Hot Tracking 022｜La publicité prouvée pour la première fois comme pipeline de logiciel espion : resté sur la liste certifiée pendant six ans

Fixons le calendrier. Le 15 octobre, le Citizen Lab de l’Université de Toronto a publié son rapport n° 195 intitulé « Exposing AdFection », avec des auteurs tels que Bill Marczak, John Scott-Railton, Ron Deibert et d’autres. Le rapport indique que c’est le premier cas confirmé techniquement de piratage commercial par diffusion d’annonces publicitaires ciblées en ligne sans clic, que le Citizen Lab a nommé AdFection. Le même jour, la société de sécurité des publicités Confiant a publié des informations complémentaires. Sur Hacker News, les posts concernant cette affaire ont atteint le top des discussions la nuit même ; au matin du 16 octobre, il y avait plus de 340 votes de soutien et plus de 500 commentaires, dont le nombre continue d’augmenter. La période de 48 heures couvre du 15 au 17 octobre, et ce texte se situe dans cette période. Le terme « premier cas confirmé » est une affirmation du Citizen Lab ; ce texte ne le rectifie pas. Tous les faits cités ont une source indiquée, et les opinions exprimées dans la section des commentaires sont attribuées individuellement.

Que s’est-il passé

Faits clés 1 : Les équipements des médias ont été infectés par du spyware. Le rapport confirme que les équipements de l’agence de presse Al Jazeera ont été infectés par du spyware commercial de la société israélienne Candiru, via des annonces publicitaires ciblées en ligne. Candiru a depuis été renommé « Integrity Labs ». Le rapport ne donne pas de détails sur le nombre d’équipements infectés et les dates de l’incident, donc nous n’en fournirons pas ici.

Faits clés 2 : Les acheteurs des annonces publicitaires étaient les partenaires du spyware. Les annonces malveillantes ont été achetées par la société israélienne Discover-Tech, qui se présente comme une entreprise de publicité réglementée. En réalité, le Citizen Lab a découvert que cette société servait de partenaire à plusieurs fabricants de spyware commercial, dont Candiru, Intelos et Bindecy. Elle gère une plateforme appelée Controlium, qui permet aux partenaires de déanonymiser, d’identifier les empreintes digitales et d’infecter automatiquement les équipements au moment où l’annonce est affichée, c’est-à-dire un attaquant sans clic : les utilisateurs n’ont pas besoin de cliquer sur quoi que ce soit, l’annonce apparaît et l’attaque est effectuée.

Faits clés 3 : L’ampleur de l’affaire est écologique. Le Citizen Lab a analysé 4 milliards de records de prix publicitaires de Discover-Tech et a découvert que, au cours des quatre derniers mois, ses annonces ont été affichées sur près de 200 000 sites web indépendants et applications Android et iOS, dans des dizaines de pays. Le rapport a également révélé que les annonces de Discover-Tech ont guidé des millions d’équipements vers le serveur de Candiru, et le rapport estime que cela pourrait être utilisé pour un suivi et une reconnaissance à grande échelle. Une autre entité menaçante, nommée DARK CARTOGRAPHER, utilise les infrastructures de Discover-Tech pour exploiter les failles de plusieurs opérateurs mobiles, en associant les identifiants d’annonces aux numéros de téléphone des équipements, avec des détails qui seront fournis dans des rapports ultérieurs.

Le mécanisme mérite d’être analysé en détail, car c’est la partie la plus complexe de ce rapport. La plupart des publicités que vous voyez sont générées par le bidding en temps réel (RTB) : les annonceurs échangent pour avoir le droit de “afficher cette publicité à un utilisateur spécifique”, et ces transactions sont gérées par des plateformes d’annonces comme Google, avec des volumes de plusieurs centaines de milliards de fois par jour. Les publicités ne sont pas seulement des images et des vidéos ; elles contiennent également du code HTML et JavaScript, reliées à un ou plusieurs noms de domaine, afin de suivre les visites et les clics. Les annonceurs échangent également des informations sur les identifiants des utilisateurs, permettant de reconnaître l’utilisateur entre différents sites et entre différentes annonceurs, pour ensuite orienter les publicités. Discover-Tech opère justement depuis cet ensemble d’infrastructures : elle dispose de sa propre plateforme de vente d’annonces MyDSP, participant aux enchères comme tout acheteur régulier. Les publicités semblent inoffensives, mais en réalité, elles contiennent des scripts qui se réactivent silencieusement lors de leur affichage. La capacité d’orientation est également disponible : le rapport indique que, en utilisant des critères tels que le sexe, l’âge et la région, les réseaux publicitaires peuvent identifier un individu avec une précision quasi unique. En réalité, les attaquants n’ont pas besoin de pirater des sites web ; ils suffisent de fixer un prix, et le reste est géré par l’écosystème publicitaire. Ces infrastructures étaient initialement conçues pour “livrer des publicités aux personnes les plus susceptibles d’acheter”, plus la ciblage est précis, plus la valeur commerciale est élevée. Mais maintenant, ces mêmes outils de précision sont utilisés pour envoyer des vulnérabilités aux personnes qui devraient être surveillées. Pour l’utilisateur cible, il n’est pas choisi parce qu’il a cliqué sur quelque chose, mais parce que son profil correspond aux conditions de prix proposées par l’acheteur.

La liste d’autorisation est suspendue depuis six ans : critiques sur la base principale

La première ironie concerne l’autorisation. Selon le rapport, Discover-Tech a figuré dans les listes de fournisseurs “autorisés” et “approuvés” par Google et l’organisation industrielle IAB Europe de 2020 à 2026, et a publié des publicités sur des réseaux tels que Google, Yandex et Beeswax. Pendant ces six ans, les mécanismes de contrôle de sécurité du secteur n’ont pas empêché une seule entreprise d’aider à la diffusion de logiciels espions, jusqu’à ce qu’un chercheur indépendant révèle que la liste a été mise à jour début octobre. La question n’est pas “pourquoi il y a des méchants”, mais “que contient vraiment cette autorisation”.

La deuxième ironie concerne le voile de conformité. Le rapport démontre que Discover-Tech utilise également le cadre de consentement GDPR de l’Union européenne, c’est-à-dire le TCF de l’IAB, pour cibler les utilisateurs en Europe et se présenter comme conforme. Les fenêtres de consentement et les bannières de cookies, qui sont des outils réglementaires conçus pour protéger la vie privée, sont utilisés à l’inverse comme couverture pour la diffusion de publicités ciblées. La conformité n’équivaut pas à la sécurité, ce qui constitue le plus tranchant exemple actuel.

La troisième ironie concerne le changement de nom. Après avoir été identifiée sous le nom de Candiru, Discover-Tech a changé son nom pour Integrity Labs, comme indiqué dans les notes du rapport. Une entreprise de logiciels espions déjà mise en lumière par plusieurs institutions de recherche et médias a continué ses activités avec un nouveau nom, et cette fois, le nom inclut même le mot “intégrité”.

Les conclusions structurelles du rapport sont présentées dans les titres des chapitres : AdFection montre que les publicités en ligne constituent une crise pour la sécurité informatique et la vie privée. Les systèmes publicitaires ne sont pas capables de détecter ou d’empêcher les abus documentés dans le rapport. Le rapport souligne également que, dans le contexte des acteurs nationaux, les publicités malveillantes peuvent être diffusées via des applications et des sites web utilisés par des militaires, des leaders politiques ou des maintenanceurs d’infrastructures clés, constituant ainsi un risque pour la sécurité nationale. Le rapport appelle les autorités réglementaires à enquêter sur la conformité légale de Discover-Tech et Candiru.

La version officielle ne correspond pas : qui fait semblant d’être mort

Citizen Lab a demandé des commentaires à 13 entreprises, et les réponses complètes sont présentées dans la section Correspondence du rapport. Selon le rapport, seules cinq entreprises ont agi après la divulgation : Google a participé à l’enquête, puis a retiré Discover-Tech de son registre des fournisseurs avec IAB Europe et a interdit son accès au réseau de transactions publicitaires ; Beeswax l’a également retiré de son réseau d’achat publicitaire ; Vungle (Liftoff) a suspendu son accès et a commencé à examiner le site ; Eskimi a banni son compte et son domaine. Pour les autres fournisseurs de publicité impliqués, le rapport indique qu’ils n’ont pas répondu aux demandes de commentaire dans les délais prévus. Veuillez noter la formulation : il s’agit d’une « absence de réponse », pas de « refus ». Ce texte ne nomme personne pour faire semblant, mais les lecteurs peuvent le vérifier eux-mêmes : sur les 13 entreprises interrogées, seules 5 ont agi.

Un autre point important à noter est le calendrier : les actions de retrait de Google et IAB Europe ont eu lieu au début du mois d’octobre, et Google a agi « après avoir participé à l’enquête ». Cela signifie que la mise à jour de la liste des fournisseurs n’est pas le résultat d’une vérification interne par l’industrie, mais plutôt une action suite à l’obtention des preuves par l’équipe de recherche.

Qu’en pensez-vous dans les commentaires ?

Plus de cinq cents commentaires sur HN se divisent en plusieurs groupes. Ci-dessous est une transcription, qui ne reflète pas la position de ce texte.

Les partisans du mécanisme analysent le chemin d’attaque. Le résumé de l’utilisateur chunkyslink reçoit beaucoup de likes : il entre par la porte principale, a été classé comme fournisseur certifié par Google et IAB Europe pendant six ans, les publicités semblent inoffensives, mais chaque élément contient un petit script qui se réactive silencieusement lors de la rendu. L’utilisateur reactordev suppose que le code malveillant est caché dans des images et stocké dans la cache, il suffit d’accéder à un site qui a diffusé cette publicité pour être infecté. L’utilisateur oulipo ajoute une logique de localisation : utiliser le réseau de publicité pour identifier les individus, puis diffuser une autre publicité exploitant une faille, comme un décodeur JPEG endommagé, pour obtenir le contrôle sur l’appareil. L’utilisateur pelagicAustral dit que la narration « où le format des fichiers est lié aux agences de renseignement » semble folle, mais d’autres attaques sans clics se font en réalité en endommageant la décomposition des fichiers, les messages peuvent être infectés sans être ouverts.

Les critiques de l’industrie ont également beaucoup de voix. L’utilisateur Lio cite un rapport de Reuters selon lequel Meta tire des millions de dollars de revenus publicitaires de contenus illégaux tels que la fraude et les jeux d’argent illégaux. Des agences gouvernementales comme l’ICE américaine ont également acheté des logiciels utilisant la technologie publicitaire pour suivre les mouvements des personnes. Sa conclusion est : on ne sait pas si les intercepteurs de publicités peuvent arrêter Controlium, mais aujourd’hui encore, il est permis d’avoir des publicités dans le navigateur, c’est être stupide. L’industrie publicitaire est globalement très corrompue. Il faut noter que ce sont des citations de commentaires et des jugements personnels, ce texte ne fait qu’enregistrer cela.

La validité de la défense est un sujet très discuté. L’utilisateur andunie pense que la situation est plus grave qu’on ne le croit, car l’ennemi contrôle complètement les machines grâce à des failles. Dans ce cas, même utiliser des services de messagerie privée comme Signal est inutile ; il s’inquiète également que Google ne puisse pas empêcher ce type d’attaques avec des restrictions sur le téléchargement côté appareil, et qu’il pourrait plutôt être utilisé pour justifier une plus grande fermeture de la plateforme. L’utilisateur gruez rétorque que les restrictions sur le téléchargement étaient destinées à prévenir la social engineering et les escroqueries, et non à contrer les vulnérabilités de type zero-day. L’utilisateur Cider9986 dit que « ce n’est pas complètement inutile » ; embaucher des entreprises de logiciels espions est beaucoup plus coûteux que soudoyer des personnes internes ou demander à un juge d’émettre une ordonnance. Il est confiant quant à la confidentialité des messages sur les appareils GrapheneOS, l’essentiel étant le modèle de menace. L’utilisateur hotelsacher ajoute froidement : Google veut simplement protéger ses propres biens, c’est-à-dire la capacité de surveiller tous les mouvements des utilisateurs. Il n’a pas besoin d’harceler les utilisateurs, car il dispose déjà de toutes les données. D’autres utilisateurs comme room606 et beel partagent directement les liens vers les rapports originaux de Citizen Lab et Confiant. La consensus de la communauté est claire : pour de tels événements, il vaut mieux lire le texte original plutôt que des résumés. Dans les commentaires, certains se rappellent des cas anciens liés à Pegasus. Ce article ne reprend que cette phrase, sans faire de comparaison.

Trois choses que les utilisateurs ordinaires peuvent faire

Premièrement, bloquer les publicités. Le rapport conclut que, compte tenu de la réalité des menaces et des preuves de téléchargement massif ciblé, la meilleure protection actuelle est que l’équipe défense bloque les publicités ciblées au niveau du gateway. Cette suggestion reste valable jusqu’à ce que l’industrie prouve qu’elle peut efficacement intercepter tous les vecteurs de type AdFection. Pour les particuliers : installer un intercepteur comme uBlock Origin dans le navigateur, ou utiliser des solutions comme Pi-hole au niveau du routeur. Lio dans les commentaires partage également cette même opinion.

Deuxièmement, pour les personnes exposées à de hauts risques, isoler les appareils. Le rapport mentionne les médias d’information, mais souligne que les militaires, les leaders politiques et les maintenanceurs d’infrastructures clés sont également des cibles potentielles. Si vous êtes journaliste, défenseur des droits ou occupiez un poste confidentiel, séparez physiquement « l’appareil utilisé pour consulter des pages web » de « l’appareil utilisé pour stocker des informations sensibles ». C’est la mesure la plus simple et la plus efficace selon le modèle de menace du rapport.

Troisièmement, moins d’identifier vos données, moins de donner votre consentement. Dans iOS, désactivez « Permettre aux applications de demander des informations sur les activités », dans Android, réinitialisez régulièrement l’ID de publicité. Pour les cookies et les fenêtres de consentement, choisissez la politique la plus stricte. Attention à la formulation : le rapport confirme que l’échange d’identifiants et le cadre de consentement TCF sont utilisés pour le téléchargement transfrontalier, mais ces actions ne peuvent qu’améliorer la précision de votre profil, sans empêcher les publicités ciblées. Ce article ne surestime donc pas leurs effets.

Conclusion

Déclaration de mesure : Cette publication ne condamne aucune partie. « La première confirmation publique » est la dénomination utilisée par Citizen Lab ; Discover-Tech est une entreprise israélienne, Al Jazeera est un média qatari, Candiru est lié à Israël, tous les éléments sont rapportés tels qu’ils figurent dans le texte original du rapport, cette publication ne fait pas de comparaison géopolitique. Le terme « peut être utilisé pour des traitements et des espionnages à grande échelle » conserve la limitation « likely » mentionnée dans le rapport ; les détails spécifiques sur les équipements d’Al Jazeera infectés ne sont pas publics, cette publication ne les invente pas. Les opinions exprimées dans la section des commentaires appartiennent toutes à leurs auteurs. Les faits vérifiés sont les suivants : le rapport n° 195 de Citizen Lab a été publié le 15 octobre, contient 4 milliards de records de concours, près de 200 000 sites et applications, les noms de quatre entreprises liées aux logiciels espions, la liste des certifications de 2020 à 2026, et les mesures prises par cinq entreprises, toutes tirées du rapport original. Deux points à surveiller : premièrement, Discover-Tech ou Candiru (Integrity Labs) ont-ils répondu officiellement ? Le rapport indique qu’ils n’ont pas répondu dans les délais ; deuxièmement, y a-t-il une enquête de la part des autorités réglementaires ? Le rapport appelle clairement à l’intervention des autorités. Si l’un ou l’autre se produit, une version 2 sera publiée.

Sources de référence

• Rapport de Citizen Lab n° 195 « Exposing AdFection » : publié le 15 octobre 2026 sur citizenlab.ca, texte intégral directement accessible, source principale de tous les faits concrets de cette publication.
• HN story 50101813 : données d’Algolia, soumis le 10-15T18:43, snapshot du 10-16 matin 349▲/506💬, texte mentionnant « plus de 340▲, plus de 500 commentaires ».
• Confiant coopère à l’enquête (blog.confiant.com) : publié le même jour que le rapport, commentaire HN cité, texte intégral non récupéré, seule mention « publié le même jour ».
• Reportage de Reuters sur les revenus publicitaires de Meta : cité par l’utilisateur Lio dans la section des commentaires, source secondaire, texte marqué « cité dans la section des commentaires ».
• Pool de commentaires HN : chunkyslink/reactordev/oulipo/pelagicAustral/Lio/andonie/gruez/Cider9986/hotelsacher/room606/beel sont tous décrits par les auteurs, texte attribué à chacun.