Selon un rapport de Reuters publié le 15 octobre 2026, Discover-Tech, une entreprise israélienne de technologies publicitaires, a utilisé des publicités en ligne ordinaires pour pister des individus et installer des logiciels espions sur leurs appareils. La société a diffusé ses publicités sur un vaste réseau de sites web et d'applications via des plateformes publicitaires exploitées par Google, Comcast et Yandex.

Des enquêtes indépendantes menées par Citizen Lab et Confiant ont détaillé le fonctionnement de l'opération : le simple chargement d'une publicité pouvait exposer les utilisateurs à une surveillance ou à un logiciel espion, même sans clic.

Comment le simple chargement d'une publicité suffisait à compromettre un appareil

L'enchère en temps réel, le système qui attribue les espaces publicitaires en quelques millisecondes, partage des données sur l'appareil et la localisation avec des acheteurs potentiels, et certaines publicités exécutent également du code. C'est cette combinaison de données partagées et de code publicitaire exécutable que les chercheurs ont identifiée comme la faille exploitée par la technique. Citizen Lab a baptisé « AdFection » cette technique de spyware zero-click et relie Discover-Tech à Candiru, un fabricant israélien de logiciels espions placé sur liste noire par les États-Unis en 2021.

Le 12 avril 2026, Confiant a identifié une bannière MyIPInfo redirigeant vers une infrastructure liée à Candiru via Amazon CloudFront. La publicité chargeait un faux outil de vérification contenant environ 90 Ko de JavaScript caché, lui permettant de collecter des informations sur l'appareil et de communiquer via un canal chiffré. Confiant a enquêté sur cette activité entre avril et septembre 2026.

45 machines infectées chez Al Jazeera, des millions d'autres exposées

Citizen Lab a examiné quatre milliards d'enregistrements d'enchères et a découvert que Discover-Tech avait réservé ses publicités sur au moins 120 000 sites web et dans 75 000 applications. Selon les estimations de Confiant, au moins 10 millions de publicités étaient diffusées chaque jour via Discover-Tech. Le cofondateur de Confiant, Jerome Dangu, a déclaré qu'« il est très probable que des centaines de millions de personnes aient été touchées par Discover-Tech ».

Citizen Lab a confirmé que le spyware de Candiru avait compromis 45 machines Windows chez Al Jazeera entre 2024 et 2025. La chaîne a indiqué qu'elle « condamne les attaques de logiciels espions visant plusieurs de ses employés ».

Les publicités de Discover-Tech sont également apparues sur des réseaux associés à des agences gouvernementales et internationales, notamment le Pentagone, les Nations unies, l'OTAN, la Commission européenne, l'Agence internationale de l'énergie atomique et la Cour pénale internationale. Les chercheurs ont également détecté ces publicités sur des réseaux liés aux fabricants de puces Nvidia, Broadcom et Micron.

Toutefois, l'exposition ne signifie pas nécessairement une infection. Contrairement aux compromissions signalées chez Al Jazeera, ces appar ne prouvent pas que le logiciel espion a réussi à infecter des appareils au sein de ces institutions.

Google, IAB Europe et Beeswax coupent l'accès

Google a retiré Discover-Tech de sa plateforme publicitaire « pour violation systématique de nos règles ». IAB Europe a retiré la société de sa liste de fournisseurs approuvés, et Beeswax de Comcast a bloqué son accès à la plateforme.

Ces découvertes ont suscité des inquiétudes plus larges concernant la sécurité de la publicité en ligne. Le chercheur de Citizen Lab, Wolfie Christl, a averti que « le fonctionnement actuel de la publicité en ligne constitue une menace systémique pour la sécurité ».

Un marché de 1 340 milliards de dollars bâti sur la même infrastructure

Le marché publicitaire continue de croître, ce qui accentue les enjeux en matière de sécurité. L'enchère en temps réel est au cœur de cet écosystème : les mêmes enchères qui allouent des dépenses de plusieurs milliards déterminent également quelles publicités — et quel code elles transportent — atteignent les appareils des utilisateurs. WARC prévoit que les dépenses publicitaires mondiales atteindront 1 340 milliards de dollars en 2026, tandis que la publicité programmatique aux États-Unis a généré 162,4 milliards de dollars en 2025, selon les chiffres de l'IAB. Les mesures de sécurité n'ont pas réussi à suivre l'application croissante de l'intelligence artificielle dans l'industrie publicitaire.

Une recherche de l'IAB montre que seuls environ 40 % des acheteurs publicitaires interrogés ont déjà pris, ou prévoient de prendre, des mesures concernant les risques juridiques, de sécurité et de données liés à la mesure assistée par l'IA.

La Norvège a récemment infligé une amende de 92 millions de NOK à Xandr, détenu par Microsoft, pour avoir illégalement partagé des données sensibles de Grindr via des enchères publicitaires — une violation de la vie privée plutôt qu'une affaire de spyware. La régulatrice Line Coll a déclaré que la responsabilité « ne peut être rejetée sur autrui ».

L'affaire Discover-Tech intervient alors que les entreprises publicitaires investissent de plus en plus dans les données des consommateurs et le ciblage assisté par l'IA. Comme l'avait précédemment rapporté Cryptopolitan, Publicis Groupe a signé un accord pour acheter LiveRamp pour 2,2 milliards de dollars, renforçant ainsi ses activités marketing basées sur l'IA. Bien que cette transaction n'ait aucun lien avec les attaques de logiciels espions, elle souligne à quel point les données et l'automatisation sont devenues essentielles pour l'industrie.

Citizen Lab a demandé l'ouverture d'enquêtes sur Discover-Tech et Candiru, exerçant une pression sur les plateformes publicitaires pour qu'elles améliorent la sélection de leurs fournisseurs et la détection des publicités malveillantes. Il reste à savoir si ces appels déboucheront sur des enquêtes formelles — et sur un filtrage plus strict des fournisseurs dans toute la chaîne d'approvisionnement de l'ad tech.