Les chercheurs en sécurité de l’unité de défense des droits numériques The Citizen Lab affirment que des fabricants de logiciels espions gouvernementaux abusent des réseaux publicitaires mondiaux pour cibler et pirater des appareils en diffusant des publicités en ligne malveillantes.
Un nouveau rapport publié jeudi par le laboratoire de l’Université de Toronto indique qu’une société israélienne nommée Discover-Tech permet aux fabricants de logiciels espions d’utiliser sa plateforme publicitaire pour cibler des personnes ou des appareils spécifiques presque partout dans le monde avec des logiciels espions capables de voler leurs données de manière invisible.
Un pont vers l’écosystème des logiciels espions
Les chercheurs affirment que Discover-Tech se présente comme une entreprise publicitaire légitime, mais sert en réalité de « pont entre les fournisseurs de publicités et l’écosystème des logiciels espions mercenaires ».
Citizen Lab indique qu’au moins deux fabricants de logiciels espions « zero-click », Candiru et Bindecy, ont utilisé la plateforme de Discover-Tech pour cibler des personnes. Tous deux fournissent des produits de surveillance capables d’infecter des appareils sans que la victime n’ouvre un message ou ne clique sur un lien.
Al Jazeera ciblée
Les chercheurs ont découvert qu’une attaque avait touché au moins 45 ordinateurs Windows au sein de l’organisation médiatique Al Jazeera. Les appareils ont apparemment été piratés en 2024 et 2025 via le logiciel espion de Candiru après avoir été exposés à des publicités en ligne truffées de code malveillant.
Citizen Lab précise qu’il n’est pas clair quels gouvernements étaient à l’origine de ces attaques, mais affirme qu’il s’agit de la première confirmation d’attaques de logiciels espions « zero-click » soutenues par des gouvernements et diffusées via des publicités en ligne – ce qui pourrait potentiellement mettre un nombre considérable d’appareils dans le monde en danger.
« On entendait beaucoup de bruits selon lesquels les publicités en ligne pouvaient être utilisées pour identifier et pirater automatiquement des cibles avec une précision extrême, mais c’est la première fois que nous disposons de preuves techniques concrètes montrant ce processus en action », a déclaré Bill Marczak, chercheur senior chez Citizen Lab.
Comment la plateforme a été exposée
Les chercheurs affirment que la plateforme de Discover-Tech, que l’entreprise appelle Controlium, laissait du code source exposé sur ses pages de connexion, permettant aux chercheurs de recréer son tableau de bord web sans se connecter. Le tableau de bord « semble spécifiquement conçu pour leur permettre de pousser du contenu malveillant vers des utilisateurs ciblés individuellement, aux côtés des publicités ».
Citizen Lab a également trouvé une portion accessible publiquement du site de Discover-Tech qui permettait de télécharger des masses de registres de connexion d’utilisateurs sans mot de passe. Certains appartenaient à au moins deux employés de Candiru, ainsi qu’à quelques-uns de Bindecy.
Des milliards d’enregistrements d’enchères publicitaires exposés
Les chercheurs ont découvert des milliards d’enregistrements d’enchères publicitaires laissés exposés sur le site de Discover-Tech, montrant que ses publicités étaient diffusées sur des dizaines de milliers d’applications mobiles et de sites web entre mars et juin 2026.
Les enregistrements montrent que les publicités étaient affichées sur des appareils utilisés par des militaires, des gouvernements, des infrastructures critiques et des agences nationales de cybersécurité. Il n’est pas clair si les publicités affichées ont abouti à une compromission.
Les chercheurs en sécurité de la plateforme de qualité publicitaire Confiant, qui ont travaillé avec Citizen Lab, affirment avoir trouvé des preuves que des publicités potentiellement malveillantes étaient également diffusées sur des appareils des réseaux de l’Agence internationale de l’énergie atomique et de la Cour pénale internationale.
« Seulement la partie émergée de l’iceberg »
Marczak, de Citizen Lab, affirme que Discover-Tech n’est « sûrement que la partie émergée de l’iceberg » et appelle à une action défensive.
« Si vous risquez d’être ciblé en raison de qui vous êtes ou de ce que vous faites, il est temps de désactiver le suivi publicitaire sur vos appareils, voire de bloquer complètement les publicités », a déclaré Marczak.
Al Jazeera, Discover-Tech et Integrity Labs, le fabricant de Candiru, n’ont pas répondu aux demandes de commentaires.
