Publicités ciblées : un risque de logiciel espion
Des publicités ciblées auraient installé un logiciel espion sans clic sur iOS et Android. Comprenez le risque et les mesures utiles pour les rédactions.
Des publicités ciblées transformées en vecteur d'espionnage
Une publicité affichée sur un téléphone peut-elle installer un logiciel espion sans que son utilisateur clique ? Selon une enquête du Citizen Lab de l'Université de Toronto, c'est ce qui se serait produit pour des membres d'Al Jazeera. Les chercheurs décrivent une campagne, qu'ils ont appelée AdFection, active en 2024 et 2025, et attribuent l'infection de 45 appareils à des exploits dits « sans clic », visant des téléphones iOS et Android.
L'enjeu dépasse une simple histoire de rédaction. La campagne s'appuierait sur le fonctionnement courant de la publicité en ligne : des annonces intégrées à des sites et à des applications. Une fois chargées, elles auraient pu déclencher une attaque sans clic, sans que la victime touche la bannière ni télécharge un fichier. L'affaire rappelle aussi qu'un intermédiaire publicitaire peut relier des annonceurs, des éditeurs et des acteurs spécialisés dans les logiciels espions. Voici ce que l'enquête permet d'établir, ce qu'elle ne permet pas encore de trancher, et ce que les rédactions et les organisations exposées peuvent concrètement faire.
Ce que révèle l'enquête sur AdFection
Le Citizen Lab décrit AdFection comme une campagne qui utilise des publicités ciblées pour diffuser des exploits zero-click, autrement dit « sans clic ». Les chercheurs indiquent avoir confirmé l'infection de 45 appareils appartenant à des personnes travaillant pour Al Jazeera en 2024 et 2025. Les attaques auraient touché des appareils iOS et Android.
Le « sans clic » compte. Dans une attaque classique, la victime doit souvent ouvrir une pièce jointe, installer une application ou suivre un lien. Ici, le scénario rapporté est différent : la charge malveillante pouvait se déclencher quand la personne chargeait une page web ou utilisait une application déjà installée, sans interaction avec la publicité elle-même.
Les informations publiées par le Citizen Lab ne donnent pas, dans ce qui est accessible, le détail de chaque vulnérabilité exploitée, le nom des logiciels espions utilisés, ni l'identité des clients finaux. Il faut donc éviter de combler les manques par des suppositions. Ce que les chercheurs disent avoir confirmé, c'est l'existence d'une campagne, son mode de diffusion via la publicité, et l'infection de 45 appareils liés à l'organisation.
Un intermédiaire au cœur du dispositif
L'enquête met en cause Discover-Tech, une entreprise israélienne qui se présente comme une société de publicité légitime. D'après le Citizen Lab, elle aurait aussi joué le rôle d'intermédiaire pour plusieurs partenaires liés à l'écosystème des logiciels espions mercenaires. Concrètement, elle aurait servi de passerelle entre annonceurs et éditeurs d'applications ou de sites qui monétisent leurs espaces publicitaires.
Le mécanisme s'inscrit dans les enchères publicitaires. Un annonceur propose une rémunération pour qu'une annonce soit présentée à certains publics. Des données comme l'identifiant mobile, la localisation, l'adresse IP ou d'autres signaux peuvent contribuer à sélectionner les appareils auxquels une publicité sera diffusée. Le Citizen Lab indique avoir obtenu plus de quatre milliards d'enregistrements d'enchères traités par Discover-Tech.
Ces données ne prouvent pas, à elles seules, que chaque personne concernée a été espionnée. Elles montrent cependant l'ampleur et la précision possibles du ciblage. D'après les chercheurs, les annonces de Discover-Tech sont apparues dans plus de 70 000 applications mobiles et sur plus de 120 000 sites web entre mars et juin 2026.
Une première confirmation, pas un inventaire complet
Le Citizen Lab présente l'affaire comme probablement la première confirmation de logiciels espions mercenaires diffusés par des publicités ciblées, sans interaction de l'utilisateur. Cette prudence est importante : cela ne veut pas dire que ce type d'attaque n'a jamais existé. Cela signifie surtout que, dans ce cas précis, les chercheurs disposent d'éléments documentant ce mode de diffusion.
La nuance compte. Une enquête qui confirme une campagne ne donne pas une vue exhaustive des personnes visées, des annonceurs impliqués ou des vulnérabilités utilisées. En revanche, elle change le niveau de risque à considérer : la publicité mobile n'est pas seulement une question de suivi commercial ou de confidentialité. Dans certains contextes, elle peut aussi devenir une surface d'attaque.
Pourquoi cette campagne inquiète les rédactions
Les journalistes et les organisations de presse gèrent des informations sensibles : sources, échanges avec des personnes concernées, documents en préparation et accès à des comptes professionnels. Un appareil compromis peut révéler bien plus que le contenu visible sur le téléphone. Il peut aussi fragiliser une enquête, exposer un réseau de contacts, ou fournir un accès à des services utilisés au quotidien.
Le Citizen Lab alerte les rédactions et indique que le ciblage pourrait toucher aussi bien une organisation (au sens de ses locaux, de ses activités) que des journalistes, des rédacteurs et d'autres employés pris individuellement. Une attaque portée par le ciblage publicitaire n'a pas besoin de viser une rédaction entière : elle peut viser quelques personnes selon leurs déplacements, leurs appareils, ou les critères disponibles dans l'écosystème publicitaire.
Un risque qui dépasse les médias
Les rédactions sont un exemple très visible, mais le mécanisme pose des questions plus larges pour les entreprises, les institutions et la société civile. Un membre d'une équipe juridique, un responsable ayant accès à des informations sensibles, ou une personne travaillant avec des populations exposées peuvent aussi intéresser des opérateurs de surveillance.
Cela ne veut pas dire que toutes les organisations doivent traiter chaque publicité comme une menace probable. La bonne approche consiste à distinguer le risque général du risque ciblé. Pour la majorité des utilisateurs, les mesures de sécurité habituelles restent pertinentes. Pour les personnes plus susceptibles d'être visées par un acteur disposant de moyens importants, il faut une évaluation dédiée, un accompagnement spécialisé et des procédures de réponse adaptées.
Le RGPD ne remplace pas une défense technique
En Europe, le RGPD encadre la collecte et le traitement des données personnelles et fixe des obligations aux acteurs concernés. Il peut être utile d'examiner les pratiques de collecte, de partage et de profilage publicitaire. Mais respecter la réglementation ne protège pas, à lui seul, contre l'exploitation d'une vulnérabilité.
Il faut donc traiter deux questions séparément : quelles données la chaîne publicitaire collecte et utilise, puis quels risques de sécurité cela entraîne pour les appareils et les personnes. Une politique de confidentialité, même bien rédigée, ne garantit pas qu'une publicité ou un composant logiciel ne puisse pas être détourné. De la même façon, réduire le suivi publicitaire aide à mieux maîtriser les données, sans offrir une garantie totale contre les exploits sans clic.
Quelles mesures prendre sans se croire à l'abri
Il n'existe pas de réglage unique qui rende un appareil invulnérable à ce type d'attaque. La réponse doit combiner réduction de l'exposition, gestion rigoureuse des appareils, et capacité à enquêter en cas de problème. Il faut aussi adapter les mesures au niveau de risque : les besoins d'une rédaction travaillant sur des sujets sensibles ne sont pas ceux d'un utilisateur peu exposé.
Pour les utilisateurs et les équipes informatiques
- Installer rapidement les mises à jour du système et des applications. Elles corrigent souvent des vulnérabilités. Elles ne garantissent pas qu'il n'existe aucune faille encore inconnue, mais retarder les correctifs maintient inutilement des versions fragiles.
- Réduire le nombre d'applications et de profils de navigation inutiles. Plus l'appareil contient de composants rarement utilisés, plus la surface potentielle à gérer devient large. Cette mesure ne suffit pas à elle seule à bloquer une publicité malveillante.
- Limiter le suivi publicitaire quand c'est possible dans les réglages disponibles. Cela peut réduire certains mécanismes de profilage et de ciblage. Mais il ne faut pas le présenter comme une protection contre les exploits : cela ne supprime ni les failles logicielles, ni tous les leviers utilisés par l'écosystème publicitaire.
- Utiliser des appareils gérés pour les activités professionnelles sensibles. Des règles d'installation, des mises à jour suivies et une séparation claire des usages facilitent la prévention et la réponse. La gestion centralisée aide, mais elle ne remplace pas une analyse forensique si des soupçons sérieux émergent.
- Ne pas compter uniquement sur la formation contre l'hameçonnage. Savoir repérer les messages suspects reste utile, mais ça ne couvre pas une attaque qui ne nécessite aucune interaction visible de l'utilisateur.
Pour une rédaction ou une organisation à risque élevé
Quand le risque est réel, il faut préparer à l'avance : qui contacter en cas de suspicion, quels appareils isoler, et comment préserver les éléments nécessaires à l'analyse sans effacer les traces. Réinitialiser un téléphone « par réflexe » peut donner l'impression de régler le problème, mais ça peut aussi détruire des informations utiles à l'enquête. En cas de soupçon crédible, mieux vaut se tourner vers une équipe spécialisée avant de modifier l'appareil.
Il est aussi utile de documenter les appareils professionnels : versions logicielles, rôles, et accès détenus. Cette cartographie permet de prioriser les vérifications et d'identifier quels comptes ou services pourraient être concernés en cas de compromission. Les mesures de sécurité des comptes - authentification multifacteur, mots de passe uniques, gestion stricte des accès - restent essentielles, mais elles ne neutralisent pas forcément un logiciel espion déjà présent sur le terminal.
Enfin, une rédaction doit ajuster la protection au contexte : sujets couverts, déplacements, sources, historique de ciblage et impact attendu d'une compromission. Une politique uniforme est simple à appliquer, mais elle peut être insuffisante pour les personnes les plus exposées. À l'inverse, empiler des outils sans procédure ni responsable clairement identifié ajoute de la complexité sans améliorer forcément la sécurité.
Les limites des mesures individuelles
On a vite envie de chercher une application capable de détecter « tout logiciel espion ». Le problème, c'est que les chercheurs indiquent que les infections étudiées sont difficiles à repérer sans outils spécialisés. Un téléphone qui « fonctionne normalement » n'est pas une preuve d'intégrité, et un outil grand public ne peut pas garantir la détection de toutes les chaînes d'exploitation.
La décision utile dépend donc du niveau de risque. Pour une personne peu exposée, maintenir le système à jour et limiter les usages inutiles constitue une base raisonnable. Pour un journaliste ou un responsable susceptible d'être ciblé, l'enjeu est plutôt d'avoir un protocole de réponse et un accès rapide à une expertise indépendante. La technologie aide, mais l'organisation de la réponse compte autant que l'outil choisi.
Conclusion
L'affaire AdFection met en lumière une évolution préoccupante : d'après l'enquête du Citizen Lab, une infrastructure publicitaire ordinaire peut servir de canal à des logiciels espions mercenaires capables d'attaquer sans clic. Les chercheurs font état de 45 appareils infectés chez Al Jazeera et décrivent un intermédiaire ayant traité des milliards d'enregistrements d'enchères. Pour autant, les détails techniques et l'étendue exacte de la campagne restent limités dans les informations publiées.
La leçon pratique n'est pas de bannir toute publicité ni de considérer chaque smartphone comme compromis. L'idée, c'est de ne pas confondre bonnes habitudes numériques et protection totale. Mettez les appareils à jour, réduisez données et applications inutiles, et préparez une procédure d'incident si votre activité vous expose à un ciblage avancé. Pour une rédaction ou une organisation sensible, la prochaine étape utile est de formaliser cette procédure avec un spécialiste, avant qu'un soupçon ne devienne une urgence.
Comment une publicité peut servir à une attaque sans clic
La publicité numérique ne se résume pas à un visuel dans une page. Pour décider quelle annonce afficher, les systèmes publicitaires échangent des informations en un temps très court et sélectionnent une création parmi plusieurs possibilités. Une publicité peut ainsi être choisie à partir de signaux liés à l'appareil, à la localisation ou au profil supposé de la personne.
Dans le scénario décrit par le Citizen Lab, la publicité ciblée ne servirait pas seulement de support à un message commercial. Elle deviendrait un canal de diffusion : son affichage mettrait l'appareil en contact avec du contenu conçu pour déclencher un exploit. Si une vulnérabilité est présente dans un composant du téléphone ou dans le logiciel utilisé, l'attaque pourrait se produire sans que la victime touche la publicité.
Pourquoi le ciblage change la donne
Une campagne de logiciel espion mercenaire n'a pas nécessairement intérêt à infecter des millions d'appareils au hasard. Sa valeur dépend plutôt de sa capacité à atteindre des personnes précises : journalistes, responsables, avocats, militants, ou autres profils jugés sensibles. Le système publicitaire permet, en théorie, de sélectionner des appareils à partir de critères disponibles dans les enchères.
Ça ne veut pas dire que chaque donnée publicitaire identifie une personne par son nom. Les identifiants mobiles, les adresses IP et les données de localisation peuvent néanmoins aider à distinguer des appareils et à construire des profils. Et c'est un point souvent sous-estimé : des données collectées pour optimiser une campagne commerciale peuvent aussi servir un objectif opérationnel pour un acteur malveillant.
Pourquoi « sans clic » ne veut pas dire « sans condition »
Le terme peut donner l'impression qu'un téléphone est vulnérable dans tous les cas. L'enquête ne dit pas ça. Une attaque dépend en général de plusieurs conditions : l'appareil doit recevoir la publicité concernée, le logiciel doit contenir une vulnérabilité exploitable, et la chaîne d'attaque doit fonctionner dans ce contexte précis.
La différence avec une attaque qui exige un clic reste décisive. Les formations de sensibilisation apprennent à repérer les liens douteux et les pièces jointes suspectes. Ces réflexes restent utiles, mais ils ne répondent pas à un exploit qui se déclenche au simple chargement d'un contenu. On ne peut pas demander à quelqu'un d'éviter un clic qu'il n'a jamais fait.
Et c'est ce qui rend la détection plus compliquée. Selon le Citizen Lab, les infections décrites ne laissent pas forcément de traces visibles pour un utilisateur ordinaire et nécessitent des outils d'analyse forensique spécialisés. L'absence de symptôme ne permet donc ni de confirmer une infection, ni de l'exclure.