Citizen Lab décrit AdFection, une chaîne où des publicités ciblées pouvaient déclencher l’installation d’un spyware mercenaire sans clic. Lors d’attaques menées en 2024 et 2025, au moins 45 appareils d’Al Jazeera ont été ciblés, selon l’enquête technique de Citizen Lab. Le laboratoire présente son travail comme la première confirmation technique publique de spyware mercenaire distribué par publicité ciblée.
Comment une publicité pouvait mener au spyware
Le mécanisme décrit par Citizen Lab reposait sur une sélection des appareils visés. Une publicité affichée pouvait demander du JavaScript à l’infrastructure de Discover-Tech, une entreprise qui exploitait les plateformes publicitaires Controlium et MyDSP. Le serveur vérifiait ensuite si l’appareil répondait aux critères de ciblage.
Pour effectuer cette sélection, Controlium pouvait s’appuyer sur des identifiants publicitaires mobiles, des identifiants de cookies MyDSP ou Beeswax, ainsi que des adresses IP. Pour les personnes sélectionnées, la chaîne pouvait se poursuivre par un serveur de validation de Candiru, puis par du profilage et l’infection, jusqu’à un serveur de commande et de contrôle.
La plupart des personnes qui voyaient ces publicités ne recevaient pas le JavaScript. L’affichage pouvait néanmoins recueillir des données du navigateur, des cookies et l’adresse IPv6 publique de l’appareil. Voir une annonce ne signifiait donc pas que l’appareil suivait la voie menant au spyware.
Ce que recouvre le chiffre d’Al Jazeera
Citizen Lab rapporte des infections sur des appareils d’Al Jazeera et indique qu’au moins 45 appareils de l’organisation ont été ciblés en 2024 et 2025. Le chiffre de 45 concerne les appareils visés; le rapport distingue ce ciblage des infections constatées.
L’ampleur de l’activité publicitaire
Pour la période de mars à juin 2026, Citizen Lab a analysé près de quatre milliards d’enregistrements d’enchères publicitaires. MyDSP a enchéri sur 3 770 286 576 impressions et en a remporté 441 954 291, soit 11,7 % de ses enchères. Les publicités de Discover-Tech sont apparues dans plus de 70 000 applications mobiles et 120 000 sites web.
Au moins 718 748 885 enchères, soit environ 19 %, concernaient des publicités contenant une balise de script pointant vers un serveur NOAS. Ces publicités sont apparues dans 161 pays. Ces chiffres décrivent l’activité et la diffusion publicitaires observées pendant ces quatre mois.
Les plateformes ont pris des mesures différentes
Au début d’octobre 2026, Google et IAB Europe ont retiré Discover-Tech de leurs registres de fournisseurs. Google a également mis fin à son accès à sa bourse publicitaire. La fiche de Discover-Tech dans le registre d’IAB Europe a pris fin le 8 octobre.
Beeswax a retiré l’entreprise de Buyer Cloud. Vungle (Liftoff) a suspendu son accès pendant un examen, tandis qu’Eskimi a bloqué ses comptes, ses utilisateurs et ses domaines après avoir détecté des balises conçues pour échapper à la détection.
Les mesures recommandées par Citizen Lab
Pour réduire le risque, Citizen Lab recommande les extensions de blocage publicitaire, le blocage des publicités à l’échelle du réseau, l’installation rapide des mises à jour, la réinitialisation des identifiants publicitaires mobiles et la désactivation du suivi publicitaire. Le rapport publie aussi une liste de domaines liés à Discover-Tech et Controlium ainsi que de points de terminaison NOAS; ces indicateurs complètent les mesures de blocage plus larges.
