Imaginez un instant que la simple exposition à une publicité en ligne suffise à compromettre votre appareil, sans cliquer, sans ouvrir de message, sans même vous en apercevoir. Ce scénario, longtemps considéré comme une hypothèse de film d’espionnage, vient d’être confirmé par des chercheurs en cybersécurité. Des gouvernements et des acteurs de surveillance ont trouvé un moyen redoutable d’infecter des cibles précises en détournant les réseaux publicitaires mondiaux. L’enquête récente de Citizen Lab révèle comment des sociétés israéliennes spécialisées dans le spyware exploitent ces infrastructures pour déployer des outils dits « zéro-clic ». Pour les professionnels du marketing digital, des startups tech et de la communication en ligne, cette découverte change radicalement la perception du risque publicitaire.

Une enquête qui bouleverse la perception de la publicité en ligne

Le rapport publié par le laboratoire de l’Université de Toronto met en lumière une pratique jusqu’ici soupçonnée mais jamais démontrée avec autant de précision technique. Des fabricants de spyware gouvernemental, notamment Candiru et Bindecy, ont utilisé la plateforme d’une société appelée Discover-Tech pour cibler des individus ou des organisations spécifiques. Cette entreprise se présente comme un acteur classique de la publicité digitale, mais les chercheurs la décrivent comme un véritable pont entre les réseaux publicitaires légitimes et l’écosystème des spyware mercenaires.

Le fonctionnement repose sur une idée simple mais redoutable : les réseaux publicitaires permettent de cibler presque n’importe quel appareil connecté à Internet, partout dans le monde. En injectant du code malveillant dans certaines publicités, les attaquants peuvent infecter un téléphone ou un ordinateur sans aucune interaction de la victime. C’est ce que l’on appelle une attaque zero-click. Contrairement aux malwares traditionnels qui nécessitent un clic ou l’ouverture d’une pièce jointe, ces outils s’installent silencieusement dès que la publicité s’affiche.

Il y a eu beaucoup de discussions sur le fait que les publicités en ligne pouvaient servir à identifier et pirater automatiquement des cibles avec une précision chirurgicale. Pour la première fois, nous disposons de preuves techniques concrètes montrant ce processus en action.

– Bill Marczak, chercheur senior chez Citizen Lab

Cette déclaration résume parfaitement l’importance de la découverte. Jusqu’à présent, le malvertising – l’utilisation de publicités pour diffuser des malwares – existait déjà. Mais il s’agissait surtout de campagnes de volume visant des utilisateurs lambda. Ici, on passe à une autre échelle : un ciblage ultra-précis au service d’intérêts étatiques ou quasi-étatiques.

Comment fonctionne le détournement des réseaux publicitaires

Pour comprendre la menace, il faut revenir aux bases de la publicité programmatique. Les plateformes d’achat d’espaces publicitaires permettent aux annonceurs de définir des critères extrêmement fins : localisation, type d’appareil, applications utilisées, parfois même des identifiants techniques. Discover-Tech, via sa solution baptisée Controlium, semble avoir poussé cette logique plus loin. Les chercheurs ont découvert que le code source de la plateforme était partiellement exposé, ce qui leur a permis de reconstituer le tableau de bord de contrôle sans même se connecter.

Ce tableau de bord apparaît spécifiquement conçu pour pousser du contenu malveillant vers des utilisateurs individuels ciblés, en parallèle des publicités classiques. Autrement dit, la plateforme ne se contentait pas de diffuser des annonces : elle offrait un canal de distribution furtif pour des spyware ultra-sophistiqués. Les chercheurs ont également mis la main sur des milliards d’enregistrements d’enchères publicitaires exposés publiquement. Ces données montrent que les annonces de Discover-Tech ont été diffusées sur des dizaines de milliers d’applications mobiles et de sites web entre mars et juin 2026.

Plus inquiétant encore, ces publicités ont atteint des appareils appartenant à des militaires, des gouvernements, des infrastructures critiques et des agences nationales de cybersécurité. Des preuves similaires ont été identifiées sur les réseaux de l’Agence internationale de l’énergie atomique et de la Cour pénale internationale. Même si l’on ignore si toutes ces expositions ont conduit à une infection, le simple fait que ces cibles aient été touchées par des annonces potentiellement malveillantes est un signal d’alarme majeur.

Le cas Al Jazeera : une démonstration concrète de la menace

L’un des éléments les plus frappants du rapport concerne une attaque ayant touché au moins 45 ordinateurs Windows de l’organisation médiatique Al Jazeera. Ces appareils auraient été compromis en 2024 et 2025 grâce au spyware de Candiru, après avoir été exposés à des publicités contenant du code malveillant. Aucune interaction de la part des utilisateurs n’était nécessaire. L’infection s’est produite en arrière-plan, de manière invisible.

Ce type d’attaque illustre parfaitement pourquoi le spyware zéro-clic est considéré comme l’une des menaces les plus sérieuses du moment. Une fois installé, l’outil peut extraire des données, écouter des conversations, lire des messages chiffrés ou suivre les déplacements de la victime. Pour un média international, les conséquences sont immenses : sources compromises, journalistes exposés, informations stratégiques potentiellement livrées à des acteurs hostiles.

Citizen Lab n’a pas pu identifier avec certitude quels gouvernements se cachaient derrière ces opérations. Cela n’enlève rien à la gravité de la situation. Le simple fait que des outils de surveillance de niveau étatique circulent via des canaux publicitaires commerciaux ouvre la porte à des abus massifs. N’importe quel acteur disposant des moyens financiers et des contacts nécessaires pourrait théoriquement utiliser ce vecteur.

Pourquoi les réseaux publicitaires sont devenus une cible idéale

Les pirates informatiques, qu’ils soient étatiques ou criminels, cherchent depuis longtemps à abuser des infrastructures publicitaires. La raison est simple : ces réseaux offrent une portée quasi mondiale et une capacité de ciblage très fine. Une publicité peut être diffusée sur des millions d’appareils en quelques heures. Si l’on sait identifier un appareil ou un utilisateur précis, on peut concentrer l’attaque sur lui seul.

Contrairement à un email de phishing, qui nécessite souvent une action de la victime, une publicité malveillante s’affiche automatiquement. Sur mobile, dans une application, ou sur un site web, l’utilisateur n’a parfois même pas conscience qu’une annonce est en train de charger. Les navigateurs et systèmes d’exploitation modernes ont renforcé leurs protections, mais les vulnérabilités zero-day utilisées par les spyware avancés contournent souvent ces défenses.

Pour les professionnels du marketing digital, cette réalité pose une question embarrassante. Les mêmes technologies qui permettent de proposer des campagnes ultra-ciblées et rentables peuvent aussi servir de vecteur d’attaque. Les plateformes d’achat programmatique, les DSP, les SSP et les réseaux d’affiliation deviennent malgré eux des points d’entrée potentiels pour des acteurs malveillants. La confiance dans la chaîne publicitaire s’en trouve fragilisée.

Les acteurs en coulisses : Discover-Tech, Candiru et Bindecy

Discover-Tech se présente comme une entreprise de publicité légitime. Pourtant, l’analyse de Citizen Lab dresse un portrait bien différent. La société aurait fourni un accès privilégié à des fabricants de spyware. Des identifiants de connexion appartenant à des employés de Candiru et de Bindecy ont été trouvés dans des journaux d’accès exposés. Ces éléments renforcent l’idée que la plateforme n’était pas un simple outil marketing, mais un facilitateur pour l’écosystème de surveillance commerciale.

Candiru, également connue sous d’autres noms, fait partie des sociétés israéliennes spécialisées dans les outils de surveillance offensifs. Elle propose des solutions capables d’infecter des appareils sans interaction de l’utilisateur. Bindecy, moins connue du grand public, semble opérer dans le même créneau. Ces entreprises vendent leurs technologies à des gouvernements ou à des agences de renseignement, souvent dans un cadre légal flou et peu transparent.

Le modèle économique de ces sociétés repose sur la vente d’outils extrêmement puissants à des clients étatiques. Lorsque ces outils trouvent un nouveau canal de distribution – ici les publicités en ligne – le risque d’escalade devient réel. Ce qui était réservé à quelques cibles de haute valeur peut potentiellement s’étendre à un plus grand nombre de victimes.

Les implications pour les entreprises, les médias et les citoyens

Pour les entreprises tech, les startups et les organisations médiatiques, cette affaire doit servir de signal d’alerte. Les appareils utilisés par les équipes ne sont plus seulement menacés par des emails malveillants ou des liens suspects. Une simple navigation web ou l’ouverture d’une application peut désormais suffire à exposer l’organisation. Les journalistes, les militants, les avocats et les chercheurs sont particulièrement vulnérables, car ils constituent des cibles privilégiées pour les opérations de surveillance.

Les conséquences vont au-delà de la simple fuite de données. Un spyware installé peut permettre l’espionnage de conversations, le vol de sources journalistiques, la surveillance de déplacements ou même l’accès à des systèmes internes. Dans un contexte de concurrence économique féroce ou de tensions géopolitiques, ces capacités deviennent des armes stratégiques.

Pour le grand public, le risque reste plus faible, car ces outils sont généralement réservés à des cibles de haute valeur. Cependant, l’existence même de ce vecteur d’attaque montre que la frontière entre publicité et surveillance est de plus en plus poreuse. Les utilisateurs ordinaires peuvent se retrouver collatéralement exposés si leurs appareils se trouvent sur les mêmes réseaux ou dans les mêmes environnements que des cibles prioritaires.

Comment se protéger face à cette nouvelle forme de malvertising

Face à une menace aussi sophistiquée, les défenses classiques ne suffisent plus. Voici quelques mesures concrètes que chacun peut envisager, qu’il s’agisse d’un particulier, d’une startup ou d’une grande organisation :

• Installer et maintenir à jour un bloqueur de publicités efficace sur tous les navigateurs et appareils
• Désactiver le suivi publicitaire dans les paramètres système des téléphones et ordinateurs
• Utiliser des solutions de sécurité capables de détecter les comportements anormaux plutôt que de se contenter de signatures connues
• Limiter l’exposition aux réseaux publicitaires en privilégiant des applications et sites qui respectent la vie privée
• Former les équipes aux risques liés au malvertising et aux attaques zero-click
• Surveiller régulièrement les indicateurs de compromission sur les appareils critiques

Bill Marczak insiste particulièrement sur ce point : « Si vous risquez d’être ciblé en raison de qui vous êtes ou de ce que vous faites, il est temps de désactiver le suivi publicitaire sur vos appareils, voire de bloquer complètement les publicités. » Cette recommandation prend tout son sens pour les personnes exposées professionnellement.

Le rôle des plateformes publicitaires et la responsabilité de l’écosystème

Cette affaire soulève également des questions de responsabilité pour l’ensemble de l’industrie publicitaire. Les grands acteurs du secteur – Google, Meta, les réseaux programmatiques – affirment disposer de systèmes de détection du malvertising. Pourtant, des campagnes sophistiquées parviennent encore à passer entre les mailles du filet. Lorsque des plateformes plus obscures comme Discover-Tech offrent un accès privilégié à des acteurs de surveillance, le problème devient systémique.

Les régulateurs et les législateurs devront probablement se pencher sur ces questions. L’opacité des chaînes publicitaires programmatiques rend difficile le suivi des flux d’annonces et l’identification des responsables. Tant que des intermédiaires pourront opérer dans l’ombre, le risque d’abus restera élevé. Pour les entreprises qui achètent de l’espace publicitaire, il devient crucial de mieux connaître leurs partenaires et d’exiger davantage de transparence.

Du côté des éditeurs et des applications qui monétisent leur audience via la publicité, la situation est délicate. Bloquer trop agressivement les annonces réduit les revenus. Ne pas les filtrer suffisamment expose les utilisateurs à des risques. Trouver le bon équilibre sera l’un des défis majeurs des prochaines années.

Une escalade dans la guerre de la surveillance numérique

L’utilisation de publicités pour diffuser des spyware zéro-clic marque une étape importante dans l’évolution des techniques de surveillance. Pendant des années, les attaques les plus sophistiquées passaient par des messages ciblés, des SMS malveillants ou des exploits dans des applications de messagerie. Désormais, le simple fait de consulter un site web ou d’ouvrir une application peut suffire.

Cette évolution s’inscrit dans une tendance plus large : la professionnalisation et la commercialisation des outils de surveillance. Des sociétés spécialisées développent des capacités autrefois réservées aux services de renseignement les plus avancés, puis les vendent à des clients gouvernementaux. Lorsque ces outils trouvent de nouveaux canaux de distribution, le nombre de victimes potentielles augmente.

Citizen Lab souligne que Discover-Tech n’est probablement que la partie visible de l’iceberg. D’autres intermédiaires pourraient proposer des services similaires. Tant que la demande pour des outils de surveillance furtifs existera, l’offre s’adaptera. Pour les défenseurs de la vie privée et les experts en cybersécurité, la bataille est loin d’être terminée.

Ce que cela change pour les professionnels du digital et du marketing

Les équipes marketing, les growth hackers et les responsables de communication digitale doivent désormais intégrer cette dimension dans leur réflexion. Les campagnes publicitaires ne sont plus seulement un levier de croissance : elles font partie d’un écosystème qui peut être détourné. La confiance des utilisateurs dans les publicités en ligne, déjà fragile, risque de s’éroder davantage si de telles affaires se multiplient.

Il devient pertinent de se poser plusieurs questions stratégiques. Quelles plateformes publicitaires sont réellement fiables ? Comment vérifier la qualité des inventaires ? Existe-t-il des alternatives plus sécurisées pour atteindre ses audiences ? Pour les startups qui construisent des produits tech, la question de la sécurité dès la conception prend une importance nouvelle. Protéger les utilisateurs contre des menaces qu’ils ne voient même pas devient un argument différenciant.

Dans le même temps, les outils de protection de la vie privée – bloqueurs de publicités, navigateurs orientés privacy, solutions anti-tracking – gagnent en légitimité. Ce qui était parfois perçu comme une nuisance pour les annonceurs devient une nécessité de sécurité pour une partie croissante des utilisateurs avertis.

Vers une prise de conscience collective

L’enquête de Citizen Lab a le mérite de rendre visible une pratique jusqu’ici restée dans l’ombre. En exposant les mécanismes techniques et les acteurs impliqués, les chercheurs contribuent à une meilleure compréhension des risques. Pour les médias, les organisations de défense des droits numériques et les autorités, ces révélations fournissent des éléments concrets pour orienter les débats et les régulations futures.

Il ne s’agit pas de diaboliser la publicité en ligne, qui reste un modèle économique central pour de nombreux services gratuits. Il s’agit plutôt de reconnaître que cette infrastructure peut être détournée à des fins de surveillance, et d’agir en conséquence. Les utilisateurs, les entreprises et les plateformes ont chacun un rôle à jouer pour limiter les abus.

À l’heure où les attaques zero-click se multiplient et où les outils de surveillance deviennent de plus en plus accessibles, la vigilance collective est essentielle. Bloquer les publicités, désactiver le tracking, maintenir ses systèmes à jour et rester informé des nouvelles menaces sont des gestes concrets que chacun peut adopter. Pour les cibles potentielles – journalistes, militants, dirigeants d’entreprise ou chercheurs – ces mesures peuvent faire la différence entre la protection et la compromission silencieuse.

La découverte de Citizen Lab marque un tournant. Elle prouve que la frontière entre publicité commerciale et opération de renseignement s’est dangereusement amincie. Dans un monde où presque tous les appareils sont connectés et exposés à des flux publicitaires permanents, la sécurité numérique ne peut plus être une préoccupation secondaire. Elle doit devenir une priorité stratégique pour les individus comme pour les organisations.

Les prochains mois et années diront si l’industrie publicitaire et les régulateurs sauront tirer les leçons de cette affaire. En attendant, la meilleure défense reste l’information, la prudence et l’adoption de bonnes pratiques de protection. Car dans l’univers du spyware zéro-clic, le moindre affichage publicitaire peut désormais cacher une menace bien plus grande qu’un simple message promotionnel.