Quand "la publicité en ligne est détournée à grande échelle pour établir le profil de millions d’utilisateurs": des chercheurs ont découvert comment une agence de pub sert à espionner des internautes

Publié aujourd'hui à 14h14

Des chercheurs canadiens de Citizen Lab, une unité appartenant à l'université de Toronto, ont alerté sur les méfaits d'une agence de publicité d'origine israélienne. Pendant plusieurs mois, elle a compromis des appareils grâce à des publicités diffusées par ses soins.

Après le scandale Pegasus, Israël est de nouveau pointé du doigt pour l'une de ses start-up qui se présente officiellement comme une agence de publicité en ligne. Selon une enquête réalisée par des chercheurs canadiens du Citizen Lab de l'université de Toronto, cette entreprise israélienne aurait conçu un système qui lui permet de mettre les millions de publicités diffusées au service de fabricants de logiciels malveillants, notamment des espiogiciels, afin d'espionner certains utilisateurs.

Selon le Guardian, elle aurait été en mesure d'infecter des dizaines d'appareils appartenant à la chaîne qatari Al Jazeera, sans action de la part de leurs utilisateurs, simplement en intégrant à la publicité plusieurs logiciels espion "zéro clic" (ne nécessitant pas une action physique de l'utilisateur, mais juste l'affichage de la page ou de l'élément compromis).

Une plateforme tout-en-un pour viser des voix dissidentes

La start-up en question, Discover-Tech, exploite une plateforme, Controlium, dont la spécialité est "d'établir un profilage de masse et de désanonymiser" les internautes. Elle permet ensuite à ses clients de discrètement infecter les appareils des utilisateurs avec des logiciels espions tiers. Il ne s'agit pas d'une simple attaque où une personne doit cliquer sur un lien ou en téléchargeant un fichier compromis: tout se fait sous les radars, sans intervention, relève Citizen Labs, l'unité spécialisée dans les enquêtes numériques de l'université de Toronto.

"L’écosystème de la publicité en ligne est détourné à grande échelle pour établir le profil de millions d’utilisateurs, puis pour infecter discrètement des cibles à l’aide de logiciels espions mercenaires ne nécessitant aucune interaction de leur part", indique le rapport.

Controlium est en mesure de récolter l'adresse IP de l'utilisateur, ainsi que son identité, ce qui permet d'envoyer une publicité personnalisée en apparence inoffensive. Grâce à elle, et sans action si ce n'est son affichage, un code malveillant contenant des logiciels espions peut ensuite s'intégrer à l'appareil qui est utilisé.

Des millions d'utilisateurs du monde entier auraient reçu des publicités de Discover-Tech, notamment à des personnes appartenant à des organismes gouvernementaux aux États-Unis, en Europe, mais aussi au sein de l'Onu, de l'Otan, de la Cour pénale internationale et de l'Agence internationale de l'énergie atomique.

Un secteur "désastreux"

Wolfie Christl, chercheuse au Citizen Lab, explique qu'il est "désastreux" que ces publicités corrompues n'aient soulevé aucune détection de la part des principaux fournisseurs de publicités sur le web: "La façon dont l'écosystème de la publicité en ligne fonctionne aujourd'hui est une menace pour la sécurité des États, du secteur privé, de la société civile, et de tous les autres."

Benaouda Abdeddaïm : Dimension géopolitique du fleuron technologique d'Israël au cœur du scandale Pegasus - 21/07

4:11

Controlium, la plateforme de Discover-Tech, est ici utilisée comme un "intermédiaire", une "passerelle entre les fournisseurs de publicité et l’écosystème des logiciels espions mercenaires".

En clair, elle va être en mesure de rassembler divers logiciels espions afin de cibler aussi bien des membres de gouvernements que des journalistes, des militants ou des universitaires. Une fois infecté, l'appareil d'un utilisateur donne accès aux messages, photos, mails, historiques d'appel, et il est même possible d'activer secrètement certaines fonctions, comme le microphone.

Il s'agit, selon Bill Marczak, chercheur senior de l'équipe du Citizen Lab, d'une preuve très concrète que la publicité en ligne peut aujourd'hui être activement utilisée pour pirater des cibles précises, en dépit des promesses des géants du secteur que les données sont anonymisées. L'ampleur des outils développés par Discover-Tech est inconnue, alors que la start-up israélienne n'a pas répondu aux questions du Guardian.

Ces mêmes publicités en ligne sont régulièrement pointées du doigt. Meta a d'ailleurs plusieurs fois dû agir après avoir validé sur Facebook ou Instagram l'affichage de publicités pour des produits illégaux, ou pornographiques, voire pédopornographgies. Aux États-Unis, l'Ice, l'agence américaine de l'immigration, utilise des données issues de campagnes publicitaires pour suivre certains internautes à la trace.

Pour Wolfie Christle, les régulateurs, agences de cybersécurité et législateurs doivent "intervenir de toute urgence" afin d'enquêter sur les entreprises du secteur et "corriger des risques systémiques".

Sujets liés :