Les logiciels espions « zéro clic » intégrés aux publicités changent la façon dont vous gérez vos appareils

Le 15 octobre 2026, le Citizen Lab a publié « Exposing AdFection », qu’il décrit comme la première confirmation technique publique de l’existence d’un logiciel espion mercenaire diffusé via des publicités en ligne ciblées sans nécessiter de clic. Les chercheurs établissent un lien entre les attaques visant au moins 45 appareils d’Al Jazeera en 2024 et 2025 et un logiciel espion de Candiru, un fournisseur qui s’est rebaptisé Integrity Labs. Si le simple fait d’afficher une publicité peut infecter un téléphone, il ne suffit pas de demander au personnel de faire preuve de prudence. La sécurité des appareils reste la première ligne de défense, mais les gouvernements et les opérateurs d’infrastructures critiques doivent également veiller à ce que les conversations sensibles aient lieu sur des appareils gérés et via des canaux de communication contrôlés.

Ce que révèle le rapport du Citizen Lab

Le rapport explique comment une publicité peut devenir une voie d'attaque. Discover-Tech, une entreprise israélienne, a acheté des publicités contenant une balise script. Lors du chargement d'une publicité, cette balise contactait un serveur de Discover-Tech. Ce dernier utilisait apparemment l'adresse IP de l'utilisateur et ses identifiants publicitaires pour déterminer s'il fallait renvoyer du code. Si l'utilisateur n'était pas visé, il renvoyait une réponse vide.

Cette opération a eu une portée considérable. Le Citizen Lab a analysé près de quatre milliards d’enregistrements d’enchères de Discover-Tech et a constaté que ses publicités figuraient sur près de 200 000 sites web et applications dans des dizaines de pays sur une période de quatre mois. Discover-Tech est resté sur les listes des fournisseurs « certifiés » et « approuvés » de Google et de l’IAB Europe de 2020 jusqu’à ce que ces deux organisations le retirent début octobre 2026.

Ce que le rapport n'établit pas

Une impression publicitaire ne constitue pas une preuve d’infection. Selon le Citizen Lab, une impression « ne confirme pas en soi qu’il y ait eu ciblage ou infection », même si elle aurait donné lieu à un profilage. Le rapport n’indique pas non plus quels gouvernements utilisent ces capacités. Couverture de TechCrunch article se concentre sur les gouvernements, mais cette interprétation devrait être recoupée avec le rapport avant d’être reprise.

Le rapport met toutefois en évidence la portée de ces publicités. Les publicités « Discover-Tech » sont apparues sur des réseaux utilisés par des ministères de la Défense, des forces armées, des agences nationales de cybersécurité, l'OTAN et des organismes gérant des infrastructures critiques, notamment l'opérateur du réseau électrique national suédois. Cela témoigne d'une exposition, mais ne confirme pas une intrusion.

Conséquences opérationnelles pour l'État et les infrastructures essentielles

Les publicités malveillantes peuvent atteindre les applications et les sites web utilisés par le personnel de défense, les dirigeants politiques et les personnes chargées de la gestion des infrastructures essentielles. Un téléphone compromis peut exposer les informations qui y sont stockées ainsi que les communications qui y transitent. Les conseils habituels visant à éviter les liens suspects n'offrent guère de protection lorsqu'aucun clic n'est nécessaire.

Les équipes chargées des marchés publics devraient demander aux fournisseurs comment ils gèrent la publicité sur les appareils liés aux programmes gouvernementaux. Les équipes chargées de la conformité doivent également prendre en compte la gestion des archives, car les messages échangés via des applications personnelles peuvent ne pas être soumis aux contrôles habituels en matière de conservation et d'audit.

Les recommandations du Citizen Lab à l'intention des défenseurs

Le Citizen Lab considère que le blocage des publicités ciblées au niveau de la passerelle constitue la défense la plus efficace jusqu’à ce que le secteur de la publicité soit en mesure de mettre fin de manière fiable à ce type d’attaques. Il recommande de bloquer les publicités et le suivi sur les appareils fournis par l’entreprise, ainsi qu’au niveau de la passerelle. Il recommande également d’utiliser une solution de gestion des appareils mobiles (MDM) pour exclure les appareils fournis par l’entreprise du ciblage publicitaire. Concernant les appareils gouvernementaux, il préconise de désactiver les identifiants publicitaires uniques et d’élaborer des recommandations pour les appareils personnels utilisés dans les locaux gouvernementaux.

Il s'agit de recommandations, et non d'obligations légales. Le rapport souligne également que l'Agence nationale de sécurité américaine (NSA) et l'Agence pour la cybersécurité et la sécurité des infrastructures (CISA) ont averti, en 2018 et 2020, que les publicités malveillantes pouvaient diffuser des logiciels malveillants, et ont recommandé l'utilisation de bloqueurs de publicités.

Pourquoi le canal est tout aussi important que l'appareil

Les contrôles relatifs aux appareils gérés s'appliquent uniquement aux appareils gérés par l'organisation. Lorsque le canal officiel est lent, indisponible ou difficile à utiliser, le personnel peut se tourner vers ses appareils personnels ou des applications de messagerie grand public. C’est là que les logiciels espions diffusés par le biais de publicités deviennent les plus difficiles à contrôler. Les mesures les plus strictes du rapport s’appliquent aux appareils appartenant à l’État ; pour les appareils personnels, il propose des recommandations plutôt qu’un contrôle direct.

La politique doit combler cette lacune. Le personnel a besoin d’un canal géré suffisamment pratique pour remplacer les solutions personnelles. Évaluez les fournisseurs selon cinq critères : le contrôle de l’infrastructure et des clés de chiffrement ; une certification indépendante, y compris son champ d’application et la version couverte ; la vérification de l’identité des participants ; un fonctionnement hors bande ne dépendant pas du réseau principal ; et des registres de responsabilité permettant un examen a posteriori en cas d’incident. BlackBerry® Secure Communications est conçu autour de ces critères et est certifié conforme aux normes NIAP et « NATO Restricted ».

Un produit de communication ne peut pas réparer un appareil compromis. Les contrôles au niveau de l'appareil restent la première ligne de défense ; un canal réglementé limite les conséquences.

Étapes à suivre pour ce trimestre

Ce trimestre, dressez l’inventaire des applications et des canaux utilisés par le personnel dans le cadre de ses activités officielles, y compris ceux utilisés sur les appareils personnels et les applications de messagerie grand public. Vérifiez, via le système de gestion des appareils mobiles (MDM), que les identifiants publicitaires sont désactivés sur les appareils mobiles appartenant à l’État, et vérifiez si le blocage des publicités et des traceurs est activé au niveau de la passerelle et sur les appareils fournis par l’employeur. Rédigez des directives concernant les appareils personnels utilisés dans les bureaux et les centres d’opérations, comme le recommande le Citizen Lab. Désignez le canal géré que le personnel doit utiliser pour les coordinations sensibles, puis testez-le dans des conditions de dégradation du réseau principal. Les conseillers juridiques et en conformité doivent également faire la distinction entre les obligations contraignantes et les recommandations, car cet article ne constitue pas un avis juridique.

La meilleure défense contre une attaque « zero-click » consiste à utiliser un appareil contrôlé qui établit des communications vérifiées via un canal réglementé.