Zéro clic : le dossier de l'attaque par la pub (Discover-Tech / Controlium)
Le dossier complet de l'attaque zéro clic par la pub : comment Discover-Tech et sa plateforme Controlium infectaient un téléphone sans un seul clic, étape par étape, avec les sources.
Ce qui a été prouvé le 15 octobre 2026
Première confirmation publique d'un logiciel espion mercenaire livré par une pub ciblée, sans aucun clic. L'attaque porte un nom : AdFection.
1. Comment une pub arrive sur ton écran
Chaque fois qu'une page ou une appli se charge, une micro enchère se tient en quelques millisecondes pour décider quelle pub tu vas voir. Des milliards de fois par jour, c'est le fonctionnement normal d'Internet.
Pour que les annonceurs puissent enchérir, on leur envoie à chaque fois une petite fiche sur toi. Voici à quoi elle ressemble (format OpenRTB 2.6, exemple IAB Tech Lab) :
POST /openrtb2/auction
"id": "4f1c9e0a-77b2"
"imp": [{ "banner": { "w": 320, "h": 50 } }],
"device": {
"ifa": "6D92078A-8246-4BA4-AE5B-76104861E7DC",
"ip": "92.184.105.17",
"geo": { "city": "Paris", "country": "FRA" },
"make": "Apple", "model": "iPhone 15"
},
"user": { "id": "a81f.." }Identifiant publicitaire, adresse IP, ville, modèle du téléphone. Tout ça est public et légal.
2. La couverture
Discover-Tech se présentait comme une société de publicité israélienne tout ce qu'il y a de plus normal, avec son site vitrine (discover-tech.io), sa régie, ses services d'acquisition d'utilisateurs. Elle participait aux enchères via Google, via Yandex.
En réalité, elle servait de pont entre le marché publicitaire en ligne et l'industrie des logiciels espions mercenaires.
3. Controlium, la plateforme
| Étape | Ce qui se passe |
|---|---|
| 1 | Discover-Tech gagne l'enchère pour ton impression |
| 2 | Sa pub se charge sur la page, parfois en arrière-plan, invisible |
| 3 | La pub contient un petit script qui appelle leur serveur avec ton identifiant et ton IP |
| 4 | Le serveur regarde si c'est la bonne cible |
| 5 | Si non : réponse vide, rien ne se passe |
| 6 | Si oui : il renvoie le code qui lance l'infection |
Controlium permettait à leurs clients de désanonymiser un appareil, de l'identifier précisément, puis de l'infecter au moment exact où la pub s'affiche. Sans que Google ni personne puisse le voir.
4. Qui a reçu ces pubs
Les enregistrements d'enchères montrent des pubs affichées pendant des mois sur des appareils utilisés par des armées, des gouvernements, des médias, des infrastructures critiques et des agences cyber nationales. Al Jazeera fait partie des cibles documentées.
5. L'erreur qui a tout révélé
Une partie du code et des identifiants traînaient en accès public sur leur propre interface, du côté de controlium.net. C'est comme ça que les chercheurs ont pu reconstituer toute l'histoire.
6. Pourquoi ça ne s'arrête pas là
Cette attaque utilise un système dont on ne peut pas se passer : celui qui paye l'Internet gratuit, les sites que tu lis et les applis que tu utilises. N'importe quelle entreprise peut faire ce que Discover-Tech a fait, et pas seulement sur des cibles précises. Discover-Tech n'est que la partie émergée de l'iceberg.
Les sources à lire
- Le rapport Citizen Lab du 15 octobre 2026 : https://citizenlab.ca/
- TechCrunch, 15 octobre 2026 : https://techcrunch.com/
- BleepingComputer : https://www.bleepingcomputer.com/news/security/zero-click-attacks-used-targeted-ads-to-deliver-candiru-spyware/
- Dark Reading : https://www.darkreading.com/data-privacy/adfection-online-ads-spyware-delivery
Une question sur un point du dossier ? Réponds directement à ce message.