« AdFection » : un spyware zero-click diffusé via la publicité en ligne
Citizen Lab et Al Jazeera documentent une campagne d'espionnage zero-click : le logiciel de vol de données passait par des publicités de Discover-Tech.
Citizen Lab et Al Jazeera ont publié le 17 octobre 2026 les conclusions de leurs travaux sur « AdFection », une campagne de spyware zero-click qui infectait les appareils de journalistes par le biais de publicités en ligne diffusées via l'infrastructure publicitaire de Discover-Tech. Selon TechRadar, Citizen Lab présente l'attaque comme le premier cas connu de spyware mercenaire zero-click distribué par la publicité en ligne.
Le logiciel malveillant installé est un infostealer : il dérobait fichiers, documents, cookies, signets et identifiants, enregistrait les frappes au clavier et des captures d'écran, et utilisait le microphone et la caméra pour enregistrer les victimes. D'après les chercheurs, cet outil coûterait plusieurs millions de dollars.
Citizen Lab attribue la conception de l'infostealer et du mécanisme de diffusion à la société de spyware mercenaire Candiru, désormais connue sous le nom d'Integrity Labs. Les publicités auraient été servies via la plateforme MyDSP de l'entreprise israélienne d'ad-tech Discover-Tech, que les chercheurs présentent comme une possible façade de l'opération d'espionnage publicitaire.
70 000 applications et 120 000 sites
Citizen Lab indique avoir analysé environ quatre milliards d'enregistrements d'enchères publicitaires et avoir trouvé des publicités Discover-Tech sur plus de 70 000 applications mobiles et 120 000 sites web au seul deuxième trimestre 2026. Au moins 45 appareils d'Al Jazeera ont été compromis de cette manière en 2024 et 2025.
Selon des données de la société new-yorkaise de sécurité publicitaire Confiant rapportées par The Register, certaines publicités Discover-Tech sont aussi apparues dans des réseaux utilisés par le Pentagone, l'AIEA et la Cour pénale internationale.
En contexte, le département du Commerce des États-Unis avait inscrit Candiru sur sa liste noire début novembre 2021 pour avoir fourni des logiciels espions à des gouvernements étrangers ciblant responsables, journalistes et militants ; la société en a été retirée fin juillet 2026. Toujours selon The Register, Discover-Tech figurait depuis 2020 parmi les fournisseurs agréés référencés auprès de Google et de l'IAB Europe.
En bref
Qu'est-ce que la campagne « AdFection » ?
Une campagne de spyware zero-click qui infectait des appareils au moyen de publicités en ligne, documentée par Citizen Lab et Al Jazeera et présentée comme le premier cas connu de spyware mercenaire zero-click diffusé par la publicité.
Qui est à l'origine du logiciel malveillant ?
Citizen Lab attribue l'infostealer et son mécanisme de diffusion à Candiru, désormais Integrity Labs, les publicités étant selon les chercheurs servies via MyDSP, la plateforme de Discover-Tech.
Combien d'appareils d'Al Jazeera ont été compromis ?
Au moins 45 appareils d'Al Jazeera ont été compromis de cette manière en 2024 et 2025.