AdFection : Citizen Lab découvre un logiciel espion diffusé par la publicité

Citizen Lab, un groupe de recherche de l'Université de Toronto, affirme qu'une entreprise israélienne a utilisé des publicités en ligne ciblées pour faire parvenir un logiciel espion à des personnes choisies, sans un seul clic. Son rapport, publié le 15 octobre 2026, nomme cette technique AdFection. Il s'agit de la première démonstration technique publique d'un logiciel espion mercenaire diffusé par la publicité, rapporte CyberScoop. On appelle logiciel espion mercenaire des outils de piratage commerciaux vendus à des clients payants. Cette découverte fait des emplacements publicitaires ordinaires, sur les sites web et dans les applications, une voie d'attaque.

Comment fonctionne AdFection

L'entreprise, Discover-Tech, achetait de l'espace publicitaire par des enchères publicitaires classiques, indique le rapport de Citizen Lab. Ses publicités contenaient un petit script qui fonctionnait en quatre étapes :

1. Identifier la personne qui voit l'annonce. Le script envoyait l'identifiant publicitaire et l'adresse IP de l'appareil à un serveur de Discover-Tech. Un identifiant publicitaire est le code de suivi qu'un navigateur ou un téléphone partage avec les entreprises publicitaires.
2. Choisir les cibles. Le serveur vérifiait chaque identifiant et chaque adresse. Toute personne absente de la liste recevait une réponse vide.
3. Exécuter du code. Les cibles choisies recevaient du JavaScript qui s'exécutait automatiquement. Aucun clic n'était nécessaire.
4. Passer le relais. Les appareils infectés contactaient ensuite des serveurs liés à Candiru, un fabricant de logiciels espions qui opère désormais sous le nom d'Integrity Labs.

Discover-Tech tenait le code malveillant à l'écart des entreprises publicitaires auprès desquelles elle achetait, selon le rapport. L'entreprise vendait le service via une plateforme appelée Controlium. Selon CyberScoop, Controlium permet à des partenaires de « désanonymiser, identifier par empreinte et infecter automatiquement des appareils » lorsqu'une publicité s'affiche.

Qui a été ciblé

Citizen Lab relie au moins 45 appareils d'Al Jazeera, la chaîne d'information, au logiciel espion de Candiru diffusé de cette manière en 2024 et 2025. Les sources divergent sur le détail. TechCrunch rapporte que 45 ordinateurs Windows ont été piratés. Citizen Lab indique que les appareils ont été ciblés, et qu'il a analysé un fichier Windows provenant d'un appareil compromis.

Citizen Lab ne peut pas encore dire qui a commandité les attaques, rapporte CyberScoop.

Confiant, une entreprise de sécurité publicitaire, a mené sa propre enquête parallèlement à Citizen Lab. Elle a trouvé des signes de publicités de Discover-Tech sur des réseaux sensibles, notamment ceux du département de la Défense des États-Unis, de l'Agence internationale de l'énergie atomique et de la Cour pénale internationale. Voir une publicité ne signifie pas qu'un appareil a été infecté, souligne Citizen Lab.

Jusqu'où les publicités sont allées

L'équipe de recherche a obtenu des données d'enchères de MyDSP, l'une des plateformes d'achat publicitaire utilisées par Discover-Tech. Entre mars et juin 2026, les données montrent :

Indicateur	Chiffre
Enchères publicitaires placées	3 770 286 576
Enchères remportées	441 954 291 (11,7 %)
Sites web atteints	120 768
Applications mobiles atteintes	75 373
Part des enchères dans des applications	76,7 %
Dépenses approximatives	109 091 dollars

Le trafic de MyDSP provenait surtout de la plateforme d'échange publicitaire de Yandex (67,4 %), de Google Ad Manager (24,74 %) et de Vungle (7,24 %), selon le rapport.

Une partie du système de Discover-Tech était restée ouverte, rapporte TechCrunch. L'équipe de recherche a pu télécharger sans mot de passe les journaux de connexion des comptes utilisateurs, dont ceux de certains membres du personnel de Candiru et de Bindecy. Bindecy est une entreprise de piratage que le rapport relie à Discover-Tech.

Comment le secteur publicitaire a réagi

Plusieurs entreprises ont agi avant la publication du rapport, indique Citizen Lab :

• Google a coupé l'accès de Discover-Tech à sa plateforme d'échange publicitaire et ajouté des protections dans Safe Browsing.
• IAB Europe, un organisme du secteur publicitaire, a retiré Discover-Tech de sa liste de fournisseurs.
• Vungle, propriété de Liftoff, a suspendu tout accès de Discover-Tech le temps d'un examen.
• Beeswax a retiré Discover-Tech de sa plateforme, et Eskimi a bloqué définitivement ses comptes.

Discover-Tech, Candiru et Bindecy n'ont pas répondu à CyberScoop.

Bill Marczak, Senior Researcher chez Citizen Lab, a déclaré à TechCrunch que « pour la première fois, nous avons désormais des preuves techniques concrètes qui montrent ce processus en action ». Marczak a qualifié Discover-Tech de « sûrement juste la partie émergée de l'iceberg ».

« La publicité numérique est cassée », a déclaré Wolfie Christl, Senior Researcher chez Citizen Lab, à CyberScoop.

Ce que cela signifie pour les développeurs

Pour les équipes qui créent des applications, gèrent des sites financés par la publicité ou administrent des appareils d'entreprise :

• Traitez les scripts publicitaires comme du code non fiable. Tout emplacement publicitaire peut exécuter le JavaScript d'un acheteur. Isolez les cadres publicitaires et limitez ce à quoi les scripts tiers peuvent accéder sur vos pages.
• Bloquez la publicité sur les appareils professionnels. Citizen Lab conseille aux organisations de bloquer la publicité et le pistage au niveau de la passerelle réseau et sur les appareils professionnels. Utilisez la gestion des appareils pour exclure les téléphones du personnel du ciblage publicitaire.
• Limitez les identifiants publicitaires. Citizen Lab recommande aux utilisateurs de réinitialiser régulièrement l'identifiant publicitaire de leur téléphone et de désactiver le suivi publicitaire. « Il est temps de désactiver le suivi publicitaire sur vos appareils », a déclaré Marczak à TechCrunch.
• Vérifiez vos partenaires publicitaires. Citizen Lab appelle les entreprises publicitaires à vérifier à qui elles vendent et à auditer de nouveau leurs fournisseurs au fil du temps. Les propriétaires de sites et d'applications devraient demander à leurs régies publicitaires comment elles filtrent les acheteurs.
• Surveillez le trafic après le chargement des publicités. Citizen Lab suggère de surveiller le trafic réseau lié aux impressions publicitaires. Une connexion inattendue juste après l'affichage d'une publicité est un signal d'alerte.