Vos applis gratuites ne sont pas en cause : c'est le SDK publicitaire qu'elles contiennent

Et si le plus dangereux sur votre téléphone n'était pas une application installée, mais la publicité qu'une appli gratuite vous affiche une demi-seconde ? C'est la question dérangeante que soulève le dernier rapport du Citizen Lab, et nous pensons qu'elle mérite plus d'attention que le conseil habituel: « faites attention à ce sur quoi vous cliquez ». Ici, personne ne clique sur rien.

Ce qui s'est passé: une société de publicité qui servait de passerelle aux logiciels espions

Le 15 octobre, des chercheurs du Citizen Lab, à l'université de Toronto, ont publié un rapport sur une technique qu'ils appellent AdFection. Ils la décrivent comme la première confirmation technique publique d'un logiciel espion mercenaire sans clic (zero-click) diffusé par des publicités ciblées. L'entreprise israélienne Discover-Tech, via sa plateforme Controlium, aurait profilé et désanonymisé des utilisateurs, puis permis à des vendeurs de logiciels espions d'infecter des cibles choisies lorsqu'une publicité s'affichait.

Selon Wired, le Citizen Lab a conclu que 45 appareils d'Al Jazeera avaient été visés en 2024 et 2025. Le même rapport indique que des publicités liées à l'entreprise, contenant des balises de script des attaquants, sont apparues dans plus de 70 000 applications mobiles entre mars et juin de cette année.

Le problème, c'est l'architecture, pas un seul acteur malveillant

Il est tentant d'y voir l'histoire d'une seule société douteuse. La description du Citizen Lab lui-même va dans l'autre sens. Une publicité n'est pas qu'une image: elle peut embarquer du code de l'annonceur et d'autres intermédiaires, et ce code s'exécute dans l'application ou le navigateur. Ajoutez des enchères en temps réel qui partagent des données sur l'appareil, et quiconque remporte l'enchère peut viser l'écran d'une seule personne. Comme l'a dit le chercheur Bill Marczak à Wired, tant que cette architecture ne changera pas, ou que les sociétés de publicité ne vérifieront pas sérieusement leurs clients, nous continuerons à voir ce type d'abus.

C'est le point essentiel pour quiconque utilise des applications gratuites. Chaque SDK publicitaire est une porte que le développeur ouvre à des tiers, et il contrôle rarement ce qui la franchit. Une appli gratuite n'a pas besoin d'être malveillante, ni même mal codée, pour devenir la voie d'entrée. À notre avis, « cette appli est digne de confiance » ne veut plus rien dire dès lors que la monétisation est confiée à une enchère.

Les gardiens ont échoué, et cela devrait changer les règles

Le détail le plus accablant n'est pas technique. Selon le Citizen Lab, Discover-Tech figurait sur des listes de fournisseurs publicitaires certifiés et approuvés tenues par Google et IAB Europe de 2020 à 2026. Le chercheur Wolfie Christl a qualifié de désastreux le fait que les grands acteurs de la publicité n'aient apparemment pas pu détecter ni empêcher cela pendant des années.

Pour être juste, la réaction a été rapide une fois les preuves publiées. Google a déclaré à Wired avoir bloqué Discover-Tech sur ses plateformes publicitaires, et IAB Europe l'a suspendu de sa liste de fournisseurs. Mais un nettoyage après un rapport public n'est pas un contrôle. Nous estimons que la charge devrait changer de camp: si une plateforme laisse un fournisseur livrer du code exécutable à des millions de téléphones, vérifier ce fournisseur relève du devoir de sécurité, pas d'une case marketing à cocher. Les régulateurs, comme l'a demandé Christl, devraient se pencher sur le risque systémique et pas seulement sur un nom.

Une réserve garde l'analyse honnête. L'analyste en cybersécurité Eddy Willems a déclaré à Al Jazeera que l'exécution de code dans un navigateur ne donne pas automatiquement le contrôle complet d'un appareil, car un attaquant peut avoir besoin d'une seconde vulnérabilité pour sortir du bac à sable. Et la documentation décrit une opération ciblée, pas une infection de masse d'utilisateurs ordinaires. La plupart des lecteurs ne sont probablement pas visés ici. Reste que la même chaîne établit le profil de millions de personnes avant d'en choisir quelques-unes.

Que faire

Pour les utilisateurs, les options sont brutes: Marczak note qu'on ne peut guère faire autre chose que bloquer les publicités aussi complètement que possible, sur chaque site et chaque plateforme. Notre recommandation: utilisez des bloqueurs de contenu partout où c'est possible, gardez votre système et votre navigateur à jour, et envisagez de payer pour les applications dont vous dépendez le plus, car une formule sans publicité réduit probablement cette surface d'attaque. Si vous êtes journaliste, militant ou si vous travaillez dans l'administration, considérez le blocage des publicités comme une hygiène de base, pas comme de la paranoïa.

Pour les plateformes, le verdict est plus net. Les SDK publicitaires devraient être audités et isolés comme tout autre code tiers, et la certification des fournisseurs devrait avoir un sens. Les applications « gratuites » n'ont jamais été vraiment gratuites. Ce rapport laisse penser que la facture peut inclure la sécurité de votre appareil.