Un nouveau rapport de Citizen Lab, relayé par The Globe and Mail, décrit ce qui pourrait être l'un des usages les plus inquiétants de l'économie publicitaire à ce jour : un logiciel espion diffusé par publicité zero-click avec lequel les journalistes n'ont jamais eu à interagir. Selon le rapport, des entreprises israéliennes ont monté une « attaque diffusée via de la publicité ciblée » pour infecter les appareils de journalistes avec un logiciel espion. La même machinerie conçue pour vous montrer des chaussures et des services de streaming peut, autrement dit, être détournée pour atteindre le téléphone d'une personne précise.

Le résumé dont nous disposons est court, aussi cet article s'en tient à ce qui a été rapporté et explique les concepts plus larges qui l'entourent. Là où les détails ne sont pas disponibles, nous le disons.

Ce que Citizen Lab a découvert dans les attaques diffusées par publicité

Citizen Lab, le groupe de recherche connu pour ses enquêtes sur les menaces numériques visant la société civile, a conclu que des entreprises israéliennes avaient mené une attaque diffusée via de la publicité ciblée. Les cibles étaient des journalistes, et le résultat a été l'installation d'un logiciel espion sur leurs appareils. Le rapport qualifie la méthode de zero-click, ce qui signifie que la victime n'a eu ni à toucher, ni à télécharger, ni à approuver quoi que ce soit.

La couverture dont nous disposons ne précise pas chaque détail technique, comme les appareils concernés, les réseaux publicitaires impliqués ou le nombre de personnes touchées ; nous ne spéculerons donc pas à leur sujet. L'essentiel à retenir est le canal de diffusion : la publicité, et non un courriel malveillant ou un texto suspect.

Comment un logiciel espion publicitaire zero-click atteint les appareils des journalistes

Une attaque zero-click fonctionne sans que la victime ait à faire quoi que ce soit. Au lieu de convaincre quelqu'un d'ouvrir un lien dangereux, l'attaquant s'appuie sur un logiciel qui traite automatiquement du contenu. Lorsqu'une page ou une application charge une publicité, l'appareil récupère et affiche ce contenu de lui-même. Si un attaquant parvient à placer du contenu malveillant dans ce flux et que l'appareil présente une faille non corrigée, l'infection peut se produire au moment du chargement du contenu.

Il s'agit d'une explication générale du fonctionnement des attaques diffusées par publicité, et non d'une description de l'exploit précis mentionné dans le rapport de Citizen Lab. Ce qui importe pour les lecteurs, c'est le principe : tout ce que votre appareil charge automatiquement constitue un point d'entrée potentiel, y compris le contenu que vous n'avez jamais choisi de voir.

Les techniques zero-click ne sont pas nouvelles dans le monde des logiciels espions. Notre article sur un ver zero-click sur WeChat décrivait comment un simple appel manqué pouvait suffire à compromettre une application de messagerie largement utilisée. La voie publicitaire ajoute une variante différente : l'attaquant n'a pas besoin de votre numéro de téléphone ni d'un compte, seulement d'un moyen de placer du contenu devant vous.

Pourquoi la publicité ciblée rend les journalistes faciles à atteindre

La publicité ciblée existe pour permettre à un acheteur de choisir qui voit un message. Les audiences peuvent être restreintes par centres d'intérêt, localisation, type d'appareil et d'autres signaux. Cette précision est une fonctionnalité pour les marketeurs légitimes. Pour un vendeur de surveillance, c'est un moyen de diriger une attaque vers une personne précise ou un petit groupe sans la diffuser largement, ce qui réduit aussi les chances de détection.

Les journalistes correspondent évidemment à ce type de ciblage. Leur travail, leurs centres d'intérêt et leurs localisations sont souvent publics, et leurs appareils peuvent contenir des sources et des documents non publiés. La découverte de Citizen Lab suggère que l'infrastructure de traçage qui sous-tend les publicités du quotidien peut aussi servir de système de diffusion pour un logiciel espion.

Ce que cela signifie pour vous

La plupart des lecteurs ne sont pas la cible visée par une opération de logiciel espion comme celle-ci. Les attaques ciblées de ce type sont généralement coûteuses et dirigées contre des personnes précises. Mais cette découverte concerne tout le monde, pour deux raisons.

Premièrement, elle montre que le contenu publicitaire n'est pas qu'une nuisance ou un problème de vie privée. Il fait partie de la surface d'attaque de votre appareil. Deuxièmement, les défenses qui aident contre une attaque sophistiquée vous protègent aussi contre les menaces ordinaires : mises à jour rapides, moins de chargements automatiques de contenu et un contrôle plus strict de ce que votre appareil accepte.

Si vous travaillez dans le journalisme, les droits humains, la politique ou tout domaine où vous pourriez attirer un adversaire bien financé, considérez votre risque comme plus élevé et agissez en conséquence.

Mesures pratiques pour réduire votre exposition

Aucune mesure unique ne vous rend immunisé contre les attaques zero-click, mais ces gestes réduisent les occasions :

  • Mettez immédiatement à jour votre système d'exploitation et vos applications. Les attaques zero-click dépendent généralement de failles non corrigées. Le correctif d'urgence de Google pour un zero-day Chrome exploité dans la nature est un bon exemple de pourquoi attendre quelques jours peut compter.
  • Gardez votre navigateur à jour. Les navigateurs traitent du contenu publicitaire en permanence, alors activez les mises à jour automatiques et redémarrez lorsqu'on vous le demande.
  • Bloquez les publicités et les traqueurs lorsque c'est possible. Un bloqueur de contenu réputé ou les protections intégrées au navigateur réduisent la quantité de contenu publicitaire tiers que votre appareil charge. C'est un réducteur de risque, pas une garantie.
  • Activez le mode Isolement si vous êtes à risque élevé. Sur les appareils Apple compatibles, le mode Isolement restreint des fonctionnalités que les attaquants exploitent couramment. Il échange un peu de confort contre une surface d'attaque réduite.
  • Limitez la personnalisation des publicités. Désactivez les identifiants de suivi publicitaire dans les réglages de votre appareil et refusez les publicités personnalisées. Cela vous rend plus difficile à singulariser, même si cela n'arrêtera pas toutes les méthodes de ciblage.
  • Redémarrez régulièrement et supprimez les applications que vous n'utilisez pas. Moins d'applications et des redémarrages réguliers laissent moins de place aux menaces persistantes.

L'essentiel

Le rapport sur le logiciel espion publicitaire zero-click auquel des journalistes ont été confrontés rappelle que la frontière entre technologie publicitaire et technologie de surveillance peut être mince. Vous ne pouvez pas contrôler ce que font les réseaux publicitaires, mais vous pouvez contrôler la rapidité avec laquelle vos appareils sont corrigés et la quantité de contenu non fiable qu'ils chargent.

La liste d'actions du jour est courte : installez dès maintenant les mises à jour en attente sur votre téléphone et votre navigateur, activez les mises à jour automatiques et, si vous êtes à risque élevé, activez le mode Isolement. Ces quelques minutes d'effort comblent les failles dont dépendent des attaques comme celle-ci.