// FRANDROID — MOBILE & WEB
AdFection : la publicité ciblée est devenue un outil de propagation de logiciels espions
Le Citizen Lab, un laboratoire de l’université de Toronto qui traque les logiciels espions vendus aux États, a publié ce jeudi 15 octobre un rapport sur une technique qu’il a baptisée AdFection. Une publicité ciblée s’affiche dans une application ou sur un site, et le code qu’elle transporte suffit à infecter l’appareil, sans clic ni lien à ouvrir (on parle d’attaque zero-click). Ce qui signifie que la méfiance habituelle face aux liens douteux ne protège pas contre cette attaque. D’après les chercheurs, c’est la première preuve technique publique qu’un logiciel espion de ce type passe par la publicité.
Le cas documenté concerne Al Jazeera. En 2024 et 2025, au moins 45 appareils de la chaîne d’information qatarie ont été visés, des ordinateurs sous Windows d’après Forbes. Le Citizen Lab attribue l’attaque, avec un haut niveau de confiance, au logiciel espion de Candiru, capable d’espionner les messages, les appels et la localisation d’un appareil infecté.
Le Citizen Lab avait déjà épinglé Candiru en 2021, et les États-Unis ont placé la société israélienne sur leur liste noire commerciale la même année. Elle opère aujourd’hui sous le nom d’Integrity Labs, après un rachat annoncé en 2025 par le fonds américain Integrity Partners.
Les publicités, elles, ont été achetées par Discover-Tech, une société israélienne fondée en 2020 qui se présente comme une régie publicitaire ordinaire. Son outil Controlium permet à ses clients de désigner une cible par son adresse IP ou par son identifiant publicitaire, le numéro unique qu’Android et iOS attribuent à chaque téléphone pour la pub. Le client peut ensuite lui envoyer une publicité piégée.
Jusqu’à 330€ d’avantages avec nos offres Hello Prime ou Hello Prime Duo, dont 80€ cash à l’ouverture de compte !
Chaque pub affichée dans une application sort d’une enchère en temps réel. En moins d’une seconde, l’application transmet aux acheteurs des informations sur l’appareil, et le plus offrant affiche sa publicité. Ce système, pensé pour le marketing, permet de viser une seule personne. Surtout, une pub peut contenir du code qui s’exécute au moment où elle s’affiche.
Discover-Tech y glissait un petit script qui interroge ses propres serveurs. Si l’appareil n’est pas visé, le serveur ne renvoie rien. S’il l’est, il renvoie du code qui oriente l’appareil vers les serveurs de Candiru, qui l’examinent avant de l’infecter. Les régies qui diffusaient ces pubs ne voyaient donc jamais le code malveillant.
Le Citizen Lab a récupéré près de quatre milliards d’enchères de Discover-Tech, laissées en accès libre sur l’un de ses serveurs. Entre mars et juin 2026, des pubs contenant ce script ont été affichées dans 75 373 applications Android et iOS, dont MX Player, Viber ou Duolingo, et sur 120 768 sites web.
Ces pubs sont aussi apparues sur des réseaux de l’Otan et de l’ONU, du Parlement norvégien, des forces armées suédoises et d’organismes de recherche nucléaire australiens.
Pour le Citizen Lab, l’affichage d’une pub Discover-Tech ne prouve à lui seul ni un ciblage ni une infection. Au minimum, il a permis à la société de profiler l’appareil.