées, les annonces de Discover-Tech sont apparues sur près de 200 000 sites et applications en quatre mois. Elles ont aussi fait contacter les serveurs de Candiru par des millions d’appareils, probablement pour du repérage.

La société figurait sur des listes de fournisseurs « certifiés » ou « approuvés » de Google et d’IAB Europe, l’association européenne du secteur, et diffusait via Google, Yandex et Beeswax. Elle s’appuyait même sur les dispositifs de consentement prévus pour le RGPD pour viser des internautes dans l’Union. Après signalement, Google, IAB Europe, Beeswax, Vungle (Liftoff) et Eskimi ont coupé ses accès ; d’autres intermédiaires n’ont pas répondu aux chercheurs.

Le label de confiance n’a donc rien vu. C’est un laboratoire universitaire qui a fait le contrôle.

Que faire

Pour les organisations, Citizen Lab juge que la protection la plus réaliste consiste à bloquer les publicités ciblées au niveau du réseau. Pour un particulier, un bloqueur de publicité réduit l’exposition, et un navigateur à jour ferme les failles connues. Ces attaques visent des cibles choisies, mais le canal, lui, atteint tout le monde.

En bref

• Citizen Lab documente des infections par logiciel espion déclenchées par le simple affichage d’une publicité ciblée.
• Au moins 45 appareils d’Al Jazeera visés ; le logiciel est attribué à Candiru.
• La régie Discover-Tech figurait sur des listes de fournisseurs certifiés de Google et d’IAB Europe, qui l’ont depuis déconnectée.
• Bloquer les publicités ciblées reste la parade la plus simple.

Sources : Citizen Lab, rapport AdFection (15 octobre 2026) ; TechCrunch (15 octobre 2026)

Le Bien Heureux · Rédaction Capibara · Vendredi 16 octobre 2026