Une régie israélienne soupçonnée de pister les utilisateurs de Starlink dans 105 pays

Une entreprise publicitaire israélienne achetait des espaces publicitaires visant les utilisateurs de Starlink selon un schéma qui, d'après des chercheurs, relève davantage de la surveillance que de la publicité. TrendAI, la branche de recherche de la société de sécurité japonaise Trend Micro, a constaté qu'un enchérisseur baptisé SHADOW-EARTH-79 remportait environ 13 % des enchères publicitaires observées sur le trafic Starlink, contre environ 3 % pour un enchérisseur moyen, et arrivait en tête sur ce trafic dans 105 pays. Six sources ont indiqué à Reuters le 27 octobre que ce nom de code désigne Discover-Tech, une société que Citizen Lab accuse, dans un rapport distinct, de diffuser des logiciels espions via la publicité.

Comment une enchère publicitaire trahit un utilisateur de Starlink

Avant d'afficher une publicité, une application ou un site organise une enchère en une fraction de seconde. La requête envoyée aux acheteurs peut contenir l'adresse IP de l'utilisateur, sa localisation approximative, le réseau auquel appartient l'adresse et des informations sur l'appareil comme le modèle et la taille d'écran. Les adresses de Starlink appartiennent au propre bloc réseau de SpaceX, AS14593, si bien que n'importe quel enchérisseur voit que la connexion passe par une antenne satellite. Le gagnant peut en outre exécuter son propre code dans la publicité, qui peut collecter davantage.

TrendAI a travaillé sur la télémétrie d'une seule plateforme d'achat publicitaire et isolé le trafic provenant des adresses de Starlink. L'activité de l'enchérisseur était orientée vers ce trafic, y compris dans des pays où Starlink est interdit ou restreint, comme la Syrie, le Soudan, la Birmanie et la Libye. Reuters, citant ses sources, ajoute qu'il était le premier acheteur de publicité en Syrie, en Libye, au Yémen et au Soudan du Sud. Le rapport rappelle que Starlink est très utilisé dans les zones de conflit où les réseaux terrestres sont endommagés, et conclut avec une confiance modérée à élevée que cette activité « fonctionne comme une infrastructure de ciblage et de pistage » plutôt que comme de la publicité.

Discover-Tech, la société derrière le nom de code

TrendAI n'a pas nommé la société. Selon Reuters, cinq sources affirment que la direction a soulevé des inquiétudes juridiques et que les chercheurs ont renoncé. Le même jour, le 15 octobre, le Citizen Lab de l'université de Toronto et Confiant, spécialiste de la sécurité publicitaire, ont nommé Discover-Tech dans un rapport distinct. D'après Citizen Lab, cette société israélienne enregistrée en 2020 exploite une plateforme appelée Controlium qui permet à ses clients de cibler des utilisateurs précis par identifiant publicitaire, cookie ou adresse IP et de leur envoyer du code dans des publicités. Citizen Lab relie la plateforme au fabricant de logiciels espions Candiru et indique qu'au moins 45 appareils d'Al Jazeera ont été visés en 2024 et 2025 par un logiciel espion de Candiru diffusé via des publicités de Discover-Tech.

Google a coupé l'accès de Discover-Tech à ses places de marché publicitaires, et Google et l'IAB Europe l'ont retirée de leurs listes de fournisseurs début octobre. Comcast et d'autres plateformes l'ont aussi écartée, selon Reuters. Au moins une grande entreprise technologique américaine et une organisation internationale ont ouvert des enquêtes internes pour savoir si les publicités visaient leur personnel. Discover-Tech et SpaceX n'ont pas répondu aux sollicitations.

Ce qui est prouvé et ce qui ne l'est pas

Les données sur Starlink montrent des enchères inhabituelles, pas un pistage confirmé de personnes précises. TrendAI souligne que la localisation par IP peut être erronée et que ses données proviennent d'une seule plateforme. Le lien entre SHADOW-EARTH-79 et Discover-Tech repose sur des sources anonymes. Les infections chez Al Jazeera sont la partie que Citizen Lab documente avec des journaux réseau et des similitudes de code.

Ce qui réduit l'exposition

Les deux rapports donnent des conseils proches : réinitialiser régulièrement l'identifiant publicitaire du téléphone, désactiver la personnalisation des publicités, utiliser un bloqueur de publicités et limiter les applications financées par la publicité. TrendAI recommande aussi le mode Isolement (Lockdown Mode) de l'iPhone aux personnes à risque. Un VPN change l'adresse IP et le réseau que voient les enchérisseurs, de sorte que l'enchère ne montre plus une connexion Starlink, mais il ne supprime pas l'identifiant publicitaire ni les données de l'appareil que les applications placent dans les requêtes. Citizen Lab ne cite un VPN que sous la forme d'un service avec blocage des publicités intégré, où la protection vient du blocage.