One ad was enough to spy
At least 45 devices at Al Jazeera were targeted by Candiru spyware delivered through banner ads. No click needed: the ad just had to appear on screen.
Actualité du 15 octobre 2026 · 1 min 36 · 3 sources · 8 affirmations sourcées
En 30 secondes
L'essentiel
- Simply displaying a banner was enough to target at least 45 Al Jazeera devices, with no click.
- The company bought ads like any ordinary advertiser: a server then picked which devices to infect.
- For exposed organizations, targeted ads are an attack surface: block them at the network edge.
Ce qui est établi, et ce qui ne l'est pas
Chaque affirmation de l'épisode, son statut et ses sources.
- ÉtabliAu moins 45 appareils d'Al Jazeera visés en 2024 et 2025, liés avec une confiance élevée au logiciel espion Candiru livré par les publicités de Discover-Tech
- ÉtabliAttaque sans clic : l'affichage de la publicité suffit ; le serveur ne renvoie le code qu'aux appareils ciblés, une réponse vide aux autres
- ÉtabliDiscover-Tech achetait des emplacements sur des régies publicitaires classiques ; ses publicités contenaient un script qui transmettait l'adresse IP et l'identifiant publicitaire de l'appareil
- ÉtabliDe mars à juin 2026, ces publicités ont été affichées dans 75 373 applications et sur 120 768 sites ; environ 3,77 milliards d'enchères, dont 442 millions apparemment remportées
- ÉtabliGoogle, IAB Europe, Beeswax, Eskimi et Vungle ont retiré les comptes ou bloqué l'accès de Discover-Tech
- InconnuLe nombre total d'infections est inconnu : 45 est un minimum, et un affichage n'est pas une infection
- RapportéSelon le rapport cité par SecurityWeek, la protection la plus réaliste est de bloquer la publicité ciblée à l'entrée du réseau
- ÉtabliAmnesty International avait décrit fin 2025 une méthode comparable (Aladdin, logiciel Predator) à partir de documents ; AdFection est observée dans des attaques réelles
Transcription
At Al Jazeera, at least 45 devices were targeted by spyware. Nobody clicked on anything: an ad just had to appear on screen.
CyberFlash is DecodeVox's cybersecurity show. Here, we go beyond the headlines: we decode attacks, reveal how they work, and explain what they really change.
But how can a simple ad infect a device?
An Israeli company buys ad space, like any other advertiser. Its banner hides a script that sends the device's address and advertising ID to a server. If the device is the target, the server sends back the infection code. If not, it sends nothing.
In four months, these banners showed up in more than 75,000 apps and on more than 120,000 websites. A huge net, to hit just a few devices. Google and several ad networks have since cut the company off.
What we know: unlike a method described last year from documents, this one was seen in real attacks. What we don't know: how many devices were infected in total. 45 is a minimum.
The lesson applies to every exposed organization: newsrooms, nonprofits, researchers. An ad is code running on your device. Block targeted ads at the network edge, and on every sensitive device.
Seeing an ad already means running code. This time, that code came from spyware.
To go further, find today's full edition on our website, link in the description. Subscribe to DecodeVox so you never miss our next breakdowns. And tell us in the comments: Do you use an ad blocker?
La suite
Continuer
1 min 272 900 connexions par minute, et une clé volée
1 min 35Des agents IA à l'assaut des sites marchands
1 min 50Un seul mot de passe, des centaines d'entreprises
Ne pas manquer le prochain épisode
Le flux RSS annonce chaque nouvel épisode, sans compte ni inscription.
L'actu cyber complète du jour
Les 10 actualités du dimanche 18 octobre 2026, dont celle-ci, avec leurs sources.