Une enquête du Citizen Lab révèle que des publicités ciblées ont servi à installer un logiciel espion « zéro clic » sur des appareils de la chaîne Al Jazeera. En cause, Discover-Tech, une société israélienne liée au vendeur de spyware Candiru.
Dans une enquête publiée ce jeudi 15 octobre, le Citizen Lab démontre qu'une simple publicité ciblée a suffi à installer un logiciel espion dit « zéro clic », sans que la victime ait à cliquer, télécharger ou installer quoi que ce soit. Le laboratoire canadien, qui baptise la technique « AdFection », livre la première confirmation technique publique d'une telle attaque en conditions réelles, menée contre des appareils d'Al Jazeera, chaîne la plus regardée du monde arabe. À la manœuvre, une entreprise israélienne aux airs d'acteur publicitaire ordinaire, Discover-Tech, référencée par Google parmi ses prestataires certifiés, dont les bannières ont circulé dans près de 200 000 applications et sites.
Sans un seul clic, des publicités ciblées ont servi à espionner Al Jazeera
Pour comprendre comment une publicité ciblée peut livrer un logiciel espion, il faut passer derrière l'écran, dans les coulisses des enchères en temps réel (le « real-time bidding ») qui régissent la pub en ligne. Chaque fois qu'un emplacement publicitaire se libère, l'opération, bouclée en moins d'une seconde, désigne l'annonceur qui pourra vous montrer sa réclame. Votre appareil fournit pour cela un véritable signalement, avec identifiant publicitaire (un numéro unique attribué à votre téléphone), adresse IP, localisation… Or une pub n'est pas qu'une image. Elle peut transporter du code qui s'exécute dans l'application ou le navigateur. Discover-Tech s'est engouffrée dans cette faille de conception.
Bon nombre de ses annonces cachaient un petit script qui, à l'affichage, interrogeait un serveur maison. Pour la plupart des gens, la réponse restait vide, même si la pub récupérait au passage des cookies et l'adresse IP. Pour les cibles désignées, en revanche, le serveur renvoyait du code ouvrant la voie à l'infection. Les commandes passaient par Controlium, une plateforme où les clients sélectionnaient leurs victimes par identifiant publicitaire, cookie ou adresse IP. L'annonce pouvait même se charger en arrière-plan, sans jamais apparaître.
Al Jazeera a goûté à la méthode en 2024 et 2025, avec au moins 45 appareils visés. Les journaux réseau confiés par le média racontent la scène dans l'ordre, commençant par un contact avec les serveurs de Discover-Tech, signe qu'une pub s'affiche ; puis le passage par un serveur chargé de jauger l'appareil ; et enfin un dialogue avec un serveur de commande. Le fichier extrait d'un ordinateur Windows est, avec une « grande confiance », une version récente du logiciel espion de Candiru, firme fondée en Israël et rebaptisée Integrity Labs.
Al Jazeera pourrait d'ailleurs ne pas être un cas isolé. Dans les données analysées par The Citizen Lab, les chercheurs ont relevé des affichages sur les réseaux de grands médias, de radiotélévisions publiques et de groupes de presse en Australie, au Danemark, en Israël, en Italie, au Mexique, en Norvège, en Suède et en France. Ils pressent donc les rédactions d'éplucher leurs journaux réseau, car connaître les déplacements, les sujets ou les sources d'un reporter peut mettre des vies en danger.
Discover-Tech, une vitrine publicitaire aux fréquentations douteuses
Fondée en 2020 et dirigée par Dekel Boni, issu de la publicité en ligne, Discover-Tech affiche un étonnant bilan commercial. Sur sa plateforme MyDSP, de mars à juin 2026, environ 442 millions d'enchères apparemment remportées n'ont produit aucune « conversion » enregistrée, autrement dit ni achat, ni installation d'appli. Son conseil d'administration a en revanche accueilli jusqu'en 2025 Eric Banoun, « l'un des pionniers du cyber offensif en Israël » selon le quotidien israélien Haaretz. Et jusqu'en mars 2026, son capital comptait une société liée à Sara Hamou, ex-gestionnaire du réseau d'entreprises du consortium Intellexa, condamnée en Grèce à huit ans de prison dans l'affaire Predatorgate (un appel est en cours).
Le Citizen Lab rattache l'entreprise à plusieurs marchands de surveillance, comme Candiru, placé sur la liste noire du département américain du Commerce en 2021 ; Bindecy, autre éditeur israélien d'outils d'intrusion ; ou Intelos, qui exploite les données publicitaires à des fins de renseignement. Un quatrième acteur, surnommé DARK CARTOGRAPHER, se sert de l'infrastructure de Discover-Tech pour associer en masse des identifiants publicitaires et numéros de téléphone, grâce à des failles chez des opérateurs mobiles de plus de 30 pays. Un rapport dédié suivra, préviens le laboratoire. Quant à un lien d'infection de Candiru, il contient, chiffrée, une adresse IP du ministère saoudien des Affaires étrangères, cible potentielle.
En creusant un peu, on se rend vite compte que Candiru n'est pas une inconnue. En 2021, le Citizen Lab et Microsoft avaient déjà mis au jour son logiciel espion, utilisé contre au moins 100 personnes dans dix pays, parmi lesquelles des journalistes, des opposants et des militants. Ses outils ont ensuite refait surface contre la société civile catalane en 2022, puis contre l'eurodéputé allemand Daniel Freund pendant la campagne des européennes de 2024. Depuis, l'entreprise s'est rebaptisée Integrity Labs. En 2025, la presse israélienne a rapporté son rachat par l'américain Integrity Partners pour 30 millions de dollars, une manœuvre destinée selon elle à contourner les sanctions américaines. L'issue de la transaction reste floue.
Mais alors, comment une telle société a-t-elle pu passer pour parfaitement fréquentable ? De 2020 à ce mois d'octobre 2026, Discover-Tech figurait parmi les prestataires « certifiés » de Google et dans le registre des fournisseurs « approuvés » d'IAB Europe, sur lequel reposent la plupart des bandeaux de consentement RGPD. Pendant près de six ans, des centaines de millions d'Européens ont ainsi pu lui accorder, d'un simple « J'accepte », un feu vert, du moins sur le papier, pour traiter leurs données. Ça en serait presque drôle, mais la plateforme laissait consulter ses journaux de connexion sans mot de passe, et l'une de ses pages répondait aux curieux « ONLY DEKEL IS ALLOWED!!! ».
Des millions d’appareils exposés aux pubs piégées
L'ampleur de l'opération, on la doit en partie à Discover-Tech. L'entreprise laissait en accès libre, sur l'un de ses serveurs, près de quatre milliards d'enregistrements d'enchères, jusqu'à leur fermeture en août 2026. On y découvre que le Yémen concentre le plus d'enchères pour des annonces piégées, devant le Pakistan et le Monténégro, de loin champion une fois rapporté au nombre d'habitants. Le Brésil, le Mexique, la Chine ou Israël complètent le haut du tableau.
De mars à juin 2026, les annonces équipées du fameux script se sont affichées dans plus de 75 000 applications Android et iOS (MX Player, Viber, Truecaller, Duolingo, Grindr…) et sur quelque 120 000 sites, de Weather.com au New York Times. Des publicités de Discover-Tech ont aussi atterri sur les réseaux de l'OTAN, de l'ONU, du Parlement européen, des forces armées suédoises, d'Intel ou de NVIDIA. L'entreprise Confiant, qui menait sa propre enquête, y ajoute le Pentagone et la Cour pénale internationale.
Pour autant, une publicité affichée ne vaut pas forcément infection. Mais les annonces de Discover-Tech ont discrètement aiguillé des millions d'appareils vers des serveurs de Candiru, probablement pour un repérage à grande échelle. Comment ont-elles franchi les contrôles ? Leur code changeait selon l'appareil, l'adresse IP ou la localisation de qui regardait, explique la plateforme Eskimi, de quoi tromper les outils de vérification externes. Google et IAB Europe, qui ont été alertés, ont radié Discover-Tech au début du mois d'octobre. Beeswax et Eskimi l'ont débranchée, et Vungle a suspendu son accès le temps d'un examen. Ni Discover-Tech ni Candiru n'ont souhaité répondu au Citizen Lab.
Pour les chercheurs, Discover-Tech n'est que le symptôme d'un système défaillant, où il suffit souvent de cocher des cases dans un formulaire en ligne pour être « certifié ». Leur premier conseil est donc de bloquer les pubs, puisqu'une annonce qui ne s'affiche pas ne peut exécuter aucun code. Les agences de cybersécurité américaines NSA et CISA le recommandaient déjà en 2018 et 2020. Concrètement, on peut installer un bloqueur de pubs fiable, réinitialiser régulièrement son identifiant publicitaire pour brouiller les pistes, désactiver le suivi publicitaire du téléphone, adopter un navigateur anti-pistage ou filtrer les pubs dès la box. Les journalistes, militants et autres profils exposés ont, eux, intérêt à se faire accompagner par des experts.
