Le logiciel espion Candiru a touché au moins 45 appareils d'Al Jazeera via des publicités en ligne malveillantes

Le 15 octobre 2026, le Citizen Lab de l'Université de Toronto a publié un rapport intitulé Exposing AdFection, concluant qu'au moins 45 appareils appartenant à des collaborateurs d'Al Jazeera avaient été infectés par un logiciel espion lié à l'éditeur israélien Candiru (également connu sous le nom d'Integrity Labs). Ce qui distingue l'opération, selon les chercheurs, c'est le mode de diffusion : le logiciel espion atteignait ses cibles via des publicités en ligne sans clic, n'exigeant aucune action des victimes — une technique que Citizen Lab a décrite comme la première attaque confirmée de ce type.

Les publicités malveillantes étaient diffusées via une plateforme nommée Controlium, exploitée par une société israélienne de ad-tech, Discover-Tech, que Citizen Lab présente comme un intermédiaire au service d'opérateurs de logiciels espions mercenaires. En achetant de l'espace publicitaire et en profilant des personnes précises, la plateforme pouvait infecter l'appareil d'une cible au moment où une publicité s'affichait. Citizen Lab a indiqué que les publicités de Discover-Tech avaient été diffusées dans près de 200 000 applications et sites web et avaient atteint des réseaux liés à des médias, des ministères, des agences de sécurité, l'OTAN et l'ONU — tout en soulignant que les impressions publicitaires ne suffisent pas à elles seules à confirmer un ciblage par logiciel espion.

Découverte et chronologie

L'équipe technique d'Al Jazeera a elle-même remarqué des anomalies sur les appareils de journalistes dès 2024, et Citizen Lab a précisé que le ciblage s'était poursuivi en 2024 et 2025. Les chercheurs ont récupéré le logiciel espion sur un appareil, mais pas l'exploit utilisé pour pénétrer le système, et ils n'ont pas identifié le gouvernement ou le client commanditaire de l'opération. Candiru a été inscrit sur liste noire par le gouvernement américain en 2021.

Réactions

Al Jazeera a condamné cette campagne comme une « atteinte à la liberté de la presse et au droit du public à l'information » et a déclaré que ses propres informations avaient contribué à vérifier et documenter les attaques. Le Comité pour la protection des journalistes (CPJ) a appelé les autorités israéliennes et autres à enquêter et à demander des comptes aux responsables, et a exhorté gouvernements et entreprises à agir pour que l'infrastructure publicitaire ne puisse plus être transformée en vecteur de surveillance ciblée. Ni Discover-Tech ni Candiru n'ont répondu aux demandes de commentaire avant publication.