Une nouvelle menace numérique, baptisée « AdFection », transforme la publicité en ligne en un outil d'espionnage sophistiqué capable d'infecter des smartphones sans aucune intervention de l'utilisateur. Cette technique, mise en lumière par le Citizen Lab, marque une évolution préoccupante des attaques dites « zero clic », jusqu'ici principalement limitées aux applications de messagerie.
Le mécanisme de l'attaque AdFection
Le procédé repose sur l'exploitation de l'écosystème publicitaire numérique. La société israélienne Discover-Tech a utilisé des publicités piégées pour infiltrer des appareils ciblés. Lorsqu'une publicité s'affiche sur le terminal d'une victime, elle communique avec un serveur distant qui analyse les données de l'utilisateur, notamment son adresse IP. Si le profil correspond à une cible prédéfinie, le serveur injecte un code malveillant exploitant une faille du navigateur pour installer le logiciel espion Candiru. Le processus est totalement invisible : l'utilisateur ne clique sur rien et peut même ne pas voir la publicité s'afficher.
Une portée étendue via des régies légitimes
L'ampleur de la menace est amplifiée par la légitimité apparente des vecteurs utilisés. Les publicités de Discover-Tech ont été diffusées sur près de 200 000 sites et applications, bénéficiant parfois de certifications de la part d'acteurs majeurs du secteur comme Google ou l'association professionnelle IAB Europe. Cette présence au sein de réseaux publicitaires reconnus a permis aux opérateurs de cibler des individus spécifiques, tels que des journalistes ou des dissidents politiques, en utilisant des infrastructures publicitaires standards comme couverture.
Réactions et mesures de protection
Face aux conclusions du Citizen Lab, les géants du secteur ont réagi en excluant Discover-Tech de leurs plateformes. Google a ainsi coupé l'accès de la régie à ses services publicitaires, suivi par d'autres acteurs du marché tels que Beeswax, Vungle et Eskimi. Si ces mesures visent à neutraliser la menace immédiate, elles soulignent la vulnérabilité structurelle des utilisateurs face à des attaques automatisées. Pour les experts, la parade reste complexe : le blocage systématique des publicités sur les navigateurs et applications demeure, à ce jour, l'une des rares protections efficaces contre ce type d'intrusion silencieuse.