:quality(90):no_upscale()){kind=logo}
Des logiciels espions diffusés par le biais de publicités ont infiltré les réseaux gouvernementaux américains et européens, ce qui renforce l'importance des politiques relatives aux appareils et aux navigateurs
STATUT : Diffusion confirmée d'un logiciel espion « zéro clic » NIVEAU DE GRAVITÉ : 7/10 PUBLIC CIBLE : Responsables de la sécurité au sein des administrations publiques, du secteur de la défense et des infrastructures critiques
6 novembre 2026
·Blog
·Communications sécurisées
:quality(90):no_upscale())
Citizen Lab a confirmé la première attaque par logiciel espion mercenaire de type « zéro clic » diffusée via des publicités ciblées : le logiciel espion Candiru a infecté au moins 45 appareils au sein d’un réseau d’information international. Le fournisseur publicitaire à l’origine de cette opération, Discover-Tech, a diffusé des publicités qui ont atteint des réseaux gouvernementaux aux États-Unis et dans toute l’Europe, notamment au sein des institutions de l’Union européenne et des ministères de la Défense. Une impression publicitaire ne confirme pas l’infection, mais cette exposition fait de la mise en œuvre de politiques vérifiées en matière d’appareils et de navigateurs une priorité immédiate pour les gouvernements et les opérateurs d’infrastructures critiques.
Que s'est-il passé ?
Le simple fait d'afficher une publicité ciblée suffisait à infecter un appareil, ce qui fait des politiques relatives aux appareils et aux navigateurs le facteur de contrôle déterminant.
Le 15 octobre, Citizen Lab, dans le cadre d’une enquête menée en parallèle avec Confiant, a publié des conclusions concernant AdFection, qu’il qualifie de première confirmation technique publique de l’existence d’un logiciel espion mercenaire de type « zéro clic » diffusé via des publicités ciblées. Discover-Tech, une société se présentant comme un fournisseur publicitaire, a acheté des publicités contenant un script qui contactait son propre serveur et lui transmettait les identifiants publicitaires de l’internaute. Le serveur décidait ensuite, apparemment à partir de ces identifiants et de l'adresse IP de l'internaute, s'il fallait renvoyer un code ; pour la plupart des internautes, il ne renvoyait rien. Le Citizen Lab établit, avec un haut degré de certitude, un lien entre les attaques menées contre au moins 45 appareils au sein d'un réseau d'information international en 2024 et 2025 et le logiciel espion Candiru diffusé de cette manière.1
Le Citizen Lab a analysé près de quatre milliards d'enregistrements d'enchères de Discover-Tech et a constaté la présence de ses publicités sur près de 200 000 sites web et applications dans des dizaines de pays en l'espace de quatre mois. Discover-Tech figurait sur les listes des fournisseurs certifiés et agréés de Google et de l'IAB Europe depuis 2020, jusqu'à ce que ces deux organismes le retirent début octobre 2026. Le Citizen Lab souligne qu'une simple impression ne suffit pas à confirmer un ciblage ou une infection.1
Aux États-Unis, cette exposition est devenue un enjeu politique. L'analyse de Confiant a révélé la présence de ces publicités sur les réseaux du gouvernement américain, et Citizen Lab a détecté des impressions sur les réseaux gouvernementaux de nombreux pays1. Un sénateur américain a exhorté les agences à désactiver les publicités sur les navigateurs gouvernementaux et à désactiver les identifiants publicitaires mobiles, tandis qu’un autre estime que ce rapport démontre la nécessité de renforcer la protection de la vie privée. Plusieurs agences américaines bloquent déjà les publicités ou recommandent de le faire2 ; la NSA et la CISA ont par ailleurs averti en 2018 et 2020 que les publicités malveillantes pouvaient véhiculer des logiciels malveillants et ont recommandé le blocage des publicités.1
L'exposition européenne est tout aussi directe. Citizen Lab a détecté des impressions sur les réseaux du Parlement européen, de la Commission européenne et du Secrétariat général du Conseil de l'UE, ainsi que chez l'opérateur du réseau électrique national suédois et au sein des forces armées suédoises. Confiant a trouvé des traces de ces publicités sur des réseaux comprenant notamment le ministère néerlandais des Affaires économiques, l'Autorité estonienne des systèmes d'information et le ministère espagnol de la Transformation numérique.1 Discover-Tech a également utilisé le cadre de transparence et de consentement de l’IAB Europe pour donner l’impression d’être conforme au RGPD tout en ciblant des utilisateurs dans l’UE, et le Citizen Lab appelle les régulateurs à mener une enquête. L’IAB Europe affirme que ces découvertes mettent en évidence une utilisation abusive des technologies inhérentes au Web, et non une infrastructure publicitaire défaillante, et que l’enquête sur les logiciels espions relève de la compétence des autorités.1,2
Les mesures de protection recommandées par le Citizen Lab concernent les politiques relatives aux appareils et aux navigateurs. Il estime que le blocage des publicités ciblées au niveau de la passerelle constitue la protection la plus réalisable et recommande de bloquer les publicités et le suivi sur les appareils fournis par l’employeur, d’utiliser la gestion des appareils pour désactiver le ciblage publicitaire sur les appareils gérés et de désactiver les identifiants publicitaires uniques sur les appareils mobiles du gouvernement.1,3 Discover-Tech est ciblé par l’identifiant publicitaire, l’identifiant de cookie du navigateur et l’adresse IP ; la désactivation des identifiants publicitaires bloque donc une voie mais laisse les autres ouvertes, ce qui rend nécessaire la mise en place d’une politique à plusieurs niveaux et rigoureusement appliquée. Il s’agit là de recommandations, qui ne protègent que les appareils et les navigateurs sur lesquels une organisation les applique effectivement.
Ce que cela signifie
Conclusion | Ce que cela signifie | Conséquence opérationnelle | Question ouverte |
AdFection diffusait des logiciels espions lorsqu'une publicité ciblée s'affichait, sans qu'aucun clic ne soit effectué, et les publicités de Discover-Tech atteignaient les réseaux d'organismes publics, de ministères de la Défense et d'institutions de l'Union européenne. | La vigilance du personnel et le fait d'éviter les liens n'offrent aucune protection contre une attaque qui ne nécessite aucune intervention de l'utilisateur. | La protection doit passer par la configuration des appareils et des navigateurs qui affichent la publicité. | Quels sont, aujourd'hui, les appareils au sein d'une organisation qui affichent des publicités provenant de réseaux publicitaires, et lesquels sont soumis à des contrôles en matière de publicité ou de suivi ? |
Discover-Tech ciblait ses victimes à l'aide de l'identifiant publicitaire mobile, de l'identifiant de cookie du navigateur et de l'adresse IP. | La fermeture d'une voie d'identification, comme la désactivation des identifiants publicitaires, laisse les autres ouvertes. | Les mesures de sécurité doivent s'appliquer à plusieurs niveaux : désactivation des identifiants publicitaires, blocage des publicités et des traceurs dans les navigateurs, et filtrage au niveau de la passerelle ou de la couche DNS. | Une organisation est-elle en mesure de vérifier que chaque couche est bien appliquée sur chaque appareil géré ? |
Les recommandations du Citizen Lab concernant les appareils gouvernementaux ont un caractère consultatif ; quant aux appareils personnels utilisés dans les locaux gouvernementaux, il propose des conseils sans exercer de contrôle direct. | La protection s'arrête aux limites de ce que gère l'organisation. | Les membres du personnel qui travaillent sur des machines que l'organisation ne gère pas, ou qui transfèrent des conversations sensibles vers des applications grand public, ne sont soumis à aucune politique en vigueur, à moins que leur travail ne se limite à un environnement contrôlé. | Combien de collaborateurs utilisent des appareils personnels ou des applications grand public dans le cadre de leur travail, et de quel canal géré disposent-ils à la place ? |
Pourquoi est-ce important ?
Vieille Assomption | Réalité actuelle | Réponse de BlackBerry |
La publicité sur les appareils professionnels est une nuisance et pose un problème de confidentialité ; elle ne constitue pas un critère de sécurité. | Les publicités peuvent contenir du code, et l'affichage d'une publicité peut permettre d'établir le profil d'un appareil ciblé ou de l'infecter ; le chemin de la publicité constitue donc une voie d'attaque. | BlackBerry®UEM applique des règles relatives aux appareils et aux navigateurs sur les appareils gérés, notamment des paramètres limitant le suivi publicitaire, et indique si chaque appareil est conforme. |
Une politique invitant le personnel à désactiver le suivi publicitaire ou à éviter les applications financées par la publicité suffit. | Cette attaque ne nécessite aucune intervention de la part de l'utilisateur ; par conséquent, une politique ne protège un appareil que lorsqu'elle est appliquée et vérifiée, et ne dépend pas de la modification d'un paramètre par chaque utilisateur. | UEM , de BlackBerry, applique cette politique de manière centralisée et signale les appareils qui ne respectent plus les règles ; ainsi, le respect de ces règles ne dépend pas du comportement des utilisateurs. |
Les contrôles des appareils concernent tous les équipements utilisés par le personnel dans le cadre de ses fonctions. | Les mesures de contrôle ne s'appliquent qu'aux appareils gérés ; le personnel qui utilise des appareils personnels ou des applications grand public pour des échanges sensibles n'est pas concerné par ces mesures. | BlackBerry® SecuSUITE® offre au personnel un canal sécurisé pour les conversations sensibles, qui limite les risques liés à un appareil compromis, même si un produit de communication ne peut pas réparer un appareil compromis. |
Mesures recommandées
IMMÉDIAT | Vérifiez, via l'outil de gestion des appareils, que les identifiants publicitaires sont désactivés et que le suivi des applications est restreint sur tous les appareils mobiles appartenant à l'État ou gérés par l'organisation, et signalez tout appareil non conforme. |
IMMÉDIAT | Appliquer le blocage des publicités et des traceurs dans les navigateurs gérés et bloquer les domaines publicitaires et de suivi au niveau de la passerelle ou de la couche DNS. |
À COURT TERME | Appliquer en priorité la politique la plus stricte au personnel ayant accès à des informations sensibles, notamment les cadres dirigeants, le personnel chargé des questions de défense et des politiques publiques, ainsi que les administrateurs. |
À COURT TERME | Exiger des sous-traitants, des partenaires et des collaborateurs utilisant des appareils non gérés par l'organisation qu'ils accèdent aux applications professionnelles via un navigateur contrôlé, avec une politique relative aux publicités et aux traceurs appliquée de manière centralisée et les données professionnelles isolées du reste de l'appareil. |
EN COURS | Mettre à la disposition du personnel un canal sécurisé pour les conversations sensibles, suffisamment pratique pour remplacer les applications grand public, et rédiger des consignes relatives à l'utilisation des appareils personnels au bureau et dans les centres d'opérations. |
Poste chez BlackBerry
Les preuves recueillies par le Citizen Lab montrent qu’une publicité ciblée peut atteindre de la même manière les réseaux des ministères de la Défense, des institutions de l’UE et des organismes gouvernementaux américains, et que le simple affichage d’une publicité peut suffire à infecter un appareil. Étant donné que les utilisateurs n’ont pas besoin de cliquer sur les publicités pour se voir injecter un logiciel malveillant, la protection dépend de la configuration des appareils et des navigateurs, et une politique de sécurité ne protège un appareil que lorsqu’elle est appliquée. Les gouvernements et les opérateurs d’infrastructures critiques aux États-Unis et en Europe devraient mettre en œuvre des contrôles relatifs au suivi publicitaire, aux navigateurs et aux passerelles sur chaque appareil géré, étendre l’utilisation d’un navigateur contrôlé aux machines qu’ils ne gèrent pas afin que les données professionnelles restent isolées du reste de l’appareil, vérifier que les politiques restent en vigueur et fournir au personnel un canal contrôlé afin que les conversations sensibles ne soient pas transférées vers des applications hors de portée de la politique.
Références :
1. AdFection dévoilé : comment Discover-Tech a transformé les publicités ciblées en un canal de diffusion pour des logiciels espions mercenaires « zéro clic » (The Citizen Lab, Rapport n° 195, avec l’enquête parallèle de Confiant, 15 octobre 2026).
2. Les sénateurs affirment que les publicités ciblées constituent un risque pour la sécurité. Les groupes publicitaires estiment que ces critiques sont infondées (CyberScoop, 23 octobre 2026).
3. « AdFection » transforme les publicités en ligne en outil de diffusion de logiciels espions (Dark Reading, 19 octobre 2026).
:quality(90):no_upscale())