Consulter une page web ou actualiser une application peut suffire à exposer un ordinateur ou un téléphone à une attaque permettant de dérober des données personnelles, sans même cliquer sur un lien. Selon une enquête rapportée par Al Jazeera, une entreprise israélienne de logiciels espions est à l’origine du premier cas connu d’attaque « sans clic » utilisant la publicité ciblée comme vecteur d’infection.
En juin 2025, 45 appareils utilisés par des membres du personnel d’Al Jazeera, dont plusieurs journalistes travaillant sur des sujets sensibles, ont été ciblés par un logiciel espion capable de s’installer sans ouverture ni téléchargement de fichiers.
L’enquête menée par Citizen Lab, une unité de recherche universitaire basée au Canada, à la suite de premières investigations internes d’Al Jazeera, a attribué ces attaques à l’entreprise israélienne Candiru.
Pour les spécialistes interrogés, ces conclusions sont particulièrement préoccupantes. Elles révèlent une nouvelle méthode de ciblage susceptible d’élargir la portée des opérations de surveillance.
« C’est un niveau supplémentaire, car les personnes font l’objet d’un microciblage », explique à Al Jazeera Remesh Srinivasan, professeur en sciences de l’information à l’Université de Californie à Los Angeles.
Comment fonctionne une attaque « sans clic » ?
L’équipe technique d’Al Jazeera avait d’abord repéré des comportements inhabituels sur les appareils de certains journalistes en 2024. L’analyse des journaux de connexion transmis à Citizen Lab en 2025 a ensuite permis de retracer la chronologie de l’attaque.
Selon l’enquête, des publicités malveillantes avaient été achetées par Discover-Tech. Cette entreprise israélienne se présente comme une société publicitaire légitime, mais les chercheurs la décrivent comme un intermédiaire facilitant les opérations de partenaires spécialisés dans les logiciels espions mercenaires.
Son réseau publicitaire a identifié des membres du personnel d’Al Jazeera, puis les a discrètement redirigés vers un serveur de Candiru utilisé pour l’infection.
Candiru avait été placée sur une liste noire du gouvernement américain en 2021. Citizen Lab avait alors établi que ses outils avaient servi au piratage et à la surveillance illégale d’au moins 100 militants, journalistes et acteurs politiques dans dix pays.
Al Jazeera Media Network a condamné le ciblage des appareils de ses employés et demandé que les responsables répondent de leurs actes.
Une distinction technique importante
L’analyste en cybersécurité Eddy Willems explique à Al Jazeera que les publicités utilisées peuvent déclencher une infection dès leur affichage à l’écran. Il souligne toutefois une distinction essentielle : l’exécution d’un code dans un navigateur ne donne pas automatiquement le contrôle complet de l’ordinateur à l’attaquant.
Pour sortir de l’environnement isolé du navigateur, appelé « bac à sable » ou sandbox, une seconde faille peut être nécessaire. Une opération sophistiquée peut ainsi combiner plusieurs vulnérabilités pour franchir les protections de l’appareil.
Une fois l’appareil infecté, le logiciel espion est conçu pour recueillir de nombreuses données sensibles : fichiers, documents, cookies, favoris et identifiants enregistrés dans le navigateur.
Il peut également enregistrer les frappes au clavier, effectuer des captures d’écran, capter le microphone et la webcam, et extraire des courriels ou des messages provenant de plateformes de communication courantes.
Pour limiter les risques de détection, il utilise souvent des communications chiffrées et transmet les données volées par petits fragments, répartis dans le temps.
La publicité ciblée comme porte d’entrée
Les attaques « sans clic » ne sont pas nouvelles. Mais les travaux de Citizen Lab décrivent une technique utilisant les publicités en ligne comme voie d’infection, ce qui accroît la portée des attaques et complique leur détection.
Stephen O’Shaughnessy, enseignant en cybersécurité au campus de Blanchardstown de la Technological University Dublin, en Irlande, explique qu’à l’ouverture d’un site ou d’une application, une vente aux enchères automatisée attribue l’espace publicitaire en une fraction de seconde.
Ce processus partage des informations sur l’utilisateur, notamment l’identifiant de son appareil, son adresse IP, sa localisation approximative et le site ou l’application consulté.
Selon lui, Discover-Tech se faisait passer pour un annonceur ordinaire et utilisait ces données pour repérer sa cible, puis remporter l’enchère permettant d’afficher une publicité sur son écran. Le numéro de téléphone ou l’adresse électronique de la personne n’étaient pas nécessaires.
En l’absence de message ou de lien suspect, la victime dispose de très peu d’indices pour remarquer l’attaque.
Discover-Tech figurait sur des listes de fournisseurs « certifiés » ou « approuvés » tenues par Google et l’association professionnelle IAB Europe. Ses publicités ont été diffusées par de grands réseaux, notamment Google, Yandex et Beeswax.
Pour Citizen Lab, cette affaire révèle des faiblesses structurelles du système publicitaire en ligne, qui n’a pas détecté ou empêché ces abus.
Des réseaux sensibles concernés
Citizen Lab a constaté la présence de publicités de Discover-Tech sur des appareils utilisés au sein de réseaux sensibles pour la sécurité nationale, notamment ceux de ministères de la Défense, de forces armées, d’agences nationales de cybersécurité, d’organisations intergouvernementales et de médias.
Ces publicités sont également apparues sur des réseaux utilisés par les Nations unies, l’OTAN, le Parlement européen, la Commission européenne et le secrétariat général du Conseil de l’Union européenne.
Selon Citizen Lab, des réseaux gouvernementaux ont été ciblés dans au moins 24 pays, dont les États-Unis, l’Italie, le Danemark, la Norvège, l’Australie, la Russie, le Mexique et Israël. Des réseaux de médias ont aussi été ciblés, principalement en Australie, au Danemark et en Suède.
Dans une enquête distincte, l’entreprise new-yorkaise de sécurité publicitaire Confiant a relevé certaines publicités de Discover-Tech dans des réseaux sensibles utilisés par le Pentagone, l’Agence internationale de l’énergie atomique et la Cour pénale internationale.
Stephen O’Shaughnessy précise toutefois que les infections n’y ont pas été confirmées : seul le profilage des utilisateurs a été constaté. Cette distinction est essentielle pour apprécier la portée des résultats.
Un risque surtout pour les personnes ciblées
Selon Stephen O’Shaughnessy, le risque reste faible pour la plupart des utilisateurs, ces attaques étant coûteuses et dirigées contre des cibles précises.
Pour les personnes particulièrement exposées, comme les journalistes et les responsables publics, il recommande notamment l’installation d’un bloqueur de publicités, la désactivation de l’identifiant publicitaire dans les paramètres de confidentialité du téléphone et la mise à jour régulière des appareils et logiciels. Il préconise également l’activation du mode Isolement (Lockdown Mode) ou de la Protection avancée d’Android.
Le spécialiste appelle aussi le secteur publicitaire à mieux vérifier l’identité des acheteurs de publicités. Il estime enfin que les régulateurs doivent limiter la diffusion des données personnelles auprès de milliers d’enchérisseurs inconnus lors des enchères publicitaires.
Source : Al Jazeera