Les réseaux publicitaires deviennent une voie d’accès pour les logiciels espions

Le contrôle d’un serveur institutionnel n’est pas nécessairement le préalable à la surveillance de ses visiteurs. En détournant les circuits de la publicité en ligne, un opérateur peut atteindre des téléphones au fil de leur navigation, puis sélectionner ceux qui présentent un intérêt. C’est le mécanisme décrit par Citizen Lab, laboratoire de l’Université de Toronto, et l’entreprise de cybersécurité Confiant dans une enquête sur une infrastructure liée à des logiciels espions israéliens.

Leur travail place l’espionnage par la publicité à la jonction de deux marchés : celui des espaces publicitaires, conçus pour atteindre une audience, et celui de la surveillance commerciale, qui cherche à identifier puis compromettre des cibles. Selon les chercheurs, l’entreprise israélienne Discover-Tech aurait fourni une passerelle entre ces deux activités.

La portée européenne tient aux lieux de diffusion relevés. Des annonces associées à cette infrastructure sont apparues sur des sites du Parlement européen, de la Commission européenne, du Conseil de l’Union européenne, de l’OTAN et des Nations unies. Ce constat ne démontre ni une intrusion dans leurs serveurs ni l’infection de leurs agents. Il montre qu’une chaîne publicitaire peut créer un point de contact avec les appareils de leurs visiteurs.

Comment fonctionne l’espionnage par la publicité

Dans leur enquête sur Discover-Tech et le dispositif AdFection, Citizen Lab et Confiant décrivent le détournement des enchères publicitaires en temps réel. Ces mécanismes automatisés attribuent des espaces sur des sites ou dans des applications et permettent de sélectionner les audiences auxquelles une annonce sera présentée.

La même capacité de distribution peut servir un autre objectif que la vente d’un produit. D’après les chercheurs, la plateforme Controlium de Discover-Tech permettait à des opérateurs de logiciels espions d’identifier, de suivre et de cibler des appareils au moyen d’annonces. Discover-Tech se présente comme une entreprise publicitaire ; les chercheurs lui attribuent un rôle d’intermédiaire au service de la surveillance commerciale.

Le point déterminant est l’absence possible d’action de la victime. Un lien malveillant envoyé par messagerie doit généralement être ouvert pour déclencher l’étape suivante. Ici, le chargement d’une annonce peut suffire à mettre l’appareil en relation avec une infrastructure de ciblage. Les chercheurs décrivent une voie permettant potentiellement une infection sans clic, dite « zero-click ». Cela ne signifie pas que chaque affichage publicitaire provoque une infection.

Cette architecture déplace le rapport de force. L’opérateur n’a plus nécessairement besoin de convaincre chaque cible d’ouvrir un message suspect. Il peut utiliser un système de diffusion existant pour établir un premier contact, effectuer une reconnaissance et réserver une attaque à certains appareils.

Une diffusion massive, des infections à distinguer

L’analyse porte sur quatre milliards d’enregistrements publicitaires couvrant quatre mois. Les chercheurs y ont retrouvé des annonces de Discover-Tech sur près de 200 000 sites et applications, dans plusieurs dizaines de pays. Ces chiffres mesurent l’étendue de la distribution observée, pas le nombre de téléphones compromis.

Selon leurs conclusions, des millions d’appareils ont été dirigés vers des serveurs associés à Candiru, un fournisseur de logiciels espions. Cette mise en relation pouvait permettre des opérations de reconnaissance et de sélection. Elle ne suffit pas, à elle seule, à établir qu’un logiciel a été installé ou que des données ont été extraites.

Le volet d’analyse des appareils apporte un autre niveau de preuve. Les chercheurs indiquent avoir identifié 45 appareils de professionnels de l’information et de personnels d’un même groupe audiovisuel pris pour cibles, dont certains ont été infectés par un logiciel associé à Candiru. Il faut donc séparer trois situations : l’exposition à une annonce, le ciblage d’un appareil et sa compromission effective.

L’espionnage par la publicité tire précisément parti de cet écart d’échelle : une infrastructure peut entrer en contact avec une audience très large sans déployer son outil d’intrusion contre tous ses membres. Discover-Tech et Integrity Labs, qui a acquis Candiru en 2025 selon les éléments rapportés dans l’enquête, n’avaient pas apporté de réponse aux sollicitations mentionnées lors de sa publication.

Une dépendance extérieure au périmètre informatique

Pour les institutions européennes et l’OTAN, le sujet ne se limite donc pas à la sécurité des machines qu’elles administrent. Un visiteur peut consulter une page institutionnelle depuis un téléphone personnel, tandis que son navigateur échange avec des prestataires extérieurs. La confiance accordée au site consulté ne garantit pas la maîtrise de tous les contenus et services chargés à cette occasion.

L’enquête ne permet pas d’attribuer à ces institutions un contrat direct avec Discover-Tech, ni de reconstituer pour chacune l’ensemble des intermédiaires publicitaires. Elle pose néanmoins un problème de contrôle : savoir quels acteurs peuvent atteindre les visiteurs par les composants tiers d’un site, et quels éléments techniques permettent de retracer ces échanges.

L’eurodéputée écologiste allemande Hannah Neumann a demandé des investigations supplémentaires sur l’exposition possible des institutions européennes. À ce stade, une enquête devrait notamment distinguer les annonces effectivement diffusées, les redirections observées et les éventuelles traces d’exploitation sur les terminaux. La présence d’une publicité suspecte est un signal à examiner, pas une preuve suffisante de compromission institutionnelle.

La question durable est celle d’une infrastructure commerciale devenue utilisable pour la surveillance. Les dispositifs publicitaires rapprochent déjà annonceurs et appareils à grande échelle ; leur détournement peut transformer cette capacité de distribution en moyen de sélection des cibles. Face à l’espionnage par la publicité, protéger les serveurs reste indispensable, mais ne suffit plus à décrire le périmètre à surveiller.