Une publicité pour un téléphone ou des écouteurs n’a, en apparence, rien de bien remarquable. Certaines auraient pourtant servi à autre chose qu’à vendre de l’électronique. Deux équipes de chercheurs accusent l’agence publicitaire israélienne Discover-Tech d’avoir utilisé ces annonces pour identifier des internautes, suivre leurs activités et faciliter l’installation de logiciels espions.
Même pas besoin de cliquer
Selon Citizen Lab, un organisme canadien de recherche sur la cybersécurité, les publicités de cette société fondée en 2020 ont atteint plus de 120.000 sites et 75.000 applications. Discover-Tech aurait notamment donné à Candiru, un fabricant israélien de logiciels espions, accès à des plateformes publicitaires de Google, de Comcast ou encore de Yandex.
C’est le détail le plus préoccupant : les internautes n’avaient pas besoin de cliquer. Le simple chargement de l’annonce suffisait à permettre la surveillance, expliquent les chercheurs. Discover-Tech cherchait aussi, dans certains cas, à récupérer le numéro de téléphone d’utilisateurs de smartphones.
L’agence diffusait au moins 10 millions de publicités par jour dans le monde, estime Jérôme Dangu, cofondateur de Confiant, une entreprise spécialisée dans la sécurité publicitaire. Des échanges d’identifiants entre services de pubs lui permettaient d’étendre encore le suivi.
Toutes ces réclames ne servaient pas à installer un logiciel espion. Confiant souligne que celles associées à Candiru représentaient une très faible fraction du total. Recevoir une publicité ne signifie donc pas automatiquement avoir été piraté. Chez Al Jazeera, en revanche, Citizen Lab dit avoir confirmé la compromission de 45 appareils Windows entre 2024 et 2025, grâce aux journaux réseau fournis par le groupe.
Le logiciel espion de Candiru avait été diffusé par l’intermédiaire des annonces de Discover-Tech. Le média qatari a condamné ces attaques et annoncé des mesures de protection. Les annonces malveillantes ont été affichées dans les réseaux du Pentagone, de l’Agence internationale de l’énergie atomique et de la Cour pénale internationale, selon Confiant. Citizen Lab cite aussi l’ONU, l’OTAN, la Commission européenne et plus d’une douzaine de gouvernements. Leur présence ne prouve toutefois pas que ces organisations ont été piratées.
Google a depuis exclu Discover-Tech de ses plateformes pour des violations systématiques de ses règles. Beeswax, filiale publicitaire de Comcast, l’a également retirée de son service, tandis qu’IAB Europe l’a suspendue de sa liste de fournisseurs approuvés. Candiru figure depuis 2021 sur une liste noire américaine pour avoir, selon les États-Unis, fourni des logiciels espions utilisés contre des responsables publics, des journalistes, des militants et des universitaires.