Oui, une publicité peut désormais servir à infecter un appareil sans que sa cible clique dessus. Citizen Lab vient d’en apporter la première confirmation technique publique avec AdFection, une méthode qui détourne la publicité ciblée pour livrer un logiciel espion à une personne déjà choisie. Ce n’est pas une épidémie qui infecte tous ceux qui voient une bannière, mais le mécanisme est suffisamment inquiétant pour changer notre manière de regarder la publicité en ligne.
Comment une publicité peut agir sans aucun clic
Lorsqu’un site ou une application affiche une publicité, plusieurs entreprises peuvent participer en quelques fractions de seconde à une enchère automatisée. Des informations techniques accompagnent cette enchère : identifiant publicitaire, adresse IP, type d’appareil, navigateur ou encore application utilisée.
Dans le système étudié par Citizen Lab, une entreprise israélienne appelée Discover-Tech utilisait cette infrastructure pour reconnaître des appareils précis. La publicité contenait un élément capable de contacter un serveur distant dès son affichage. Ce serveur décidait alors quoi renvoyer.
Pour la plupart des internautes, il ne renvoyait pas le code d’infection. La publicité pouvait néanmoins collecter des informations permettant de profiler l’appareil. Pour une cible sélectionnée, par contre, le serveur pouvait charger du JavaScript supplémentaire, puis un exploit destiné à installer le logiciel espion.
Le détail important est là : l’utilisateur n’avait pas besoin d’ouvrir la publicité. Son simple chargement dans la page ou l’application suffisait à lancer la chaîne technique.
Ce que l’enquête a réellement confirmé
Citizen Lab relie avec un haut niveau de confiance une série d’attaques menées en 2024 et 2025 contre Al Jazeera au logiciel espion de Candiru, une société également connue sous le nom d’Integrity Labs. Au moins 45 appareils du groupe médiatique ont été ciblés.
Les chercheurs ont observé une succession précise dans les journaux réseau : contact avec l’infrastructure publicitaire de Discover-Tech, passage par un serveur chargé d’examiner l’appareil, puis communication avec les serveurs de commande de Candiru sur les appareils compromis. Un échantillon du logiciel espion a également été récupéré.
L’enquête porte aussi sur près de quatre milliards d’enregistrements d’enchères publicitaires. Les annonces liées à Discover-Tech sont apparues sur presque 200 000 sites, applications Android et applications iOS dans plusieurs pays.
Attention à ne pas tirer la mauvaise conclusion. Une annonce affichée ne signifie pas automatiquement que l’appareil a été infecté. La grande majorité des impressions semblent avoir servi au profilage ou à la reconnaissance. L’infection était réservée à certaines cibles.
Pourquoi « ne cliquez pas » ne suffit plus
Le conseil habituel reste utile contre le phishing et de nombreuses publicités malveillantes. Mais AdFection contourne précisément cette précaution. Si le code se déclenche pendant le chargement de l’annonce, l’internaute peut ne rien voir d’anormal.
Le vrai problème vient de la chaîne publicitaire elle-même. Un site sérieux peut déléguer ses emplacements à une régie, qui passe par d’autres intermédiaires. Du coup, le propriétaire du site ne connaît pas forcément chaque acheteur ni chaque morceau de code finalement chargé sur l’appareil du visiteur.
Google a indiqué avoir coupé l’accès de Discover-Tech à ses plateformes d’échange publicitaire. Beeswax l’a retirée de son service, Eskimi a bloqué ses comptes et Vungle a suspendu son accès pendant son examen du dossier. Ces réactions limitent l’infrastructure révélée, mais elles ne prouvent pas que cette méthode ne peut pas être reproduite ailleurs.
Comment réduire le risque
Citizen Lab recommande le blocage des publicités et du pistage, surtout sur les appareils professionnels ou appartenant à des personnes très exposées. Un bloqueur de publicité fiable dans le navigateur réduit la surface d’attaque, tout comme un navigateur doté d’une protection anti-pistage sérieuse.
Il est aussi utile de désactiver la personnalisation publicitaire lorsque le système le permet, de réinitialiser régulièrement l’identifiant publicitaire du téléphone et de limiter le suivi entre les applications. Sur un réseau professionnel, le filtrage peut être appliqué directement à la passerelle afin de protéger plusieurs appareils à la fois.
Les mises à jour du système, du navigateur et des applications restent indispensables, car l’étape finale dépend généralement d’une faille exploitable. Elles ne règlent toutefois pas le problème du profilage publicitaire.
Pour un journaliste, un responsable politique, un militant ou toute personne ayant des raisons crédibles d’être ciblée, un simple antivirus ne suffit pas forcément. Dans ce cas, Citizen Lab conseille de demander une aide spécialisée et de faire examiner les journaux réseau ainsi que les appareils concernés.
AdFection ne signifie donc pas que chaque bannière va pirater votre téléphone. L’enquête montre quelque chose de plus précis, et peut-être plus dérangeant : une infrastructure conçue pour vendre de la publicité peut aussi servir à trouver une personne, reconnaître son appareil et lui envoyer silencieusement une attaque sur mesure.