La publicité en ligne sert à diffuser des logiciels espions sans clic, selon des chercheurs

La technologie publicitaire serait devenue un canal de diffusion de logiciels espions

Les systèmes de publicité en ligne peuvent servir à profiler les utilisateurs et à cibler discrètement leurs appareils avec des logiciels espions, selon Citizen Lab, l’unité d’enquête numérique de l’Université de Toronto. L’enquête porte sur Discover-Tech, une entreprise israélienne qui se présente comme une agence spécialisée dans la publicité numérique.

Citizen Lab affirme que Discover-Tech exploite une plateforme appelée Controlium. Les chercheurs lui reprochent de permettre le profilage et la désanonymisation à grande échelle, puis de faciliter l’envoi de logiciels espions commerciaux tiers à des cibles choisies.

Une personne peut voir une annonce apparemment banale, pour un service mobile ou un jeu numérique. Le processus publicitaire peut révéler des informations d’identification, notamment une adresse de protocole Internet ; si cette personne a été sélectionnée pour être surveillée, un code malveillant peut ensuite être envoyé à son appareil.

Pourquoi le « zéro clic » est important

De nombreux conseils de sécurité recommandent d’éviter les liens suspects et les fichiers inconnus. Une infection sans clic change la donne : la compromission se produit sans action ni connaissance de l’utilisateur. Selon Citizen Lab, le processus peut ne prendre que quelques secondes.

Les publicités numériques sont diffusées à très grande échelle et font intervenir des intermédiaires, des échanges de données et des enchères automatisées. Cette infrastructure peut identifier des cibles potentielles parmi une vaste population, puis acheminer une charge malveillante vers quelques personnes sélectionnées.

Les chercheurs décrivent une militarisation de la publicité à grande échelle : le profilage de millions d’utilisateurs peut coexister avec des infections très ciblées. Le problème n’est donc pas seulement qu’une annonce trompeuse puisse contenir un logiciel malveillant, mais que les systèmes publicitaires puissent aider à repérer des appareils précis.

Des appareils d’Al Jazeera feraient partie des cibles

Citizen Lab a déclaré penser que des dizaines d’appareils de la chaîne qatarie Al Jazeera avaient été compromis par un logiciel espion diffusé via des publicités de Discover-Tech. Cela ne signifie pas que chaque personne ayant reçu une annonce ait été ciblée ; l’allégation est que la publicité a permis de recueillir des informations avant d’attaquer des cibles choisies.

Citizen Lab indique que des millions d’utilisateurs dans le monde ont vu ces publicités depuis 2024, notamment au Yémen, au Brésil, au Mexique et en Tchéquie. Des travaux de Confiant ont aussi montré leur présence sur des réseaux liés à des organismes publics européens et américains, à l’ONU, à l’Otan, à la Cour pénale internationale et à l’Agence internationale de l’énergie atomique.

Ces observations ne prouvent pas que tous ces utilisateurs aient été infectés, mais illustrent l’ampleur de l’environnement publicitaire concerné.

Un problème qui dépasse une seule campagne

L’affaire pose un problème de sécurité aux plateformes publicitaires, aux éditeurs et aux organisations dépendantes des appareils connectés. Les annonces sont intégrées aux sites et aux applications et passent souvent par des chaînes d’approvisionnement complexes.

Le chercheur de Citizen Lab Wolfie Christl a jugé alarmant que de grands acteurs de la publicité et des organisations n’aient apparemment pas détecté ou stoppé les opérations malveillantes alléguées pendant des années. Si la compromission est réellement sans clic, les conseils classiques offrent une protection limitée.

Ces résultats accentuent la pression sur le secteur technologique pour mieux contrôler les intermédiaires publicitaires, les données collectées et le code livré par les annonces.

Ce qu’il reste à établir

Les résultats rapportés sont des allégations de chercheurs et doivent être confrontés aux éléments techniques et aux réponses des entreprises concernées. Ils avertissent néanmoins du rapprochement entre profilage publicitaire et logiciels espions commerciaux : les systèmes conçus pour atteindre des audiences peuvent aussi identifier et cibler silencieusement des individus.

Cet article s’appuie sur un reportage du Guardian. Lire l’article original.