MGlossaire

Malvertising

Même cible que le SEO poisoning, autre vecteur.

Définition

Le malvertising (contraction de malicious advertising, publicité malveillante) désigne l'utilisation de la publicité en ligne comme vecteur d'attaque : des annonces piégées, diffusées via des réseaux publicitaires légitimes, redirigent l'internaute vers des sites malveillants ou déclenchent le téléchargement de logiciels nuisibles. La particularité - et le danger - est que ces annonces circulent sur des sites tout à fait sérieux, sans que ceux-ci le sachent : c'est le circuit publicitaire qui est détourné.

Pourquoi ça compte

Le malvertising exploite la confiance : l'internaute voit une publicité sur un site connu et n'imagine pas qu'elle puisse être piégée. Deux parties sont concernées. Le visiteur, exposé à un risque de redirection frauduleuse ou d'infection, parfois sans même cliquer (certaines attaques se déclenchent au simple affichage). Et l'éditeur du site, dont la réputation peut souffrir si des annonces malveillantes s'affichent chez lui via sa régie publicitaire, même sans faute de sa part. Comme pour les autres menaces de ce type, la bonne posture n'est pas technique-experte mais relève de l'hygiène : réseaux publicitaires fiables, navigateur et systèmes à jour, vigilance sur les publicités trop belles pour être vraies.

Exemple concret

Un internaute consulte un site d'actualité réputé ; une bannière publicitaire s'y affiche, injectée par une régie compromise. En cliquant - ou parfois au seul chargement - il est redirigé vers une fausse page l'invitant à « mettre à jour » un logiciel, qui installe en réalité un programme malveillant. Le site d'actualité n'a rien fait de mal : c'est la chaîne publicitaire qui a été détournée. Côté éditeur, choisir des régies fiables et surveiller les annonces diffusées limite ce risque ; côté visiteur, un système à jour et de la méfiance le réduisent.

Comment s'en protéger

  • Côté visiteur : tenir navigateur et système à jour, se méfier des publicités alarmistes ou trop alléchantes, éviter les « mises à jour » proposées par une pub.
  • Côté éditeur : travailler avec des réseaux publicitaires fiables et surveiller les annonces réellement diffusées sur son site.
  • Limiter la surface d'exposition : bloqueurs et protections navigateur réduisent le risque d'affichage d'annonces piégées.
  • Réagir vite : signaler et faire retirer toute annonce suspecte repérée sur ses supports.

Erreurs fréquentes

  • Croire qu'un site sérieux est forcément sûr : le malvertising s'y glisse via la chaîne publicitaire.
  • Penser qu'il faut cliquer pour être touché, alors que certaines attaques se déclenchent à l'affichage.
  • Côté éditeur, négliger le choix et la surveillance de ses régies publicitaires.
  • Installer une « mise à jour » proposée par une publicité plutôt que par la source officielle du logiciel.

Termes liés

FAQ

Peut-on être infecté par une publicité sans cliquer ? Oui, dans certains cas. Certaines attaques de malvertising se déclenchent au simple affichage de l'annonce (drive-by), sans interaction. C'est pourquoi tenir son navigateur et son système à jour est la première protection.

Un site sérieux peut-il diffuser du malvertising ? Oui, à son insu. Les annonces piégées passent par les réseaux publicitaires : un site réputé peut en afficher sans le savoir si sa régie a été compromise. La réputation du site n'est pas une garantie.

Comment un éditeur limite-t-il le risque sur son site ? En choisissant des réseaux publicitaires fiables, en surveillant les annonces réellement diffusées, et en réagissant vite à tout signalement d'annonce suspecte. Le risque ne peut être annulé, mais il se réduit fortement.