Le CERT national a émis un avertissement selon lequel un logiciel espion peut infecter des téléphones via des publicités en ligne sans que l'utilisateur ne clique sur quoi que ce soit. La technique est appelée AdFection, et le modèle de logiciel espion publicitaire sans clic AdFection importe parce qu'il supprime la seule défense sur laquelle la plupart des gens comptent : ne pas toucher à des éléments suspects. Cet article explique ce que l'on sait, comment cette classe d'attaque fonctionne et quelle est la place d'un VPN.

Ce contre quoi le CERT national met en garde

Selon le rapport sur l'avertissement, le CERT national affirme qu'un téléphone peut être compromis simplement en chargeant une publicité. Pas de toucher, pas d'invite de téléchargement, pas de fausse page de connexion. La technique porte le nom d'AdFection.

L'avertissement fait suite à des recherches rapportées à la mi-octobre 2026. La couverture médiatique attribue les conclusions à Citizen Lab, dont les chercheurs ont décrit AdFection comme une technique de cyberespionnage. Ces résumés indiquent que la recherche a établi un lien entre une société publicitaire appelée Discover-Tech et des fournisseurs de logiciels espions mercenaires, nommant Candiru et Bindecy, et que des appareils d'Al Jazeera figuraient parmi les cibles. Nous n'avons pas vérifié ces détails de manière indépendante, il convient donc de les considérer comme les conclusions rapportées de cette recherche plutôt que comme des faits établis.

Le point clé pour le lecteur ordinaire est la méthode de diffusion. L'attaque arrive par le même pipeline publicitaire qui sert les bannières et les publicités vidéo dans les applications et les sites web.

Comment fonctionne une attaque publicitaire sans clic

L'article source est bref sur la mécanique, mais les résumés de recherche offrent un aperçu utile. Ils décrivent les attaquants exploitant l'écosystème d'enchères en temps réel, l'enchère automatisée qui décide quelle publicité apparaît sur votre écran dans la fraction de seconde précédant le chargement d'une page ou d'une application.

En termes simplifiés, la séquence rapportée se présente comme suit :

  • Ciblage : un opérateur choisit une personne ou un appareil spécifique qu'il souhaite atteindre.
  • Empreinte numérique : le système publicitaire est utilisé pour reconnaître cet appareil, sur la base du type d'informations que les publicités collectent normalement.
  • Diffusion : lorsque l'appareil ciblé charge une publicité, une charge utile malveillante est servie à la place, ou parallèlement, au contenu normal.
  • Infection : si l'appareil présente une faille exploitable, le logiciel espion peut s'installer sans aucune interaction.

C'est pourquoi l'attaque est décrite comme sans clic. La victime ne fait rien d'inhabituel. Elle navigue simplement ou utilise une application qui affiche des publicités. Les résumés de recherche soulignent que cette approche vise des individus spécifiques, ce qui correspond au schéma des logiciels espions commerciaux plutôt qu'à celui d'un malware de masse. Néanmoins, un avertissement public d'un CERT national signale que la technique mérite d'être prise au sérieux bien au-delà des journalistes et des activistes.

Où un VPN aide et où il n'aide pas

Cette affaire est un bon rappel de ce que fait réellement un VPN. Un VPN chiffre le trafic entre votre appareil et le serveur VPN, et il masque votre adresse IP aux sites que vous visitez. C'est véritablement utile sur le Wi-Fi public et pour limiter certains types de traçage.

Ce qu'un VPN ne fait pas, c'est inspecter ou bloquer le contenu qui arrive par ce tunnel chiffré. Si une charge utile publicitaire malveillante est livrée à votre téléphone, le VPN la transporte comme n'importe quelle autre donnée. Il ne supprime pas la vulnérabilité que la charge utile cible, et il n'empêche pas un réseau publicitaire de diffuser la publicité. Masquer votre IP fait également peu contre l'empreinte numérique de l'appareil que décrivent les résumés de recherche, puisque celle-ci repose sur d'autres signaux.

Il existe une petite exception qu'il vaut la peine de mentionner avec prudence : certaines applications VPN intègrent un blocage optionnel des publicités ou des traqueurs. Il s'agit d'une fonctionnalité distincte du tunnel chiffré lui-même, et son efficacité varie. Si vous comptez dessus, vérifiez qu'elle est activée et gardez-la en perspective.

La leçon plus large concerne la confiance à différents niveaux. Le chiffrement protège les données en transit, mais il ne dit rien sur la sécurité du contenu livré. Nous avons examiné une question de confiance connexe dans notre article sur la révocation des certificats TLS et les retombées GlobalSign, qui montre combien de mécanismes distincts se trouvent entre vous et un site web.

Ce que les utilisateurs d'iPhone, d'iPad et de Windows devraient faire maintenant

Le résumé du CERT national dont nous disposons ne liste pas de vulnérabilités spécifiques ni de versions de logiciels affectées, nous ne ferons donc pas de suppositions à ce sujet. Les étapes suivantes sont générales, peu coûteuses et sensées au vu de ce type de menace.

iPhone et iPad

  • Installez la dernière mise à jour iOS ou iPadOS. Les attaques sans clic dépendent de failles non corrigées, les mises à jour sont donc la protection la plus directe.
  • Envisagez d'activer le mode Isolement si vous présentez un risque élevé, comme un journaliste, un activiste ou une personne traitant des travaux sensibles. Il réduit les fonctionnalités en échange d'une surface d'attaque plus restreinte.
  • Limitez la personnalisation des publicités dans vos paramètres de confidentialité pour réduire les données utilisables par les publicités.

Windows

  • Exécutez Windows Update et mettez à jour votre navigateur, car c'est là que les publicités se chargent.
  • Utilisez un bloqueur de contenu réputé ou un paramètre de navigateur qui bloque les publicités et les traqueurs.
  • Gardez les outils de sécurité intégrés activés.

Android et autres appareils

  • La même logique s'applique : installez rapidement les mises à jour système et de navigateur et utilisez le blocage des publicités ou du contenu.

Ce que cela signifie pour vous

La plupart des gens sont peu susceptibles d'être la cible visée par un logiciel espion mercenaire. Mais le canal de diffusion, la publicité en ligne, est partagé par tous, et les défenses sont suffisamment simples à adopter quel que soit votre niveau de risque. La conclusion pratique est que les protections les plus solides ici sont les plus banales : des logiciels corrigés et moins de publicités atteignant votre appareil.

Un VPN reste un outil de confidentialité utile pour ce pour quoi il est conçu. Il ne devrait simplement pas être considéré comme une protection contre les publicités malveillantes.

Points clés à retenir

  • Mettez à jour votre téléphone, tablette, ordinateur et navigateur aujourd'hui, et activez les mises à jour automatiques.
  • Activez le blocage des publicités ou du contenu dans votre navigateur ou les paramètres système.
  • Réduisez la personnalisation des publicités pour limiter les données d'empreinte numérique.
  • Si vous présentez un risque plus élevé, envisagez le mode Isolement sur les appareils Apple.
  • Considérez un VPN comme une couche de confidentialité, non comme une défense contre le logiciel espion publicitaire sans clic AdFection ou des attaques similaires.

L'avertissement du CERT national est une invitation à vérifier les bases. Dix minutes consacrées aux mises à jour et au blocage des publicités font plus contre cette menace que n'importe quelle quantité de chiffrement du trafic.