Une simple pub a suffi à infecter des appareils d’Al Jazeera sans un clic, selon Citizen Lab

Décryptage

Des appareils de la chaîne Al Jazeera ont été infectés par un logiciel espion sans que leurs utilisateurs cliquent sur quoi que ce soit. Le cheval de Troie était une publicité ciblée, affichée comme n’importe quelle bannière, révèle le Citizen Lab de l’université de Toronto dans un rapport publié le 15 octobre 2026. Au moins 45 appareils de la chaîne ont été visés en 2024 et 2025. Les chercheurs attribuent le logiciel à l’éditeur israélien Candiru, rebaptisé « Integrity Labs ».

La pub passait par Discover-Tech, une société israélienne qui se présente comme une entreprise publicitaire. Elle exploitait sa propre plateforme d’achat d’espaces, MyDSP, et une console de pilotage baptisée Controlium. Les chercheurs ont nommé la technique « AdFection ». Ni lien piégé ni pièce jointe : il suffit que la pub s’affiche.

Comment une bannière peut-elle infecter un appareil sans clic ?

Tout part d’une enchère en temps réel : à chaque ouverture d’une page ou d’une appli, l’emplacement publicitaire est mis en vente. Des plateformes d’achat, dont MyDSP, enchérissent pour le compte d’annonceurs.

Quand MyDSP remporte l’enchère, la bannière s’affiche avec un petit programme caché, un script. Ce script appelle un serveur que les chercheurs nomment NOAS. Il lui transmet l’identifiant publicitaire du téléphone ou le cookie du navigateur, ainsi que l’adresse IP. Le serveur décide alors si l’appareil est celui de la cible.

Pour l’immense majorité des écrans, le serveur ne renvoie rien. Pour la cible, il renvoie un code JavaScript, une seule fois selon les chercheurs : les visites suivantes ne reçoivent plus rien tant que l’opérateur ne relance pas l’opération.

Entre mars et juin 2026, la plateforme publicitaire MyDSP a enchéri sur 3,77 milliards d’affichages, dont environ 19 % portaient un script pointant vers un serveur de ciblage, selon le Citizen Lab. Elle a remporté environ 442 millions de ces enchères. Ses bannières sont apparues dans 75 373 applis Android et iOS et sur 120 768 sites web.

Qui était visé par ces publicités piégées ?

La cible documentée est Al Jazeera, la chaîne d’information basée à Doha. Les journaux réseau des appareils infectés montrent d’abord un contact avec l’infrastructure de Discover-Tech, signe qu’une pub s’est affichée. Viennent ensuite un serveur de validation de Candiru, puis son serveur de commande.

Candiru n’est pas un inconnu pour le Citizen Lab. En 2021, son enquête sur Candiru recensait plus de 750 sites liés à l’éditeur, et Microsoft avait observé au moins 100 victimes. Le 4 novembre 2021, Washington a inscrit Candiru et NSO Group sur sa liste noire commerciale. Le motif, selon le Bureau de l’industrie et de la sécurité du département américain du Commerce : leurs logiciels espions servaient à des gouvernements contre des responsables publics, des journalistes, des militants ou des universitaires.

Le rapport de 2026 ne s’arrête pas aux journalistes. Il relève des affichages de ces pubs jusque sur les réseaux de l’OTAN et des Nations unies. À Oslo, celui du Parlement norvégien, le Storting, et à Bruxelles ceux du Parlement européen, de la Commission et du secrétariat général du Conseil de l’UE.

En Suède, les pubs ont atteint les forces armées et Svenska kraftnät, le gestionnaire du réseau électrique. À Copenhague, le réseau ferré Banedanmark et Danske Bank ; à Prague, les ministères des Finances, des Affaires étrangères et de l’Intérieur. Un affichage ne prouve pas une infection : il montre que la pub a atteint ces écrans.

Entre la masse et la cible, il y a un entonnoir. De janvier à juin 2026, un serveur de Discover-Tech a compté 3 637 213 utilisateurs « éligibles », destinés à recevoir du code, selon le rapport. Celui-ci n’exclut pas que d’autres clients que Candiru s’en soient servis. Ce tri isole, parmi des millions d’écrans, ceux qui recevront peut-être le code.

Et pour un utilisateur ordinaire, quel risque ?

L’infection vise une poignée de personnes, le profilage concerne tout le monde. Même quand le serveur ne renvoie aucun code, la pub continue de recueillir des données dans le navigateur et de les renvoyer à Discover-Tech, écrivent les chercheurs.

Ces bannières sont passées par des applis du quotidien : la messagerie Viber, Duolingo, Opera Mini, Yahoo Mail, Truecaller ou un calendrier menstruel. Le site Weather.com en a affiché environ 400 000, les applis de rencontre Badoo et Grindr quelques milliers.

Le rapport décrit aussi un acteur qu’il surnomme DARK CARTOGRAPHER, actif depuis au moins 2019. Il relie des identifiants publicitaires de téléphones à des numéros en exploitant des failles d’opérateurs mobiles, que des attaquants ont utilisées dans plus de trente pays. Un identifiant relié à un numéro n’est plus anonyme.

Certaines pubs de Discover-Tech tentaient en outre d’exploiter une fuite connue des navigateurs, capable de révéler l’adresse IP réelle d’utilisateurs de VPN. Côté presse, le rapport compte un média français parmi les rédactions où ces pubs se sont affichées, sans le nommer.

Comment couper l’identifiant publicitaire de son téléphone ?

Sur Android comme sur iPhone, l’identifiant publicitaire se coupe dans les réglages de confidentialité. C’est l’une des clés avec lesquelles Controlium choisissait ses cibles. Sur Android, Google indique le chemin dans sa page sur les technologies publicitaires : Paramètres, Confidentialité, Annonces, puis « Supprimer l’identifiant publicitaire ». Google précise que des applis peuvent recourir à d’autres types d’identifiants.

Sur iPhone, Apple décrit le réglage dans sa fiche sur le suivi des apps : Réglages, Confidentialité et sécurité, Suivi, puis désactiver « Autoriser les demandes de suivi des apps ». Les apps qui demandent à suivre l’activité ne peuvent alors plus accéder à l’identifiant publicitaire. Reste l’adresse IP : elle voyage avec chaque enchère, et Controlium savait aussi cibler par IP.

La CNIL pose la règle dans ses recommandations sur les applications mobiles, publiées le 24 septembre 2024 et mises à jour le 8 avril 2025. Le ciblage publicitaire exige le consentement, et refuser doit être aussi simple qu’accepter. Le rapport montre la limite de cette protection : Discover-Tech passait elle-même par le cadre de consentement du secteur.

Pourquoi le système publicitaire a-t-il laissé passer ces pubs ?

Sur le papier, Discover-Tech avait tout d’un acteur publicitaire ordinaire. Elle utilisait le cadre de consentement d’IAB Europe, l’organisation professionnelle de la pub en ligne, et figurait dans son registre de fournisseurs. Elle synchronisait ses identifiants d’utilisateurs avec Beeswax, Yandex et Xandr, la plateforme publicitaire de Microsoft.

Controlium s’appuyait sur cette plomberie standard : ses clients choisissaient leurs cibles par identifiant publicitaire, cookie ou adresse IP. Ils pouvaient restreindre la campagne à un pays ou à une liste d’applis et de sites. La console affichait aussi, cible par cible, les dernières demandes d’enchères et les affichages obtenus.

Controlium avait ses propres failles : une adresse de téléchargement, repérée dans le code de la console et accessible sans mot de passe, livrait ses journaux de connexion. Les chercheurs en ont exporté 128 jours et y ont compté 120 noms d’utilisateur distincts. Deux comptes, que les chercheurs ont baptisés INTEGRITYPRESALE1 et INTEGRITYPRESALE2, s’y connectaient depuis huit pays, dont Israël, la Tchéquie et les États-Unis.

L’opération coûtait peu : MyDSP a dépensé environ 109 091 dollars entre mars et juin 2026 pour ses 442 millions d’affichages remportés. Chaque millier d’affichages lui a coûté environ 25 cents de dollar. Et pas une seule pub n’a débouché sur une conversion, un zéro « très inhabituel » pour un acteur publicitaire, note le rapport, qui admet que les relevés d’enchères ne l’enregistrent peut-être pas.

À ce prix, le filtre est le ciblage, pas le budget. Les enchères passaient surtout par la bourse publicitaire de Yandex, puis par celle de Google : à elles deux, plus de neuf enchères sur dix.

Qu’ont fait Google et l’industrie publicitaire depuis ?

Google, qui a collaboré à l’enquête, a coupé l’accès de Discover-Tech à ses plateformes d’échange publicitaire. Début octobre 2026, Google et IAB Europe l’ont aussi retirée de leurs registres de fournisseurs. Beeswax l’a sortie de sa plateforme d’achat, et Eskimi a bloqué ses comptes et domaines.

D’autres n’ont pas répondu au Citizen Lab, selon le rapport, dont Xandr. Vungle (Liftoff), la troisième bourse par laquelle passaient les enchères de MyDSP, a suspendu l’accès de Discover-Tech le temps d’un examen.

Article créé en collaboration avec l’IA.