Pendant plus d’un an, une société israélienne a espionné des journalistes d’Al Jazeera, des diplomates de l’ONU et des officiers de l’OTAN à travers des publicités. Ce scandale met en lumière non pas une faille technologique, mais un effondrement de la gouvernance de l’écosystème publicitaire numérique. Selon l’enquête de Citizen Lab, publiée le jeudi 16 octobre, Discover-Tech a utilisé l’infrastructure publicitaire mondiale pour mener des opérations d’espionnage, infectant au moins 45 appareils d’Al Jazeera avec le spyware Candiru, sans nécessiter d’interaction ou de clic de la part des victimes.
Opération de Discover-Tech : plus d’un an sans contrôle
Discover-Tech a usé de la plateforme Controlium pour profiler massivement les internautes. Entre 2024 et 2025, elle a traité 4 milliards de dossiers d’enchères publicitaires, permettant d’identifier précisément certaines cibles parmi des millions d’utilisateurs. Le mécanisme reposait sur une attaque zero-click où l’infection se faisait lors du chargement d’une publicité. Le spyware Candiru s’installait alors discrètement, capturant fichiers, identifiants et images, et enregistrant les appels téléphoniques.
Google, IAB Europe et autres plateformes : absence de surveillance
De mars à juin 2026, les publicités de Discover-Tech ont touché 70 000 applications mobiles et 120 000 sites web. Comment cela a-t-il pu passer inaperçu aux yeux de Google, IAB Europe et d’autres acteurs ? La complaisance est en cause, avec des vérifications d’annonceurs soit inexistantes, soit contournables. Wolfie Christl, chercheur senior à Citizen Lab, décrit la situation comme un « scénario cauchemardesque », où un simple affichage publicitaire suffit à infecter.
Candiru en 2021 : les sanctions américaines sans effet
Candiru, le fournisseur du spyware, est sur la liste noire américaine depuis 2021 pour activités cybercriminelles. Rebaptisée Integrity Labs, l’entreprise a poursuivi ses opérations. Les sanctions américaines n’ont pas dissuadé, et Candiru aurait visé au moins 100 journalistes et militants dans plusieurs pays. Le logiciel, coûtant plusieurs millions de dollars, reste accessible aux États et clients gouvernementaux aisés.
Ad-tech : entre complaisance et incompétence
Une ampleur non détectée : incapacité structurelle ?
La large diffusion des publicités de Discover-Tech pose la question de l’efficacité des plateformes publicitaires : ont-elles sciemment ignoré ces activités ou sont-elles incapables de gérer leur propre écosystème ? Fondé sur des enchères automatisées, le système publicitaire est opaque et fragmenté, favorisant les abus. Cette affaire rappelle le piratage du FBI, illustrant la vulnérabilité des infrastructures critiques.
Réactions tardives : greenwashing réglementaire
Après les révélations de Citizen Lab, Google, IAB Europe et d’autres ont suspendu Discover-Tech de leurs plateformes. Ces mesures, tardives, ont suivi plus d’un an d’activités malveillantes. Bill Marczak, de Citizen Lab, insiste sur l’importance des preuves techniques démontrant l’utilisation des publicités pour cibler et pirater avec précision. Le retrait de Discover-Tech ressemble davantage à une opération de communication qu’à un changement réel des mécanismes de contrôle.
Al Jazeera et les journalistes : victimes d’un système défaillant
La presse menacée par l’espionnage via l’ad-tech
Al Jazeera a détecté des anomalies sur les appareils des journalistes dès 2024. Au moins 45 appareils ont été compromis, exposant sources et communications sensibles. Les chercheurs de Citizen Lab avertissent : « Cette enquête doit alerter les médias mondiaux ». Les réseaux de l’OTAN, de l’ONU et d’autres agences ont également été exposés. Comme dans l’affaire du contre-espionnage allemand, les failles sont au cœur des systèmes censés protéger.
