Spyware Candiru : une pub suffit à pirater votre PME

Imaginez : vous lisez un article en ligne pendant votre pause. Vous ne cliquez sur rien de suspect, vous ne téléchargez rien, vous ne saisissez aucun mot de passe. Et pourtant, au moment où la page se charge, un logiciel espion s'installe silencieusement sur votre ordinateur. C'est exactement ce que fait le spyware Candiru — et des chercheurs en sécurité ont confirmé qu'il a été distribué via de simples publicités en ligne. Pour les dirigeants de PME, cette menace mérite toute votre attention.

Candiru : le spyware qui n'a pas besoin de votre aide pour vous espionner

Candiru est un logiciel espion (spyware) développé par une société israélienne du même nom, vendu à des gouvernements et des organisations pour surveiller des cibles précises. Une fois installé sur un appareil, il peut lire vos e-mails, accéder à vos fichiers, activer votre caméra ou votre micro, et transmettre tout cela à distance. Ce qui rend Candiru particulièrement redoutable, c'est son mode de livraison : l'attaque zéro-clic. Contrairement aux arnaques classiques où vous devez cliquer sur un lien piégé ou ouvrir une pièce jointe douteuse, une attaque zéro-clic exploite des failles dans les logiciels pour agir automatiquement, dès que votre navigateur charge un contenu — comme une publicité. Vous ne faites rien de mal. Vous n'avez aucune chance de vous en apercevoir sur le moment.

Comment une publicité peut compromettre votre appareil en quelques secondes

Les réseaux publicitaires en ligne fonctionnent comme une bourse : en une fraction de seconde, des milliers d'annonceurs enchérissent pour afficher leur publicité sur la page que vous visitez. Ce système ultra-rapide, appelé enchère en temps réel (RTB), est très peu filtré. Des acteurs malveillants peuvent y acheter des espaces publicitaires et y insérer du code nuisible. Quand votre navigateur charge la page, il exécute automatiquement ce code — et si votre logiciel présente une faille de sécurité non corrigée, l'attaque zéro-clic en PME peut s'opérer instantanément. Le site que vous visitez est lui-même parfaitement légitime : un journal en ligne, un site professionnel, un annuaire. Il ne sait pas que la pub qu'il affiche est piégée. C'est ce que les spécialistes appellent la publicité malveillante, ou malvertising. Et pour votre PME, les conséquences peuvent être graves : vol de données clients, accès à vos outils de gestion, espionnage de vos communications avec vos partenaires.

Pourquoi les PME sont des cibles aussi vulnérables que les grands groupes

Beaucoup de dirigeants pensent encore que les hackers s'attaquent aux grandes entreprises. C'est faux. Les PME sont des cibles privilégiées précisément parce qu'elles ont moins de défenses en place. Elles disposent rarement d'un responsable informatique dédié, leurs appareils sont souvent moins bien mis à jour, et leurs collaborateurs naviguent sur le web sans outils de protection avancés. Par ailleurs, une PME peut être la porte d'entrée vers un client plus grand : pirater votre comptabilité ou votre messagerie peut donner accès à des informations sur vos donneurs d'ordres. Dans le cas du spyware Candiru distribué via publicité malveillante en entreprise, il suffit qu'un seul collaborateur — ou vous-même — visite le mauvais site au mauvais moment pour que l'ensemble du réseau soit exposé.

Ce que vous pouvez faire dès maintenant

1. Activez les mises à jour automatiques sur tous vos appareils. La majorité des attaques zéro-clic exploitent des failles déjà connues et corrigées par les éditeurs. Un appareil à jour est une cible beaucoup moins facile. Appliquez cela à Windows, macOS, iOS, Android, et à vos navigateurs (Chrome, Firefox, Edge…).

2. Installez un bloqueur de publicités sur vos navigateurs professionnels. Des extensions comme uBlock Origin (gratuite) bloquent le chargement des publicités, et donc des éventuels codes malveillants qu'elles contiennent. C'est l'une des mesures les plus simples et les plus efficaces contre le malvertising.

3. Utilisez un navigateur à jour et limitez les extensions installées. Chaque extension ajoutée dans votre navigateur est une surface d'attaque supplémentaire. Gardez uniquement ce qui est nécessaire, et vérifiez régulièrement la liste de ce qui est installé.

4. Sensibilisez votre équipe sans les noyer dans la technique. Un message simple suffit : « Sur nos appareils professionnels, on n'installe rien sans valider avec moi, et on fait les mises à jour dès qu'elles sont disponibles. » La culture de vigilance commence là.

5. Faites auditer votre parc informatique une fois par an. Un prestataire en cybersécurité peut identifier en quelques heures les failles les plus critiques de votre infrastructure. C'est un investissement modeste comparé au coût d'une compromission — fuite de données, arrêt d'activité, perte de confiance de vos clients.