Du spyware dans la chaîne publicitaire : Citizen Lab documente une livraison zero-click nommée « AdFection »
Un rapport publié le 15 octobre 2026 par Citizen Lab, le groupe de recherche de l'Université de Toronto, décrit une méthode de distribution de spyware dont la barrière est exceptionnellement basse pour la victime : il suffisait d'afficher une publicité en ligne ciblée. L'attaque, que les chercheurs appellent AdFection, ne nécessitait aucun clic, aucun téléchargement ni aucune boîte de dialogue de confirmation. Selon l'équipe de six personnes à l'origine du rapport, le spyware mercenaire a atteint ses cibles via la même infrastructure publicitaire dont dépendent les sites web grand public pour se financer.
Cette découverte importe pour quiconque considère les sites d'actualités connus et les autres domaines établis comme des surfaces intrinsèquement sûres. Les infections n'ont pas eu lieu sur une page douteuse ni via un message de phishing. Elles ont eu lieu dans les espaces publicitaires de pages web ordinaires, placés par des réseaux que la plupart des éditeurs n'audittent jamais et que la plupart des lecteurs ne peuvent pas voir. Un emplacement publicitaire est l'un des rares endroits où du contenu externe est chargé automatiquement dans une page, ce qui en fait un point d'intérêt naturel pour quiconque étudie la surface d'attaque plutôt que la réputation. Comment un emplacement publicitaire est devenu un pipeline de livraison
Le rapport, « Exposing AdFection », documente la manière dont Discover-Tech, une société israélienne d'ad tech, a commandité et payé les publicités malveillantes et les a dirigées vers des cibles choisies. Derrière la campagne se trouvait Candiru, le fournisseur de spyware mercenaire qui, selon Citizen Lab, opère désormais clandestinement sous le nom d'« Integrity Labs ». En achetant sa place dans l'écosystème publicitaire, l'opération a relié un fournisseur de spyware à un canal en lequel les éditeurs et leur public n'avaient que peu de raisons de se méfier. Citizen Lab a confirmé des infections sur des appareils appartenant à des employés d'Al Jazeera, dont la propre couverture corrobore l'affaire. Selon le Comité pour la protection des journalistes, au moins 45 appareils ont été touchés. Les chercheurs écrivent en outre qu'il existe des indices que le ministère saoudien des Affaires étrangères figurait également parmi les cibles ; cette partie reste non confirmée et doit être lue comme une affirmation et non comme un fait établi. Le trait caractéristique d'AdFection est que voir la publicité et être infecté ont coïncidé. Les victimes n'ont rien cliqué ni rien installé. Dans le modèle standard, le jugement de l'utilisateur est le dernier contrôle qui doit céder ; dans cette attaque, ce contrôle ne faisait tout simplement pas partie de la séquence. Pendant des années, la recherche en sécurité des navigateurs a traité l'idée que la simple exposition à un contenu web puisse compromettre un appareil comme le pire des cas théoriques ; le rapport montre qu'elle est mise en pratique, contre des personnes précises, via un pipeline commercial. La réponse de l'industrie
Une fois les conclusions rendues publiques, une partie de l'industrie publicitaire s'est empressée de couper l'accès de l'entreprise. Comme le rapporte le site technologique allemand Tarnkappe, Google a mis fin à l'accès de Discover-Tech à sa plateforme publicitaire, et IAB Europe a retiré la société de ses annuaires de fournisseurs. Beeswax/FreeWheel et Eskimi ont abandonné Discover-Tech comme partenaire, et Vungle/Liftoff a suspendu son accès dans l'attente d'un examen. Al Jazeera, dont le personnel figure parmi les infectés, a couvert l'affaire de manière indépendante, et des médias spécialisés dans la sécurité comme The Record ont relayé ces conclusions. L'ampleur de la réponse est elle-même remarquable : en quelques jours à peine après la publication, un seul rapport de recherche a changé la position commerciale d'une société d'ad tech sur plusieurs des plateformes centrales du secteur. Ce que cela signifie pour la sécurité opérationnelle
Pour les personnes qui prennent au sérieux la sécurité opérationnelle, la leçon est inconfortable. La plupart des recommandations personnelles s'articulent autour de ce qu'il ne faut pas cliquer, et elles présupposent que la prudence au moment de l'interaction suffit. Un canal de livraison qui n'exige aucune interaction supprime cette présomption. Il reste les correctifs, le blocage des publicités et le filtrage au niveau du réseau — des mesures que beaucoup de personnes, y compris des utilisateurs techniques, n'appliquent pas de manière uniforme. Un site de confiance n'est propre que tant que l'est le contenu tiers qu'il intègre, et la publicité est le contenu tiers le plus largement distribué du web. Nous avons déjà examiné le prix en matière de vie privée des widgets tiers intégrés ; AdFection montre que l'enjeu peut aller jusqu'à la compromission complète de l'appareil. L'affaire fait aussi écho à une histoire plus ancienne. À la fin des années 2000, les téléchargements drive-by rendaient les pages malveillantes dangereuses au seul visite, et le conseil standard était de tenir à distance les sites douteux et de maintenir ses logiciels à jour. AdFection s'inscrit dans cette lignée mais inverse la géométrie : le contenu malveillant a voyagé jusqu'à la victime via des éditeurs réputés, et non l'inverse. Un réseau publicitaire est, en termes fonctionnels, un système mondial de distribution de contenu avec une transparence limitée sur qui peut payer pour un placement et qui verra le résultat. Cette opacité n'est pas un accident du système ; elle fait partie de la conception du marché. Tant que cela ne change pas, considérer chaque publicité intégrée comme du contenu non fiable, sur n'importe quel site, est le comportement par défaut raisonnable.
