Des chercheurs en sécurité du Citizen Lab de l'Université de Toronto ont confirmé la première preuve technique de diffusion de spyware zero-click via des publicités en ligne ordinaires. Dans un rapport publié le 15 octobre 2026, le laboratoire révèle qu'une société israélienne nommée Discover-Tech servait d'intermédiaire entre les réseaux publicitaires mondiaux et les fabricants de spyware mercenaire, permettant à ces derniers de profiler et de pirater presque n'importe quel appareil.
L'enquête, menée avec la plateforme de qualité publicitaire Confiant, montre comment des publicités malveillantes achetées via Discover-Tech ont infecté au moins 45 ordinateurs Windows du réseau qatari Al Jazeera en 2024 et 2025. Les cibles n'ont eu ni à cliquer sur un lien ni à ouvrir un fichier. Les chercheurs nomment cette technique AdFection et estiment que le cas révèle un risque systémique pour quiconque utilise un téléphone, un ordinateur portable ou un appareil connecté.
Comment fonctionne la plateforme Controlium de Discover-Tech
Discover-Tech se présente comme une société publicitaire légitime et figure sur les listes de fournisseurs approuvés de Google et de l'organisation professionnelle IAB Europe. Selon Citizen Lab, l'entreprise exploitait une plateforme cachée nommée Controlium qui fournissait aux partenaires de spyware des outils pour désanonymiser les internautes, prendre l'empreinte de leurs appareils et choisir des cibles à infecter à partir d'une adresse IP, d'un identifiant publicitaire mobile ou d'un identifiant de navigateur.
Une fois une cible choisie, la publicité malveillante se déclenchait automatiquement dès son affichage dans un navigateur ou une application. Il s'agit donc d'une attaque zero-click, où la victime n'accomplit aucune action. Les publicités de Discover-Tech étaient diffusées via de grandes régies comme Google, Yandex et Beeswax, et exploitaient aussi les fenêtres de consentement au RGPD pour atteindre des utilisateurs dans l'Union européenne.
