Les chercheurs du Citizen Lab ont, pour la première fois, publié des preuves techniques d'un spyware mercenaire sophistiqué distribué via la publicité en ligne. La couverture de WIRED l'a présenté comme un « scénario cauchemar », et la description est juste : un spyware zero-click diffusé par des publicités ciblées pourrait transformer l'écosystème publicitaire ordinaire en une voie de livraison pour des outils de surveillance. Cet article explique ce qui a été rapporté, comment cette classe d'attaque fonctionne généralement et quelles défenses méritent votre temps.

Une précision sur le périmètre : les sources d'information à notre disposition sont brèves, nous limitons donc les détails à ce qui a été publié. Lorsque nous décrivons le fonctionnement général des attaques basées sur la publicité, nous expliquons le concept, sans ajouter de détails sur ce cas particulier.

Ce que le Citizen Lab a découvert

Le Citizen Lab est un groupe de recherche connu pour ses enquêtes sur les menaces numériques visant les journalistes, les militants et d'autres cibles de la société civile. Selon les informations rapportées, ses chercheurs ont désormais publié des preuves techniques montrant qu'un spyware mercenaire, c'est-à-dire des outils de surveillance commerciale vendus à des clients payants, peut être livré via la publicité en ligne.

Le mot clé est « première ». Les chercheurs en sécurité mettent depuis longtemps en garde contre le fait que les réseaux publicitaires pourraient être exploités de cette manière, mais c'est la publication de preuves techniques qui fait passer une préoccupation du théorique au documenté. C'est pourquoi cette découverte est importante, même si vous n'êtes pas une cible probable.

Comment le spyware zero-click se propage via les publicités

Une attaque zero-click ne nécessite aucune action de la victime. Il n'y a pas de lien suspect à cliquer ni de pièce jointe à ouvrir. L'appareil est compromis simplement en traitant quelque chose qui lui a été envoyé.

Les publicités en ligne sont un vecteur plausible pour plusieurs raisons :

  • Les publicités se chargent automatiquement. Les pages web et les applications récupèrent et affichent le contenu publicitaire en arrière-plan, sans aucun choix délibéré de votre part.
  • Les publicités sont ciblées. Les systèmes publicitaires sont conçus pour atteindre des audiences spécifiques, ce qui signifie qu'un attaquant pourrait en principe viser un groupe restreint plutôt que le grand public.
  • Les chaînes publicitaires sont complexes. Le contenu passe souvent par plusieurs intermédiaires avant d'atteindre un écran, ce qui rend difficile pour une partie unique d'inspecter l'ensemble.

En termes pratiques, cela signifie que la même infrastructure qui permet aux annonceurs de trouver un type particulier d'utilisateur pourrait aider un attaquant à trouver une personne particulière. Nous ne disposons pas de détails techniques supplémentaires sur le mécanisme exact à partir de la source, les lecteurs qui souhaitent l'analyse complète doivent donc consulter directement la recherche publiée par le Citizen Lab.

Pourquoi les téléphones et le ciblage publicitaire exposent les utilisateurs

Les téléphones sont des cibles attractives car ils contiennent des messages, l'historique de localisation, des photos et des identifiants, et ils sont presque toujours connectés. Ils affichent également constamment du contenu tiers dans les navigateurs et les applications.

Le ciblage publicitaire ajoute une seconde couche d'exposition. Les courtiers en données et les plateformes publicitaires collectent des signaux sur qui vous êtes et où vous allez, et ces signaux sont ce qui rend possible un ciblage précis. Plus ces données circulent, plus il est facile pour un acheteur motivé de spyware mercenaire d'identifier un individu spécifique.

C'est aussi pourquoi le risque réel est inégal. Le spyware mercenaire est coûteux et a historiquement été associé à des cibles de grande valeur telles que des journalistes, des dissidents et des responsables, et non à des utilisateurs ordinaires. La plupart des gens sont peu susceptibles d'être la victime visée. Mais une méthode de livraison qui repose sur une infrastructure publicitaire de masse mérite d'être comprise, car les défenses qui aident contre celle-ci aident aussi contre des menaces plus courantes.

Ce qui réduit votre risque (et où un VPN intervient)

Aucun outil unique n'arrête une attaque de ce type. Une approche en couches est la réponse sensée.

Maintenez vos appareils à jour. Les spywares exploitent des failles logicielles, et les mises à jour les comblent. Notre article sur la façon dont le groupe Lazarus a exploité une faille du noyau Windows avant le correctif d'août montre comment les attaquants peuvent utiliser une faille avant qu'un correctif n'existe, et pourquoi l'installation rapide des correctifs reste importante une fois qu'il est disponible.

Utilisez le mode Isolement si vous êtes à risque élevé. Le mode Isolement d'Apple est conçu pour les personnes susceptibles de faire face à des attaques ciblées. Il réduit la surface d'attaque de l'appareil, au prix de certaines fonctionnalités. Si vous êtes journaliste, militant ou travaillez dans un domaine sensible, cela vaut la peine d'être envisagé.

Examinez vos paramètres de suivi publicitaire. Limiter la personnalisation des publicités et réinitialiser ou restreindre votre identifiant publicitaire réduit les données disponibles pour le ciblage. Le blocage de contenu au niveau du navigateur peut également réduire la quantité de contenu publicitaire tiers qui se charge.

Comprenez ce qu'un VPN fait et ne fait pas. Un VPN chiffre votre trafic entre votre appareil et le serveur VPN et peut masquer votre adresse IP aux sites que vous visitez. Cela peut réduire certains signaux de suivi. Il ne corrige pas votre téléphone et n'empêche pas un appareil compromis de traiter du contenu malveillant. Considérez-le comme une couche limitée, pas comme un bouclier contre les exploits zero-click.

Ce que cela signifie pour vous

Pour la plupart des lecteurs, cette recherche est un signal, pas une raison de paniquer. L'utilisation documentée de spywares mercenaires vise un petit nombre de personnes, et la découverte ne signifie pas que la navigation publicitaire ordinaire est susceptible de compromettre votre téléphone aujourd'hui. Ce qu'elle montre, c'est que l'infrastructure publicitaire peut être transformée en canal d'attaque, ce qui renforce l'argument en faveur d'une hygiène de base : logiciels à jour, moins de traqueurs et une exposition réduite au contenu tiers inutile.

Si vous traitez des informations sensibles ou avez des raisons de penser que vous pourriez être ciblé, la barre est plus haute. Combinez les mises à jour, le mode Isolement et des contrôles publicitaires plus stricts, et envisagez de demander conseil à des organisations de sécurité numérique qui soutiennent les groupes à risque.

Points clés à retenir

  • Mettez à jour votre téléphone et vos applications dès que les correctifs sont disponibles.
  • Activez le mode Isolement si vous êtes à risque élevé.
  • Limitez la personnalisation des publicités et réinitialisez ou restreignez votre identifiant publicitaire.
  • Envisagez un bloqueur de contenu pour réduire le chargement des publicités tierces.
  • Utilisez un VPN pour la confidentialité, mais ne comptez pas sur lui pour arrêter un spyware zero-click diffusé par des publicités ciblées.
  • Pour un contexte plus large sur les correctifs, consultez notre article sur un neuvième zero-day Windows publié par le chercheur Nightmare Eclipse.

La découverte du Citizen Lab rappelle que l'écosystème publicitaire fait partie de votre surface d'attaque. Vous ne pouvez pas contrôler tous les réseaux publicitaires, mais vous pouvez réduire l'ouverture avec quelques paramètres délibérés et des mises à jour régulières.