{"id":24178,"date":"2026-08-21T15:32:06","date_gmt":"2026-08-21T13:32:06","guid":{"rendered":"https:\/\/www.kaspersky.fr\/blog\/?p=24178"},"modified":"2026-08-20T15:32:35","modified_gmt":"2026-08-20T13:32:35","slug":"adform-compromise-malicious-ads-cryptocurrency-theft","status":"publish","type":"post","link":"https:\/\/www.kaspersky.fr\/blog\/adform-compromise-malicious-ads-cryptocurrency-theft\/24178\/","title":{"rendered":"Un milliard d’impressions \u00e0 risque : les le\u00e7ons \u00e0 tirer du piratage d’Adform"},"content":{"rendered":"

Adform, une importante plateforme publicitaire, est rest\u00e9e compromise pendant environ 24\u00a0heures, entre la fin de la journ\u00e9e du 26\u00a0juillet et la soir\u00e9e du 27\u00a0juillet, apr\u00e8s avoir \u00e9t\u00e9 pirat\u00e9e par un groupe inconnu. Peu de gens en dehors du secteur connaissent ce nom, mais Adform diffuse chaque jour environ 1,5\u00a0milliard d\u2019impressions publicitaires<\/a> sur des dizaines de milliers de sites. Cela signifie que toute personne visitant un site sur lequel sont diffus\u00e9es des publicit\u00e9s Adform pourrait avoir \u00e9t\u00e9 cibl\u00e9e.<\/p>\n

Les pirates ne cherchaient pas \u00e0 installer de programmes malveillants. Au lieu de cela, ils ont ex\u00e9cut\u00e9 un script dans le navigateur de la victime qui v\u00e9rifiait le presse-papiers toutes les trois secondes et, s\u2019il d\u00e9tectait qu\u2019une adresse de portefeuille de cryptomonnaie avait \u00e9t\u00e9 copi\u00e9e, la rempla\u00e7ait par celle de leur propre portefeuille. Donc, si un utilisateur avait ouvert un site contenant cette publicit\u00e9 malveillante dans un onglet de son navigateur et effectuait une transaction de cryptomonnaie dans un autre onglet ou via une application d\u00e9di\u00e9e, les fonds auraient pu finir dans les poches des pirates \u00e0 la place. Les responsables d\u2019Adform ont d\u00e9tect\u00e9 l\u2019attaque et r\u00e9solu le probl\u00e8me, mais rien ne garantit qu\u2019un incident similaire ne se reproduira pas. C\u2019est pourquoi chaque utilisateur devrait se prot\u00e9ger contre les publicit\u00e9s malveillantes<\/a>. D\u00e9couvrez nos conseils \u00e0 la fin de cet article.<\/p>\n

Ce que l\u2019on sait de l\u2019attaque contre Adform<\/h2>\n

Il n\u2019y a pas beaucoup d\u2019informations disponibles, car le communiqu\u00e9 officiel de l\u2019entreprise<\/a> se contente d\u2019exposer ce qui s\u2019est pass\u00e9 et \u00e0 quel moment, sans aborder la cause profonde de l\u2019incident. Des recherches ind\u00e9pendantes<\/a> ont mis au jour des d\u00e9tails techniques sur la mani\u00e8re dont les utilisateurs ordinaires ont \u00e9t\u00e9 cibl\u00e9s, mais rien de tout cela n\u2019explique comment Adform a pu \u00eatre pirat\u00e9e au d\u00e9part.<\/p>\n

Ce qui est clair, c\u2019est que les pirates ont inject\u00e9 leur propre code dans le code JavaScript charg\u00e9 sur chaque site diffusant des annonces Adform. Chaque fois qu\u2019une annonce \u00e9tait sur le point de s\u2019afficher, le script se chargeait depuis le serveur d\u2019Adform, s\u00e9lectionnait la bonne annonce et l\u2019affichait, mais les pirates avaient ajout\u00e9 une s\u00e9rie de fonctions malveillantes\u00a0: surveiller le presse-papiers, renvoyer vers leur propre serveur des donn\u00e9es concernant le site sur lequel l\u2019annonce avait \u00e9t\u00e9 vue ainsi que l\u2019adresse IP de la victime, et remplacer les adresses de portefeuilles Bitcoin, Ethereum et Tron.<\/p>\n

Pour que cela fonctionne, il suffisait d\u2019ouvrir un onglet de navigateur contenant n\u2019importe quel site diffusant des annonces via Adform. Peu importait le type de site, l\u2019aspect de l\u2019annonce ou l\u2019identit\u00e9 de l\u2019annonceur. La seule chose qui comptait, c\u2019\u00e9tait de savoir si le site fonctionnait selon le protocole HTTP ou HTTPS. Selon Adform, l\u2019attaque n\u2019a pas pu \u00eatre men\u00e9e \u00e0 bien sur un site charg\u00e9 via le protocole HTTPS, car la connexion au serveur des pirates \u00e9tait bloqu\u00e9e dans ce cas pr\u00e9cis.<\/p>\n

L\u2019entreprise n\u2019a communiqu\u00e9 aucune information concernant le nombre d\u2019utilisateurs concern\u00e9s, ni le nombre de sites qui continuent de diffuser leur contenu et leurs publicit\u00e9s via le protocole HTTP.<\/p>\n

Les publicit\u00e9s malveillantes sont monnaie courante<\/h2>\n

Malheureusement, les publicit\u00e9s en ligne dangereuses sont devenues un probl\u00e8me g\u00e9n\u00e9ralis\u00e9. Et nous ne parlons pas seulement de promotions douteuses pour des compl\u00e9ments alimentaires ou de jeux d\u2019argent, mais bien de publicit\u00e9s qui diffusent des programmes malveillants ou redirigent vers des sites con\u00e7us pour voler des informations de paiement et d\u2019autres donn\u00e9es sensibles. Les pirates ont mis en place une infrastructure \u00e0 grande \u00e9chelle pour mener \u00e0 bien cette op\u00e9ration, et ils recourent \u00e0 plusieurs m\u00e9thodes diff\u00e9rentes.<\/p>\n