Des chercheurs accusent une entreprise israélienne d’utiliser la publicité en ligne à des fins d’espionnage
Deux équipes de recherche ont affirmé jeudi que l’agence israélienne de publicité numérique Discover-Tech avait espionné des internautes au moyen d’un vaste réseau d’annonces en ligne, utilisé pour suivre des cibles précises et faciliter le piratage de leurs appareils.
Deux rapports distincts, publiés par Citizen Lab, un centre canadien de recherche et de veille en cybersécurité, et Confiant, une entreprise de sécurité publicitaire basée à New York, indiquent que les services de Discover-Tech ont permis à Candiru, une société israélienne de logiciels espions inscrite sur la liste noire du gouvernement américain, ainsi qu’à d’autres entreprises israéliennes de surveillance, d’accéder à des plateformes publicitaires exploitées par Google, Comcast, le groupe russe Yandex et d’autres acteurs.
Selon Reuters, ces rapports montrent comment le secteur de la publicité en ligne, qui suscite depuis longtemps des inquiétudes pour la protection de la vie privée, peut également servir de vecteur à des campagnes d’espionnage de grande ampleur.
« Le fonctionnement actuel de la publicité en ligne constitue une menace systémique pour la sécurité », a déclaré à l’agence Wolfie Christl, chercheur à Citizen Lab. Cette menace concerne, selon lui, « les États, le secteur privé, la société civile et tout le monde sans distinction ».
Citizen Lab indique que les publicités de Discover-Tech, qui faisaient souvent la promotion de produits ordinaires comme des téléphones et des écouteurs, ont été diffusées sur plus de 120 000 sites internet et 75 000 applications grâce à ses différents partenariats.
Selon les chercheurs, Discover-Tech pouvait identifier et suivre les utilisateurs qui consultaient des sites ou utilisaient des applications contenant des publicités malveillantes. L’entreprise tentait également, dans certains cas, de récupérer les numéros de téléphone d’utilisateurs de smartphones. Le simple chargement d’une publicité sur un site suffisait à déclencher la surveillance.
Les deux équipes de recherche indiquent que certaines annonces servaient à faciliter l’installation de logiciels espions de Candiru sur les appareils des utilisateurs. Confiant précise toutefois que les publicités qu’elle a pu relier à Candiru ne représentaient qu’une infime partie du volume total des annonces diffusées par Discover-Tech.
Des publicités malveillantes diffusées au sein de centaines de réseaux sensibles
Jérôme Dangu, cofondateur de Confiant, a déclaré que Discover-Tech diffusait au moins dix millions de publicités par jour dans le monde. Des dispositifs de partage de données appelés « synchronisation des cookies » lui permettaient en outre de suivre des personnes au-delà même de la portée de ses propres annonces.
« Il est très probable que des centaines de millions de personnes aient été touchées par les activités de Discover-Tech », a-t-il ajouté.
En 2021, le département américain du Commerce a inscrit Candiru sur sa liste noire, lui reprochant d’avoir fourni des logiciels espions utilisés de manière malveillante pour cibler des responsables gouvernementaux, des journalistes, des militants et des universitaires.
Selon Dangu, les annonces malveillantes ont été présentées à des utilisateurs connectés à « des centaines de réseaux relevant de catégories sensibles », notamment ceux du département américain de la Guerre, le Pentagone, de l’Agence internationale de l’énergie atomique et de la Cour pénale internationale. Certaines zones, comme les territoires palestiniens, étaient particulièrement saturées de publicités de l’entreprise israélienne.
« Si vous consultez pratiquement n’importe quel site en Palestine, quel qu’il soit, vous y trouverez une publicité de Discover-Tech. Cela lui donne une visibilité quasi totale sur les activités numériques de tout un pays », a-t-il affirmé.
Citizen Lab indique disposer d’éléments similaires montrant que des publicités malveillantes ont été diffusées auprès de personnes travaillant aux Nations unies, à l’OTAN, à la Commission européenne et dans plus d’une douzaine d’autres gouvernements.
Les réseaux sur lesquels ces annonces sont apparues comprenaient également ceux d’entreprises du secteur des semi-conducteurs, notamment Nvidia, SanDisk, Broadcom et Micron, ainsi que de plusieurs médias au Mexique, en Israël et en Europe dont les noms n’ont pas été divulgués.
Outre l’identification de Candiru et de plusieurs autres fournisseurs de technologies de surveillance, Citizen Lab affirme avoir pu recueillir des indications sur la localisation probable des utilisateurs des services de Discover-Tech. L’entreprise avait involontairement exposé en ligne ses journaux d’authentification, qui faisaient apparaître des connexions depuis des adresses IP situées en Israël, en Europe et dans la région.
Des mesures prises contre Discover-Tech
Discover-Tech est désormais exclue de certaines composantes du marché de la publicité en ligne. Dans un communiqué, Google a déclaré avoir coopéré à l’enquête de Citizen Lab et de Confiant et avoir banni Discover-Tech de ses plateformes publicitaires « pour violation systématique de nos règles ».
IAB Europe, l’association européenne de l’écosystème du marketing et de la publicité numériques, a indiqué par courriel que Discover-Tech avait été suspendue la semaine précédente de sa liste mondiale de fournisseurs agréés, après qu’un audit eut révélé des manquements aux règles.
Comcast a précisé dans un communiqué que sa filiale Beeswax, spécialisée dans les technologies publicitaires, avait retiré Discover-Tech de sa plateforme « à la suite d’activités récentes ».
La surveillance fondée sur les données publicitaires est de plus en plus considérée comme une menace pour la sécurité nationale. Plus tôt cette année, le département américain de la Guerre a déclaré avoir reçu des signalements selon lesquels des militaires américains déployés dans des zones de guerre avaient été ciblés au moyen de données de géolocalisation recueillies par des entreprises de technologies publicitaires et des courtiers en données.
Depuis, certaines branches des forces armées américaines ont désactivé le suivi publicitaire sur une partie de leurs appareils.
