Une publicité affichée suffisait : le logiciel espion Candiru a visé Al Jazeera sans un clic

Pas de pièce jointe piégée ni de lien douteux. Selon le Citizen Lab de l'université de Toronto, il suffisait qu'une publicité s'affiche sur l'écran pour que l'infection commence. Le laboratoire a publié le 15 octobre un rapport intitulé « AdFection ». Il y décrit ce qu'il présente comme la première confirmation technique publique d'une attaque de logiciel espion mercenaire « zéro clic » livrée par la publicité ciblée.

La victime nommée est le groupe de médias Al Jazeera. Selon les journaux réseau qu'il a fournis aux chercheurs, au moins 45 de ses appareils ont été visés en 2024 et 2025. Le logiciel espion est attribué à Candiru, un éditeur israélien qui affirme ne vendre qu'à des gouvernements.

Comment une bannière peut-elle infecter un ordinateur ?

Au centre du dispositif, on trouve Discover-Tech, une société israélienne que Citizen Lab décrit comme un « pont » entre les vendeurs de logiciels espions et l'écosystème publicitaire. Elle achetait des emplacements sur des régies et des places de marché grand public, comme n'importe quel annonceur. Ses publicités contenaient un script qui, à l'affichage, interrogeait un serveur de Discover-Tech et lui transmettait l'adresse IP et les identifiants publicitaires de l'appareil.

C'est ce serveur qui triait. Un appareil ciblé recevait du code supplémentaire, les autres rien du tout. Selon Citizen Lab, ce tri évitait aussi de montrer le code malveillant aux régies. Les journaux d'Al Jazeera montrent ensuite un trafic vers des serveurs de validation de Candiru, puis vers des serveurs de commande. Les chercheurs ont récupéré sur un poste Windows compromis une bibliothèque (DLL) qu'ils attribuent à Candiru avec un niveau de confiance élevé.

L'ampleur de la diffusion interroge. D'après BleepingComputer, qui a analysé le rapport, des publicités portant le script de Discover-Tech sont apparues dans 75 373 applications Android et iOS et sur 120 768 sites web. Ce ne sont pas des infections : le tri ne visait que quelques cibles. Le rapport ne confirme d'ailleurs pas d'infection sur mobile, l'échantillon analysé étant une DLL Windows.

Un fournisseur agréé pour les bandeaux de consentement européens

Le volet européen est le plus dérangeant. Discover-Tech figurait depuis le 2 juillet 2020 sur la liste des fournisseurs agréés d'IAB Europe, celle qu'utilisent les bandeaux de consentement liés au RGPD. Elle en a été retirée le 8 octobre 2026. Selon Citizen Lab, ses publicités ont aussi été affichées sur les réseaux d'institutions de l'Union européenne, de pays nordiques, de la Tchéquie et de l'Italie.

Après avoir été alertés, Google, IAB Europe, Beeswax et Eskimi ont coupé l'accès de Discover-Tech. Vungle (Liftoff) l'a suspendu le temps d'un examen. Discover-Tech, Candiru et Xandr, la régie de Microsoft, n'avaient pas répondu dans le délai laissé par les chercheurs. Xandr a déjà été sanctionnée en Norvège dans un autre dossier, comme nous le racontions dans l'affaire Grindr. Citizen Lab demande aux régulateurs d'enquêter sur Discover-Tech et sur Candiru.

Que faire dans une entreprise ou une administration ?

Aucune faille à corriger ici : la porte d'entrée, c'est la publicité elle-même. Les recommandations de Citizen Lab vont donc dans ce sens :

• Bloquer la publicité au niveau de la passerelle (proxy, DNS filtrant) et sur les postes et mobiles professionnels. Le rapport rappelle que la NSA et la CISA recommandaient déjà les bloqueurs en 2018 et 2020.
• Désactiver les identifiants publicitaires sur les mobiles de l'organisation, ou au moins les réinitialiser régulièrement. Selon le rapport, cela bloque directement la méthode actuelle de Discover-Tech.
• Préférer des navigateurs qui limitent le pistage, et surveiller le trafic lié à l'affichage des publicités.
• Pour les particuliers exposés (journalistes, élus, militants) : une extension de blocage de confiance et un navigateur respectueux de la vie privée.

Reste une question que le rapport ne tranche pas : combien d'autres fournisseurs « agréés » font le même métier ? Citizen Lab estime que Discover-Tech travaille avec plusieurs vendeurs de logiciels espions. La suite dépend maintenant des autorités de protection des données.