Citizen Lab, l'unité de recherche sur les droits numériques de l'Université de Toronto, affirme avoir trouvé des preuves que des dizaines d'appareils au sein de l'organisation médiatique Al Jazeera ont été piratés après avoir été exposés à des publicités malveillantes en ligne. Cette découverte, rapportée par TechCrunch le 15 octobre 2026, pointe vers une évolution inquiétante : les publicités malveillantes porteuses de logiciels espions « zéro-clic » peuvent désormais servir de vecteur de livraison vers le téléphone ou l'ordinateur d'une cible, sans que la personne n'ait à toucher quoi que ce soit.

Le résumé public est bref, donc cet article s'en tient à ce qui a été rapporté et explique les mécanismes généraux et les défenses que les chercheurs en sécurité décrivent couramment.

Ce que Citizen Lab a découvert chez Al Jazeera

Selon le rapport, Citizen Lab a trouvé des preuves que des dizaines d'appareils chez Al Jazeera ont été compromis après que leurs utilisateurs ont été exposés à des publicités malveillantes en ligne. L'allégation principale est que des gouvernements abusent de la publicité en ligne pour diffuser des logiciels espions zéro-clic, c'est-à-dire des logiciels espions qui infectent un appareil sans que la victime n'ouvre un fichier ni ne clique sur un lien.

Le résumé source ne nomme ni le fournisseur du logiciel espion, ni les réseaux publicitaires spécifiques impliqués, ni les vulnérabilités exactes exploitées, et nous ne ferons pas de suppositions à leur sujet. Ce qu'il établit, c'est la cible : une grande organisation médiatique, où le personnel manipule régulièrement des sources et des informations sensibles. Le mot « prétendument » compte ici aussi. Il s'agit de conclusions d'un groupe de recherche, et des détails pourraient émerger au fur et à mesure des publications.

Comment une publicité malveillante peut pirater un téléphone sans clic

Une attaque traditionnelle nécessite que vous fassiez quelque chose : ouvrir une pièce jointe, cliquer sur un lien, installer une application. Une attaque zéro-clic supprime cette étape. Elle repose sur une faille dans un logiciel qui traite automatiquement du contenu, comme un navigateur ou une application qui affiche une image, une vidéo ou une page web. Si le contenu est conçu pour exploiter cette faille, du code malveillant peut s'exécuter pendant le fonctionnement normal.

Les publicités en ligne correspondent inconfortablement bien à ce modèle. Les publicités sont chargées automatiquement à l'ouverture d'une page ou d'une application, souvent depuis des serveurs tiers que l'éditeur ne contrôle pas directement. Un attaquant capable de placer une publicité malveillante devant une personne choisie pourrait, en principe, déclencher une vulnérabilité dans le logiciel qui l'affiche. Les outils de ciblage publicitaire, qui existent pour sélectionner des audiences spécifiques, pourraient aider à restreindre la diffusion vers la victime visée.

Le point clé est que la personne n'a rien fait de mal. Le simple fait de voir la publicité suffisait, selon les conclusions rapportées de Citizen Lab.

Pourquoi les journalistes et les utilisateurs ordinaires sont tous exposés

Les journalistes sont une cible évidente. Les salles de rédaction détiennent des contacts confidentiels, des documents non publiés et des données de localisation que les gouvernements peuvent convoiter. Une attaque qui fonctionne via les publicités élimine le besoin d'un message d'hameçonnage convaincant, que le personnel est souvent formé à repérer.

Mais le canal de diffusion ne se limite pas aux salles de rédaction. Les publicités atteignent presque tous ceux qui naviguent sur le web ou utilisent des applications gratuites. Les logiciels espions hautement ciblés sont généralement coûteux et dirigés vers des individus spécifiques, donc la plupart des gens sont peu susceptibles d'être la victime visée. Néanmoins, la même infrastructure publicitaire sert tout le monde, et les faiblesses dans la façon dont les appareils traitent le contenu web affectent tous les utilisateurs jusqu'à ce qu'elles soient corrigées. Les activistes, avocats, chercheurs et autres personnes susceptibles d'attirer l'intérêt gouvernemental devraient se considérer comme faisant partie du groupe à risque, pas seulement les reporters.

Ce qui réduit réellement le risque (et ce qu'un VPN ne peut pas faire)

Il vaut la peine d'être direct : un VPN seul ne protège pas contre ce type d'attaque. Un VPN chiffre votre trafic entre votre appareil et le serveur VPN et masque votre adresse IP aux sites que vous visitez. Il n'empêche pas un appareil d'afficher une publicité malveillante, et il ne corrige pas une vulnérabilité logicielle. Si un exploit est livré à l'intérieur du contenu que votre appareil charge, le tunnel ne fait que le transporter.

Les mesures qui s'attaquent au véritable chemin d'attaque comprennent :

  • Mettez à jour votre système d'exploitation et votre navigateur rapidement. Les attaques zéro-clic dépendent de failles non corrigées ou inconnues. Installer rapidement les mises à jour de sécurité ferme les trous connus.
  • Utilisez un bloqueur de contenu ou de publicités. Si la publicité ne se charge jamais, elle ne peut pas livrer l'exploit. Les bloqueurs au niveau du navigateur ou du réseau réduisent l'exposition aux serveurs publicitaires tiers.
  • Activez le mode Verrouillage lorsqu'il est disponible. Le mode Verrouillage d'Apple est conçu pour les personnes à risque élevé et réduit la surface d'attaque en limitant certaines fonctionnalités web et de messagerie.
  • Redémarrez régulièrement vos appareils et réduisez les applications installées. Moins d'applications signifie moins de composants publicitaires et moins d'endroits où les failles peuvent se cacher.

Ce que cela signifie pour vous

Pour la plupart des lecteurs, le risque réaliste d'être personnellement ciblé par un logiciel espion de qualité gouvernementale est faible, mais la leçon s'applique largement : les outils de confidentialité répondent à des problèmes spécifiques, et aucun outil unique ne couvre tout. Un VPN aide pour la confidentialité réseau. Ce n'est pas une défense contre les exploits. Si vous travaillez avec des sources sensibles ou avez des raisons de penser que vous pourriez être une cible, considérez le durcissement de l'appareil et le blocage des publicités comme essentiels, et envisagez les modes plus stricts que votre téléphone propose.

Le travail de Citizen Lab alimente également un débat politique plus large. Si vous voulez en savoir plus sur les recherches du groupe et le débat sur la surveillance et le chiffrement, lisez notre couverture de la façon dont Citizen Lab signale des risques de chiffrement dans le projet de loi C-22 du Canada.

Points clés à retenir

Les conclusions concernant Al Jazeera montrent que les publicités malveillantes porteuses de logiciels espions zéro-clic sont une véritable méthode de diffusion, pas seulement théorique. Vous ne pouvez pas contrôler quelles publicités sont diffusées, mais vous pouvez contrôler à quel point votre appareil est exposé. Installez les mises à jour du système d'exploitation et du navigateur dès qu'elles arrivent, utilisez un bloqueur de publicités ou de contenu, et activez le mode Verrouillage si vous êtes à risque élevé. Continuez à utiliser un VPN s'il convient à vos besoins, mais ne comptez pas sur lui pour arrêter une attaque qui arrive par le contenu que votre appareil charge. Pour le contexte plus large du travail de Citizen Lab et du débat sur la surveillance, consultez notre article sur le projet de loi C-22 et les risques de chiffrement.