« Un scénario cauchemardesque » : ce virus infecte votre smartphone sans que vous ne puissiez rien y faire

Une cyberattaque intitulée « AdFection » vient d’être épinglée par des chercheurs. L’attaque consiste à installer un logiciel espion sur un smartphone à l’aide d’une simple publicité en ligne, sans le moindre clic de la part de la victime. Une régie publicitaire israélienne a été utilisée pour diffuser le logiciel espion, baptisé Candiru, sur des dizaines de smartphones.

Le Citizen Lab, le laboratoire de l’université de Toronto spécialisé dans la surveillance numérique, vient de lever le voile sur une nouvelle tactique de piratage, « AdFection ». Il s’agit d’une attaque dite « zero clic » poussée à l’extrême. L’opération consiste à installer un logiciel malveillant sur un appareil sans aucune action de la part de la victime. Jusqu’ici, les attaques de ce genre, rares mais redoutables, passaient surtout par des failles de sécurité dans les applications de messagerie instantanée, comme WhatsApp. Le Citizen Lab démontre que les cyberattaques « zero clic » peuvent aussi désormais passer par de la publicité en ligne.

Thread 🧵
1/ NEW REPORT: Billions of advertising auctions determine in real time which ads we see on websites and in apps every day. Our latest research shows how the same data fueling this advertising ecosystem is being used to profile millions of users and silently infect targets with zero-click mercenary spyware, a novel attack technique we call “Adfection.”

Read the report: https://t.co/EL39T3OoeC

— The Citizen Lab (@citizenlab) October 15, 2026

« AdFection permet à des opérateurs de pirater automatiquement des personnes précises avec un logiciel espion mercenaire, pendant qu’elles utilisent des applications ou naviguent sur Internet », explique Bill Marczak, chercheur au Citizen Lab, dans le rapport. Il ajoute que « quelqu’un qui se fait pirater de cette façon ne verrait rien d’anormal. En fait, il pourrait même ne voir aucune publicité ». Selon le laboratoire, c’est la première fois qu’un virus espion sophistiqué se propage de cette manière.

À lire aussi : Cyberattaques contre WhatsApp – Meta révèle que le malware Pegasus continue de s’attaquer à ses utilisateurs

Comment se déroule la cyberattaque ?

C’est une société israélienne, appelée Discover-Tech, qui est à l’origine des publicités piégées. En s’affichant sur le smartphone de la cible, la pub se connecte à un serveur de Discover-Tech. L’annonce va transmettre des informations sur l’internaute, dont l’adresse IP. Le serveur décide alors si la personne est une cible. Dans la plupart des cas, l’offensive ne se déclenche pas. Aucun code malveillant n’est alors renvoyé, mais la pub collecte quand même des données, comme les cookies.

Si la personne est considérée comme une cible, le serveur va envoyer du code malveillant sur le smartphone. Celui-ci charge alors un programme capable d’exploiter une faille du navigateur. Une fois la vulnérabilité exploitée, le programme va installer le logiciel espion sur le téléphone. Il s’agit du logiciel espion israélien Candiru, développé par une entreprise du même nom. Le smartphone est dès lors sous surveillance.

À lire aussi : Alerte rouge sur l’iPhone -Apple prévient des centaines d’utilisateurs d’une opération d’espionnage

Des centaines de milliers de sites concernés

En 2024 et 2025, au moins 45 appareils appartenant au média Al Jazeera ont été visés par des publicités piégées de cet acabit. En analysant près de quatre milliards de données publicitaires, les chercheurs ont constaté que les publicités de Discover-Tech s’étaient affichées sur près de 200 000 sites et applications différents, dans des dizaines de pays, sur une période de quatre mois. La société figurait même sur les listes de fournisseurs « certifiés » de Google et par l’association professionnelle européenne AB Europe, dédiée à la publicité en ligne. De prime abord, Discover-Tech ressemblait donc à une régie publicitaire inoffensive et légitime.

L’internaute visé n’a quasiment aucun moyen d’échapper à l’attaque. La principale parade consiste à éviter et à bloquer les publicités, sur tous les sites et toutes les applications.

« Le risque de voir son appareil infecté par un logiciel espion simplement en utilisant un site ou une application qui affiche des publicités est un scénario cauchemardesque », résume Wolfie Christl, également chercheur au Citizen Lab.

Alerté par l’enquête du laboratoire, Google, qui a collaboré aux investigations du Citizen Lab, a coupé l’accès de Discover-Tech à ses plateformes publicitaires. Dans le sillage de Google, IAB Europe a retiré la régie de son registre. D’autres acteurs de la pub en ligne, comme Beeswax, Vungle (Liftoff) et Eskimi, ont aussi bloqué les comptes de la société israélienne. Comme l’indique le Citizen Lab, ce type d’attaque sophistiquée vise des cibles bien précises, comme des journalistes ou des dissidents politiques. Les internautes lambda ne sont pas visés.