Discover-Tech : un acteur de la liste IAB plaçait des publicités piégées dans 75 000 applications

Une publicité qui appelle son acheteur

Le point de départ est le mécanisme de toute publicité programmatique. Quand un emplacement doit s’afficher, le code de la plateforme qui le met en vente, intégré à l’application, rassemble des informations sur l’appareil et son utilisateur et les transmet à des places de marché pour solliciter des enchères ; ces informations peuvent comprendre, écrit le Citizen Lab, les identifiants et les caractéristiques de l’appareil, sa localisation précise et son adresse IP, avec des données sur l’application et sur l’emplacement. C’est le mécanisme des enchères en temps réel que décrivait la décision Xandr. L’annonce gagnante n’est pas qu’une image : elle peut contenir du code de l’annonceur, de sa plateforme d’achat ou d’autres tiers, exécuté dans l’application pendant qu’elle s’affiche.

Discover-Tech en a fait un canal. Un grand nombre de ses publicités contenaient une balise de script pointant vers un serveur que la société appelait « NOAS ». À l’affichage, l’annonce s’y connectait, lui transmettait un identifiant publicitaire, celui d’un cookie ou celui du téléphone, et exécutait le code JavaScript qu’il renvoyait. Le serveur décidait, semble-t-il d’après l’adresse IP et ces identifiants, si l’appareil était une cible ; sinon, il renvoyait une réponse vide. Ni le code malveillant ni son adresse ne passaient donc par les sociétés qui servaient et affichaient la publicité. Confiant publie l’un de ces appels, tiré d’une publicité détectée le 12 avril 2026 : l’adresse du serveur porte un identifiant, une adresse IPv4, le pays (la Belgique), le système (Android) et le modèle de l’appareil, inscrits par l’enchérisseur au moment de servir l’annonce.

C’est ainsi que ces publicités ont franchi les contrôles. Eskimi, l’une des plateformes d’achat utilisées par Discover-Tech, l’explique dans sa réponse aux chercheurs : les balises chargeaient un code différent selon l’appareil, l’adresse IP et la localisation de la personne qui voyait l’annonce, et les campagnes visaient souvent des listes très étroites d’adresses IP, si bien qu’elles ont passé la vérification de prestataires tiers. Le plus souvent, selon le Citizen Lab, la personne qui voit l’annonce n’est pas choisie comme cible et le serveur ne renvoie rien ; l’annonce a pourtant déjà transmis à Discover-Tech ce qu’elle a recueilli.

Des applications du quotidien, surtout sur Android

Pour mesurer l’ampleur de l’opération, le Citizen Lab a analysé près de quatre milliards d’enregistrements d’enchères qu’un serveur de Discover-Tech laissait en libre accès, ceux de sa plateforme d’achat MyDSP. De mars à juin 2026, elle a enchéri sur 3 770 286 576 affichages et semble en avoir remporté 441 954 291, soit 11,7 %. Plus des trois quarts de ces enchères, 76,7 %, portaient sur des emplacements dans des applications mobiles. Au moins 718 748 885 d’entre elles, environ 19 %, visaient à afficher une publicité qui, à en juger par son nom, contenait la balise appelant le serveur NOAS.

Ces publicités se sont affichées dans 75 373 applications Android et iOS et sur 120 768 sites, des affichages réels et non de simples enchères, moins nombreux sur iOS que sur Android. Le rapport cite des messageries, des clients de courriel, des lecteurs vidéo, des applications de météo, d’apprentissage des langues, de pratique religieuse, de santé comme le suivi des règles, des applications de rencontre et un grand nombre de jeux. Côté approvisionnement, les enchères de MyDSP passaient pour 67,4 % par la place de marché de Yandex, pour 24,74 % par Google Ad Manager et pour 7,24 % par Vungle, la place de marché mobile de Liftoff ; Discover-Tech achetait aussi par les plateformes Beeswax et Eskimi, que ces données ne couvrent pas.

Un affichage ne confirme à lui seul ni un ciblage ni une infection, insiste le Citizen Lab, qui estime que les affichages relevés sur des réseaux sensibles auraient au minimum donné lieu à un profilage par Discover-Tech. Confiant, qui évalue le volume de Discover-Tech à une dizaine de millions d’affichages par jour, n’a observé de passage de relais vers l’infrastructure de Candiru que sur quelques centaines à quelques milliers d’affichages par jour, dans neuf pays ; la Belgique, première cible relevée le 12 avril 2026, en concentre 56 %, et la grande majorité de ces publicités ont été servies sur des connexions résidentielles ou mobiles. À Al Jazeera, au moins 45 appareils ont été visés en 2024 et 2025, et un fichier Windows isolé sur l’un des appareils compromis a contribué à rattacher l’attaque à Candiru.

Six ans sur la liste de l’IAB

Discover-Tech n’opérait pas en marge du système. La liste mondiale des fournisseurs du TCF, à partir de laquelle les plateformes de gestion du consentement composent les bannières, l’a comptée du 2 juillet 2020 au 8 octobre 2026 sous le numéro 778. Sa fiche, toujours lisible dans la version 183 de la liste, publiée le 29 octobre et qui compte 1 036 fournisseurs actifs, demande le consentement pour cinq finalités : stocker des informations sur un appareil ou y accéder, utiliser des données limitées pour sélectionner la publicité, créer des profils pour la publicité personnalisée, utiliser ces profils pour la sélectionner et mesurer la performance des publicités. Elle déclare aussi identifier les appareils à partir des informations transmises automatiquement, collecter notamment les adresses IP, les identifiants de l’appareil et des données de localisation non précises, et accéder à l’appareil autrement que par des cookies.

Google l’avait également inscrite, de 2020 à 2026 selon le Citizen Lab, parmi ses prestataires certifiés pour Ad Manager, parmi les fournisseurs de technologie publicitaire qui peuvent recevoir les données des visiteurs de sites et des utilisateurs d’applications en Europe, et parmi ses fournisseurs de personnalisation des annonces. Après l’enquête, Google a coupé son accès à ses places de marché, Beeswax l’a retirée de sa plateforme, Vungle a suspendu son accès le temps de son propre examen et Eskimi a bloqué ses comptes et ses domaines.

Ces inscriptions semblent reposer largement, pour le Citizen Lab, sur les déclarations des fournisseurs eux-mêmes. Les règles du TCF demandent à IAB Europe de prendre des mesures raisonnables pour examiner les candidatures et de vérifier l’identité de ceux qui contrôlent un fournisseur, alors que les liens de Discover-Tech avec des figures de l’industrie des logiciels espions se lisaient, selon les chercheurs, dans les registres des sociétés. Ils en tirent une conséquence directe pour le consentement : pendant près de six ans, des centaines de millions d’Européens ont pu se voir présenter une demande de consentement qui, s’ils l’acceptaient, pouvait être lue comme une autorisation donnée à Discover-Tech de traiter leurs données au titre du RGPD.

IAB Europe a réagi le 15 octobre. Discover-Tech est suspendue de la liste à la suite d’un audit mené dans le cadre des programmes de conformité du TCF, qui a relevé des violations de ses règles ; la suspension durera jusqu’à ce qu’elles soient corrigées et que la conformité ait été vérifiée, et une confirmation des faits publiés pourrait justifier une exclusion définitive. L’association ajoute qu’elle n’est ni équipée ni mandatée pour enquêter elle-même sur des agissements qui sortent du champ du TCF, et qu’elle suivra les enquêtes des autorités compétentes. Le cadre lui-même n’était pas étranger à l’affaire : sur le web, le pixel de suivi de Discover-Tech lisait les signaux de consentement du TCF pour elle-même, Xandr et Beeswax, et Confiant a établi que sa collecte de données s’exécutait aussi là où elle ne disposait pas du consentement de l’utilisateur au sens du RGPD.

La liste d’une bannière se choisit

Rien, dans les deux rapports, n’indique que les éditeurs des applications concernées avaient choisi Discover-Tech ou savaient ce qu’elle faisait. La liste des fournisseurs que présente leur bannière, elle, relève d’eux. Les règles du TCF, dans leur version 5.0.b, permettent à l’éditeur de choisir les fournisseurs pour lesquels il aide à établir une base légale, et l’avertissent : il devrait tenir compte de leur nombre et mettre en place un processus de sélection, car présenter un nombre injustifiablement élevé de fournisseurs peut nuire à la capacité des utilisateurs de faire un choix éclairé et accroître son risque juridique comme celui des fournisseurs. Un fournisseur qu’il ne présente pas doit apparaître dans les signaux comme dépourvu de base légale.

Google applique la même logique dans AdMob, sa régie pour applications. Ses règles relatives au consentement dans l’Union imposent à l’éditeur d’identifier chacun des partenaires publicitaires amenés à recevoir les données personnelles des utilisateurs de l’Espace économique européen, du Royaume-Uni et de Suisse, et l’outil lui permet d’en sélectionner jusqu’à 700. À défaut, écrit Google, « une liste communément utilisée de partenaires publicitaires sera sélectionnée », celle des partenaires qui génèrent le plus de revenus pour les éditeurs. Une bannière qui reprend la liste par défaut présente donc des partenaires que personne, chez l’éditeur, n’a choisis un par un.

La CNIL attend de l’éditeur qu’il ait une vision complète des acteurs qui interviennent dans ses traitements, au titre de l’article 24.1 du RGPD, comme le détaille sa recommandation sur les applications mobiles. Une liste de plusieurs centaines de fournisseurs acceptée en bloc se concilie mal avec cette exigence, et l’affaire Discover-Tech montre ce qu’elle laisse passer : l’inscription sur la liste de l’IAB atteste qu’un acteur a été admis dans le cadre et s’est engagé à en respecter les règles, pas ce qu’il fait des données qu’il reçoit.

Après le 8 octobre, ce qui reste dans les téléphones

La suppression d’un fournisseur obéit à des règles précises. La spécification de la liste, publiée par l’IAB Tech Lab, prévoit qu’un fournisseur dont la fiche porte une date de suppression est tenu pour supprimé à compter de cette date et ne doit plus être soumis au choix des utilisateurs, et que son numéro n’est jamais réattribué. La liste, elle, ne touche pas aux chaînes de consentement déjà enregistrées. Dans une application, le choix de l’utilisateur est conservé sur le téléphone, sous les clés normalisées IABTCF_, et il encode, fournisseur par fournisseur, ce que l’utilisateur a accepté au moment où la bannière l’a écrit. Une chaîne écrite avant le 8 octobre peut donc porter encore, au rang 778, le consentement donné ce jour-là, jusqu’à ce que la plateforme de consentement de l’application la régénère.

Reste ce qui a déjà été recueilli. Le Citizen Lab demande aux autorités compétentes d’enquêter sur Discover-Tech et Candiru, et conseille aux utilisateurs de réinitialiser régulièrement leur identifiant publicitaire : c’est l’un des identifiants à partir desquels Controlium, la plateforme de ciblage de Discover-Tech, permettait à ses clients de désigner une cible, avec l’identifiant d’un cookie et l’adresse IP.

Ce que l’affaire change pour une application

Ce qui quitte le téléphone quand une publicité s’affiche se décide dans une chaîne que l’éditeur ne voit pas, et le seul endroit où il peut l’observer est le téléphone lui-même. C’est aussi une question de revenus. Selon les données de MyDSP, Discover-Tech a dépensé environ 109 000 dollars en quatre mois, à supposer, précisent les chercheurs, que le coût soit enregistré en micro-dollars, pour plus de 440 millions d’enchères remportées ; Confiant relève qu’en août 2026 environ 60 % des annonces passées par Discover-Tech étaient des liens d’affiliation et que plus d’un tiers de ses dépenses servait à promouvoir son propre site. L’inventaire d’une application peut ainsi se vendre à un acheteur dont le métier n’est pas la publicité.

Pour un DPO, l’affaire se traduit en quelques questions à poser à chaque version d’une application qui affiche de la publicité. Quelles plateformes publicitaires intègre-t-elle, et par quelles places de marché ses emplacements se vendent-ils ? Quels serveurs le téléphone contacte-t-il au moment où une publicité s’affiche, et qu’emportent-ils, de l’identifiant publicitaire à l’adresse IP et au modèle de l’appareil ? La liste que présente la bannière a-t-elle été choisie, ou reprend-elle une liste par défaut ? Et la chaîne de consentement enregistrée sur le téléphone suit-elle les suppressions de la liste de l’IAB ?

Ces questions se vérifient sur le téléphone. Skanopy pilote automatiquement l’application Android sur un vrai téléphone, accepte ou refuse dans la bannière comme le ferait un utilisateur, puis relève chaque acteur tiers que le téléphone contacte, y compris ceux qu’une publicité affichée fait appeler, ce qu’il reçoit et à quel moment par rapport au choix. Il lit aussi la chaîne de consentement que la bannière enregistre et la confronte aux acteurs que l’application contacte vraiment, version après version. C’est tout l’objet d’une analyse d’application mobile : elle ne dit pas le droit, elle fournit la pièce datée sur laquelle le droit s’applique.

Sources

Chaque constat de cet article renvoie à l’un de ces documents.

1. Citizen Lab ’26Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary SpywareBill Marczak, Wolfie Christl, John Scott-Railton, Astrid Perry, Siena Anstis et Ron Deibert, The Citizen Lab, 15 octobre 2026 (en anglais)
2. Confiant ’26ADINT: Weaponized Ad Tech for Zero-Click Spyware and Mass Identity VacuumingConfiant, 15 octobre 2026 (en anglais)
3. IAB Europe ’26Recent Reports Concerning a TCF Vendor, Discover-TechIAB Europe, 15 octobre 2026 (en anglais)
4. GVL 183Global Vendor List, fiche du fournisseur 778IAB Europe, version 183 du 29 octobre 2026
5. TCF 5.0.bIAB Europe Transparency & Consent Framework Policies, chapitres III et IVIAB Europe, version 5.0.b (en anglais)
6. IAB Tech LabConsent string and vendor list formats v2IAB Tech Lab, spécifications du TCF (en anglais)
7. AdMobGérer les partenaires publicitaires conformément au RGPDAide Google AdMob
8. CNIL ’25Recommandation relative aux applications mobilesCNIL, délibération n° 2025-024 du 27 mars 2025 (version modifiée publiée le 8 avril 2025)