Une faille dans la mécanique publicitaire exploitée pour l’espionnage
Deux enquêtes publiées le 15 octobre par le laboratoire canadien Citizen Lab et l’entreprise américaine Confiant mettent au jour un usage sournois de l’industrie de la publicité en ligne : des publicités apparemment inoffensives servent de vecteur pour déployer, à distance et de façon ciblée, des logiciels espions. Le mécanisme décrit ne relève pas d’un simple détournement technique, mais d’une chaîne d’intermédiaires qui transforme l’écosystème publicitaire en un canal d’attaque pour des outils de surveillance.
L’enquête débute, selon les auteurs, par l’analyse d’une réclame suspecte repérée par Confiant. Derrière le code apparemment anodin se dissimulait un programme conçu pour exploiter des vulnérabilités et charger un espion numérique développé par Candiru, une société israélienne connue pour vendre des outils de cybersurveillance à des États. Le rôle d’un autre acteur israélien, Discover-Tech, apparaît central : il ferait office de « courroie de transmission » entre clients privés ou publics de la surveillance et l’écosystème publicitaire.
« Si vous cherchez à cacher le code, c’est généralement que vous utilisez une vulnérabilité »
Cette phrase, prononcée par Jérôme Dangu, cofondateur et directeur technique de Confiant, résume la gravité technique du procédé : la publicité n’est plus seulement un message commercial, elle peut servir de charge utile pour exécuter du code malveillant à l’insu de l’utilisateur.
Comment la contamination opère
- Une publicité malveillante est insérée dans la chaîne habituelle des enchères et réclames diffusées sur des sites, moteurs de recherche ou applications.
- Le contenu publicitaire contient du code sophistiqué, obfusqué pour masquer son but, qui cherche à exploiter une vulnérabilité particulière sur l’appareil de la cible.
- Lorsque la cible visitée correspond au profil recherché, le code active un mécanisme d’infection qui permet de déployer le logiciel espion (ici attribué à Candiru).
Les rapports montrent que l’attaque n’est pas de masse mais soigneusement calibrée : le recours à l’écosystème publicitaire permet un ciblage précis tout en masquant l’origine de l’attaque derrière le flot normal des publicités en ligne.
Conséquences pour les acteurs du marketing et pour les internautes
Pour les professionnels du marketing et de la publicité, ces révélations posent une double question : comment garantir l’intégrité des inventaires publicitaires et quels contrôles mettre en place sur les tiers techniques et les fournisseurs d’achat d’espace ? Du point de vue de l’utilisateur, l’incident remet en cause l’idée répandue selon laquelle simplement éviter certains sites suffirait à se prémunir contre ce type d’attaque. La menace peut transiter par des plateformes de diffusion à grande échelle.
| Acteur | Rôle identifié |
|---|---|
| Confiant | Découverte et analyse technique de la publicité piégée |
| Citizen Lab | Enquête et preuves techniques sur l’usage des publicités pour diffuser des espions |
| Discover-Tech | Intermédiaire publicitaire présumé facilitant la transmission |
| Candiru | Fournisseur du logiciel espion utilisé |
Enjeux réglementaires et opérationnels
Au-delà de l’aspect purement technique, l’affaire pose un défi réglementaire : qui est responsable quand une campagne innocente en apparence sert d’enveloppe à une opération de surveillance ? Les pouvoirs publics et les régulateurs devront interroger les garanties offertes par les plateformes et la chaîne d’approvisionnement publicitaire (DSP, SSP, ad exchanges). Les annonceurs et les agences, quant à eux, ont intérêt à renforcer leurs contrôles fournisseurs et la transparence des placements.
Enfin, ce dossier illustre un renversement : le logiciel publicitaire n’est plus seulement un instrument commercial, mais peut, entre de mauvaises mains, devenir un vecteur d’ingérence. S’il n’apporte pas de solution technique miracle, l’enquête du Citizen Lab et de Confiant impose une prise de conscience immédiate dans les métiers du marketing numérique et dans les politiques de sécurité publiques.
