Comment la surveillance de masse liée à la publicité en ligne met les journalistes en danger

Introduction

Le journaliste Nicolas Baudoux n’a rien déboursé pour découvrir les déplacements d’un collègue du journal belge L’Echo. Ces informations de localisation lui ont été fournies gratuitement par un courtier en données basé aux États-Unis.

Ce courtier a transmis des données de géolocalisation provenant d’appareils mobiles et couvrant seulement deux semaines de l’année 2025 ; « mais même avec cela, nous pouvions identifier des personnes » au sein de l’échantillon, lequel regroupait environ « un million d’appareils et 100 millions de points de localisation », a expliqué M. Baudoux au CPJ.

Le journaliste allemand Ingo Dachwitz a découvert des informations le concernant dans un échantillon similaire de base de données en accès libre.

« J’ai été très stupéfait d’y voir certaines de mes données », a déclaré Ingo Dachwitz, journaliste pour netzpolitik.org, qui avait autorisé une application météo à suivre sa localisation. « En tant que journaliste couvrant ces questions depuis longtemps, et même en sachant qu’une application enregistrait mes déplacements, je trouve cela très inquiétant. »

Ces découvertes s’inscrivent dans le cadre d’enquêtes de grande envergure menées par plusieurs médias européens, offrant de rares indices sur la manière dont les données personnelles, collectées et vendues par des entreprises privées, peuvent servir à une surveillance ciblée, y compris à l’encontre de la presse.

Les journalistes font régulièrement l’objet de diverses formes de surveillances visant à les intimider ou à révéler leurs sources, ce qui engendre souvent des traumatismes psychologiques. Ces menaces se sont amplifiées avec l’architecture de surveillance de masse liée à la publicité en ligne et à l’économie des données personnelles, et ont été démultipliées par l’intelligence artificielle (IA).

« Un tel dispositif de surveillance est véritablement inédit ; il a été mis en place, sur le plan fonctionnel, au vu et au su de tous », a déclaré au CPJ Robert Flummerfelt, journaliste d’investigation et expert en sécurité numérique.

Les données personnelles des internautes — notamment leur localisation et d’autres informations intimes — sont constamment collectées et utilisées pour orienter les stratégies de publicité en ligne, au sein d’un marché dont la valeur avoisine désormais les 1 000 milliards de dollars. Souvent qualifié de « capitalisme de surveillance », cet écosystème mondial d’extraction, de marchandisation et d’utilisation des données est au cœur du modèle économique des plus grandes entreprises technologiques mondiales ; il s’intègre également de plus en plus aux tactiques des forces de l’ordre et aux opérations de renseignement gouvernementales.

Une étude de juin 2026 portant sur les législations en vigueur en Europe et aux États-Unis a mis en évidence d’« importantes lacunes et ambiguïtés juridiques » dans les cadres réglementaires « régissant l’ensemble du cycle de vie des données d’origine commerciale ». Elle a également soulevé des inquiétudes quant aux répercussions sur la liberté de la presse.

L’« écosystème de surveillance »

« Toutes ces données peuvent être transmises à des États qui ne cherchent pas à tirer profit de vous. Ils veulent contrôler les journalistes », a affirmé Robert Flummerfelt. « Ils veulent savoir qui les journalistes rencontrent, à qui ils parlent, qui sont leurs sources et sur quels sujets ils travaillent. »

Dans une série d’entretiens, des experts ont expliqué au CPJ comment les journalistes sont exposés à des risques, tant chez eux qu’en exil, du fait de cette architecture de surveillance de masse et de ceux qui l’exploitent, mettant en lumière plusieurs systèmes et acteurs interconnectés :

• Les kits de développement logiciel (SDK) et les applications qui collectent des données depuis les appareils ; 
• Les enchères en temps réel (RTB), où les données des utilisateurs sont partagées ; 
• Les géants de la technologie qui facilitent la publicité en ligne ; 
• Les courtiers en données qui vendent des informations sur les individus ; 
• Les entreprises spécialisées dans le renseignement publicitaire (ADINT) proposant des outils de surveillance ciblée ; et
• Les entreprises développant des logiciels espions diffusés via des publicités en ligne.

Comme les données sont souvent vendues et réutilisées après avoir quitté l’appareil, les experts ont également souligné la difficulté de confirmer si des journalistes ont été ciblés grâce à ces informations en lien avec leur travail. Néanmoins, la prise de conscience de ces dangers progresse.

En 2025, l’agence nationale française de cybersécurité a signalé des menaces de surveillance émanant de l’écosystème de la publicité en ligne et, fin mai 2026, des législateurs américains ont écrit au Pentagone pour exprimer leur inquiétude face à des informations selon lesquelles ses forces auraient été ciblées à l’aide de données disponibles dans le commerce.

D’éminents responsables des droits de l’homme tirent également la sonnette d’alarme.

« En concevant des architectures qui privilégient la collecte de données, les acteurs technologiques privés ont créé l’infrastructure même que les États exploitent désormais à des fins de surveillance », a écrit Gina Romero, rapporteuse spéciale des Nations unies sur la liberté de réunion pacifique et d’association, dans un rapport daté d’avril 2026.

Ce même mois, Mme Romero et quatre autres rapporteurs spéciaux de l’ONU ont averti conjointement que « les outils et méthodes de surveillance numérique ne peuvent être envisagés isolément, mais constituent des éléments d’un écosystème de surveillance complexe, interconnecté et qui s’auto-renforce ».

« Les systèmes d’IA intensifient les menaces et les activités de surveillance grâce à leur capacité à collecter et à analyser des volumes de données sans précédent », ont-ils déclaré.

Canaux de collecte : SDK et RTB

Les kits de développement logiciel (SDK) et les enchères en temps réel (RTB) constituent deux vecteurs majeurs de collecte discrète de données sur les individus.

Les SDK sont des segments de code qui aident les développeurs à créer des applications et peuvent faciliter l’intégration avec des systèmes de publicité en ligne. Des entreprises privées ont utilisé des SDK pour collecter des données de géolocalisation, lesquelles peuvent ensuite être vendues à des entités cherchant à suivre les déplacements de personnes.

« Nous avons facilement retrouvé la trace d’un journaliste du Washington Post », ont indiqué des journalistes du New York Times dans un article de 2019 analysant les SDK et les données de localisation provenant de plus de 12 millions de téléphones. « Les journalistes qui espèrent échapper à d’autres formes de surveillances en rencontrant une source en personne devraient peut-être reconsidérer cette pratique. »

Journalistes et chercheurs ont continué de mettre en lumière la manière dont les SDK permettent la collecte de données de localisation, tandis que les systèmes de suivi sont devenus de plus en plus interconnectés.

« Les développeurs [d’applications] et les SDK publicitaires ont également un intérêt financier à partager les données de localisation, car cela peut faire grimper les enchères pour les espaces publicitaires de l’application », ont écrit Lena Cohen et Bill Budington, experts en technologies à l’Electronic Frontier Foundation, dans un rapport publié en août 2026.

Le système RTB est une place de marché où s’opèrent des échanges quasi instantanés entre les vendeurs d’espaces publicitaires en ligne et les annonceurs cherchant à occuper ces espaces. Lors de cet échange — qui se déclenche lorsqu’un utilisateur ouvre un site web ou une application diffusant des publicités — un profil de données lié à l’appareil et à son ou ses utilisateurs est transmis sur la place de marché ; divers annonceurs enchérissent alors pour afficher leurs publicités auprès de cet utilisateur.

« Les informations initialement collectées et transmises lors de ces enchères peuvent inclure… le profil d’une personne indiquant sa localisation, ses affiliations politiques ou sa situation professionnelle ; autant d’éléments susceptibles d’être sensibles », a expliqué au CPJ Sara Geoghegan, conseillère juridique principale au sein de l’Electronic Privacy Information Center (EPIC), un groupe de recherche basé à Washington D.C. « Cela peut inclure des informations sur la santé ou l’état de santé mentale. Il peut s’agir d’éléments dont la divulgation pourrait causer un préjudice réel à la personne concernée. »

Les journalistes sont régulièrement la cible d’attaques visant leur réputation, ce qui peut avoir un effet dissuasif sur l’exercice de leur métier.

« La collecte de données issues du flux d’enchères (bidstream) et l’économie des données liées aux SDK… sont aujourd’hui bien réelles. Il n’est même pas nécessaire de remporter une enchère publicitaire pour collecter des données », a déclaré fin juin 2026 Arielle Garcia, directrice des opérations de Check My Ads, une organisation de surveillance de la publicité numérique. « Si vous souhaitez cibler un journaliste en particulier, c’est tout à fait possible. Il suffit de l’amener à cliquer sur un élément pour pouvoir continuer à suivre ses activités par la suite. »

Identifiants publicitaires et applications populaires : des portes ouvertes vers les données personnelles et le pistage

Les profils transmis depuis les téléphones vers les enchères RTB ne mentionnent généralement pas le nom de la personne concernée. Chaque profil est plutôt associé à un identifiant publicitaire mobile. Ces identifiants, généralement attribués par des entreprises technologiques et publicitaires, sont décrits par Google comme des « identifiants réinitialisables par l’utilisateur, permettant aux développeurs et aux spécialistes du marketing de suivre l’activité à des fins publicitaires », rendant ainsi possible l’association de données à « l’utilisateur à l’origine d’une impression ».

Toutefois, la Commission fédérale du commerce des États-Unis (FTC) a affirmé que les identifiants publicitaires « n’offrent aucun anonymat » et que l’intelligence artificielle facilite encore davantage l’association de données à des individus, accentuant ainsi les risques de pistage malveillant.

« Si vous êtes en mesure de vérifier l’identifiant publicitaire mobile d’un journaliste, vous disposez alors de capacités vraiment très puissantes », a déclaré au CPJ Wolfie Christl, chercheur principal au sein du Citizen Lab basé à l’Université de Toronto, qui étudie le secteur des données de consommation depuis plus de dix ans.

Des chercheurs de l’Université de Washington ont confirmé qu’il était possible de suivre la localisation d’appareils grâce au système RTB. En connaissant l’identifiant publicitaire d’une cible et les applications qu’elle utilise régulièrement, ils parvenaient à envoyer de manière fiable des publicités vers un appareil spécifique ; l’affichage de la publicité permettait alors de confirmer la localisation de l’appareil.

« Vous pouvez associer la publicité à l’identifiant et à un lieu précis », a expliqué au CPJ Paul Vines, l’un des chercheurs. « Ainsi, si l’appareil s’approche suffisamment de ce point et exécute une application susceptible d’afficher la publicité, celle-ci apparaîtra », confirmant ainsi la présence de la cible.

Bien que leur étude ait été publiée en 2017, Vines a indiqué au CPJ, fin 2025, que le secteur de la publicité continuait de manifester une « forte demande… pour un ciblage géographique très précis » et que les possibilités d’utiliser le système de la manière décrite dans leur étude n’avaient pas fondamentalement changé.

En 2023, le Conseil irlandais pour les libertés civiles (ICCL) a signalé le risque que des acteurs étatiques et non étatiques étrangers utilisent le RTB pour collecter des données sur des dirigeants et des responsables militaires américains et européens.

« Cela vaut tout autant pour les journalistes », a déclaré au CPJ Johnny Ryan, l’un des auteurs des rapports, ajoutant : « Tout le monde est une cible potentielle pour quelqu’un, et il est possible d’obtenir les données RTB les concernant. »

L’ICCL a cité un jeu de données de 2021 provenant de Xandr, une filiale publicitaire de Microsoft, qui répertoriait des segments d’individus selon des attributs spécifiques. Certains segments classaient les individus sous des intitulés tels que « uk_femalejournalists » (journalistes femmes au Royaume-Uni) ou « Journalists and News » (journalistes et actualités). Un autre segment identifiait les personnes s’intéressant au « Committee to Protect Journalists » (Comité pour la protection des journalistes).

« Vous pouvez utiliser ce type de segments pour le ciblage », a précisé Christl, co-auteur des rapports de l’ICCL. « Vous pouvez obtenir une liste de personnes classées dans une catégorie donnée — par exemple, celles qui s’intéressent à votre organisation ou autre — puis utiliser d’autres données pour affiner la sélection des individus en vue d’un suivi ou d’une interaction supplémentaire. »

Xandr a été intégré à Microsoft Advertising en 2025, alors que l’entreprise vantait une « nouvelle ère » de « plateformes publicitaires basées sur l’IA rendant la publicité personnalisée simple ».

En réponse à des questions envoyées par courriel en juin 2026 au contact presse de Microsoft, un chargé de compte de l’agence de relations publiques We. Communications a indiqué qu’il fournirait des réponses, sans toutefois le faire. Début août 2026, la politique de confidentialité de Microsoft précisait que les utilisateurs « peuvent refuser le partage de données avec des tiers à des fins de publicité personnalisée ».

En janvier 2025, l’ICCL et l’EPIC ont déposé une plainte auprès de la FTC concernant le système RTB de Google. La plainte alléguait que le géant de la technologie ne respectait pas la loi PADFAA (loi sur la protection des données des Américains contre les adversaires étrangers) ni l’article 5 de la loi sur la FTC, qui interdit les actes et pratiques déloyaux ou trompeurs. Elle citait des cas où des données issues du RTB avaient été transmises à des entités en Chine et en Russie.

La FTC n’a pas répondu aux questions envoyées par courriel fin juin, et Geoghegan a indiqué début août 2026 qu’il n’y avait eu aucune avancée significative concernant la plainte. Toutefois, l’agence a pris des mesures ces dernières années pour encadrer le secteur des données de géolocalisation.

Les questions envoyées par courriel en juin 2026 au contact presse de Google ont reçu ce qui semblait être un accusé de réception automatique, mais aucune suite n’a été donnée.

Réagissant aux articles traitant des rapports de l’ICCL et de la plainte auprès de la FTC, Google a affirmé appliquer « les restrictions les plus strictes du secteur concernant les types de données partagées dans le cadre des enchères en temps réel » et a nié tout agissement fautif. Plus tôt dans l’année, à la suite d’un accord amiable dans le cadre d’un recours collectif concernant le partage de données d’utilisateurs avec des centaines de tiers, Google a commencé à proposer une option censée limiter les informations partagées via les enchères RTB. Cette option n’est pas activée par défaut.

« L’une des raisons pour lesquelles ce système [RTB] est si néfaste ne tient pas seulement au fait que la diffusion d’informations personnelles auprès de nombreuses entités non réglementées — qui ne contrôlent pas la destination finale de ces données — constitue une atteinte intrinsèque à la vie privée. L’étape suivante est l’achat de ces informations par d’autres entreprises », a expliqué Geoghegan, décrivant comment les sociétés peuvent réutiliser les données qu’elles reçoivent. « N’importe quel acteur malveillant ou régime autoritaire peut acheter des informations auprès de courtiers pour un coût relativement faible. »

Joseph Cox, cofondateur de 404 Media et spécialiste de ces questions depuis des années, a confirmé que ces informations pouvaient servir à suivre des journalistes et à révéler l’identité de leurs interlocuteurs. Il a toutefois précisé que les données achetées sont parfois de « piètre qualité » et nécessitent un « nettoyage » pour devenir exploitables.

« Il est difficile de mesurer précisément l’ampleur de la menace que cela représente pour vous, en tant que journaliste », a déclaré Cox au CPJ, tout en soulignant l’importance de prendre des précautions, comme limiter les autorisations de géolocalisation et faire preuve de vigilance quant aux applications téléchargées.

En 2025, 404 Media a révélé la collecte de données de géolocalisation issues du système RTB et associées à des applications populaires du monde entier, telles que Candy Crush, Tinder, Grindr, Temple Run, My Period Calendar & Tracker ainsi que diverses applications d’actualités. Selon le rapport, le fonctionnement du système RTB faisait que les développeurs de ces applications ignoraient peut-être que ces données étaient collectées.

Cependant, les éditeurs d’applications ont également tout intérêt, sur le plan financier, à récupérer directement les données de leurs utilisateurs.

« Grâce aux autorisations privilégiées dont elles disposent sur l’appareil, les applications peuvent collecter des données en toute impunité », a expliqué au CPJ Mike Yeagley, un prestataire de services pour l’armée américaine ayant participé à des opérations de surveillance basées sur des données de publicité ciblée et s’étant exprimé sur les risques associés. « Chaque application sur votre téléphone a intérêt à monétiser l’utilisateur. Elles ont développé les capacités nécessaires pour le faire. C’est inhérent à leur modèle économique, et elles ne sous-traitent pas cette activité à des tiers. »

Yeagley a souligné que, bien que les entreprises technologiques proposent aux utilisateurs des options pour limiter le suivi via le GPS et les identifiants publicitaires (notamment les fonctionnalités utiles d’Apple permettant de désactiver certaines autorisations), les applications continuent de collecter des données révélatrices, y compris des informations de localisation.

« Les annonceurs… ils ont entendu les critiques concernant la vie privée et ont simplement cherché à s’immiscer plus profondément dans l’appareil », a déclaré Yeagley. 

Courtiers en données et entreprises d’ADINT

Après s’être exilée à Berlin, la journaliste égyptienne Basma Mostafa a fait l’objet de filatures et de menaces. Un jeu de données disponible dans le commerce, obtenu sous forme d’échantillon gratuit et évoqué par des médias allemands en avril 2026, révélait ses habitudes de vie, notamment son domicile et les autres lieux qu’elle fréquentait. Elle craignait que les autorités égyptiennes n’aient utilisé ces données pour la suivre.

L’ambassade d’Égypte à Berlin n’a pas répondu aux questions que le CPJ lui a adressées par courriel fin juin.

« Nous assistons à une prolifération massive de courtiers en données », a déclaré au CPJ Iesha White, directrice du renseignement chez Check My Ads, décrivant un secteur d’entreprises qui tirent profit de la collecte et de la vente de données recueillies via « une application d’apparence anodine » ou « votre site web favori » diffusant des publicités en ligne.

Face à la profusion de données personnelles accessibles via diverses sources, des entreprises spécialisées dans le renseignement publicitaire (ADINT) ont vu le jour, proposant des outils sur mesure pour faciliter la surveillance ciblée.

En 2025, le journaliste du média Le Monde Martin Untersinger a révélé l’existence de plus d’une douzaine d’entreprises exploitant ainsi les données publicitaires pour offrir divers services, tels que le suivi d’appareils en temps quasi réel ou la consultation de leur historique de localisation, remontant parfois à plusieurs années.

« L’existence même de ce secteur ajoute une couche de danger supplémentaire ou offre aux forces de police un nouveau moyen de s’en prendre aux journalistes », a déclaré M. Untersinger au CPJ. « Avec le renseignement publicitaire, l’accès est souvent possible à l’échelle mondiale. Par conséquent… n’importe quel journaliste peut être pris pour cible. »

Basée dans le Nebraska aux États-Unis, la société Penlink commercialise un produit baptisé Webloc, décrit comme un « système mondial de surveillance par géolocalisation » capable de suivre « des centaines de millions de personnes à partir de données achetées auprès d’applications grand public et de réseaux de publicité numérique », selon une enquête publiée en avril par Citizen Lab.

Dans un courriel adressé à Citizen Lab, Penlink a contesté ces conclusions, tout en précisant que Webloc intègre des données de localisation « liées aux identifiants des appareils » et qu’il obtient ces informations « auprès de fournisseurs recueillant le consentement des utilisateurs pour le partage de données de localisation via des SDK ».

Les recherches de Citizen Lab suggèrent par ailleurs que l’entreprise pourrait obtenir des données issues de sources RTB et révèlent que la clientèle de Webloc a inclus les services de renseignement hongrois, la police du Salvador, ainsi que des agences militaires et des forces de l’ordre américaines. L’enquête a également mis en évidence des indices suggérant que Webloc a été utilisé pour surveiller des personnes en Allemagne, en Autriche, en Italie, en Roumanie, aux Émirats arabes unis, en Israël, à Singapour et en Russie.

En rendant compte de ces contrats dans leurs pays respectifs — où la surveillance passée de journalistes est largement documentée — le journaliste hongrois Szabolcs Panyi du média VSquare et le site d’investigation salvadorien El Faro ont souligné comment Webloc pouvait être utilisé contre la presse. Cobwebs Technologies, le développeur initial de Webloc (racheté par Penlink en 2023), avait également cité un journaliste américain comme cible potentielle dans des supports de formation datant de 2020 pour un produit de surveillance connexe appelé Tangles. Dans son courriel à Citizen Lab, Penlink a présenté Webloc comme un « module de Tangles ». 

En réponse à des questions envoyées par courriel, Penlink a déclaré au CPJ, dans un communiqué daté de juillet 2026, disposer de « mesures de protection visant à réduire la probabilité que nos technologies soient utilisées d’une manière incompatible avec les cadres juridiques, réglementaires ou éthiques en vigueur » ; ces mesures incluent notamment « la vérification des clients potentiels hors des États-Unis et le refus de collaborer avec des pays ou des organisations ayant des antécédents de mépris pour les libertés civiles ».

« Notre contrat de licence interdit l’utilisation des produits Penlink, notamment Tangles et Webloc, pour porter atteinte aux droits humains reconnus à l’échelle internationale. Le ciblage de journalistes est considéré comme une violation grave des droits humains, tant au regard du droit international humanitaire (DIH) que du droit international des droits de l’homme (DIDH) », a affirmé Penlink. L’entreprise a également rappelé qu’elle obtenait des données de géolocalisation auprès de « fournisseurs recueillant le consentement des utilisateurs » pour leur partage via des kits de développement logiciel (SDK) et qu’elle « excluait les lieux sensibles », sans toutefois répondre directement à la question concernant l’utilisation de données issues du RTB par ses produits.

Jack Poulson, le journaliste qui a révélé l’existence des supports de formation de Cobwebs et qui traite des questions de sécurité, a expliqué au CPJ que les gouvernements et les entreprises disposent de diverses options pour surveiller les membres de la presse ainsi que les personnes qu’ils rencontrent.

« J’avais une source au sein de l’une de ces entreprises — je ne dirai pas laquelle — que j’ai rencontrée en personne », a raconté Poulson. « Lorsque cette source a réalisé que, si nos téléphones figuraient tous deux dans le jeu de données, [l’entreprise] pourrait probablement déduire que nous communiquions, elle a été prise d’une véritable crise de panique et a refusé de continuer à me parler. »

Les experts ont systématiquement souligné l’« opacité » comme une caractéristique majeure de ce secteur, ainsi que le fait que son ampleur et ses capacités restent largement méconnues.

« Nous ignorons combien d’entreprises opèrent de la sorte et exploitent les données publicitaires pour assurer un suivi », a déclaré au CPJ Jurre van Bergen, un spécialiste des technologies ayant collaboré avec le Security Lab d’Amnesty International, tout en insistant sur la difficulté de confirmer les cas de ciblage. « Cela ne laisse aucune trace sur le téléphone, contrairement à un logiciel espion classique. »

Logiciels espions diffusés via la publicité

Ces dernières années, des enquêtes menées notamment par Haaretz, Amnesty International et le groupe Threat Intelligence de Google ont mis en évidence l’émergence de logiciels espions diffusés par le biais de la publicité en ligne.

Dans une interview accordée en novembre 2025, Omer Benjakob — journaliste à l’origine de ces révélations pour Haaretz — a expliqué les étapes clés de ce mode de diffusion : l’attaquant commence par désanonymiser l’identifiant publicitaire associé à l’appareil de la cible. Il repère ensuite cette personne sur le marché de la publicité en ligne et calibre sa publicité pour garantir qu’elle sera bien diffusée sur cet appareil. Enfin, il déploie la publicité infectée de manière à ce qu’elle s’affiche lorsque la cible ouvre un navigateur ou une application.

« On appelle cela le “half-click” [demi-clic]… il faut déclencher l’affichage d’une publicité », a expliqué Benjakob au CPJ, distinguant ce processus d’attaque des infections en un clic (nécessitant de cliquer sur un lien malveillant) ou des infections « zéro clic » (exploitant des failles logicielles pour infecter l’appareil sans aucune action de la part de la cible).

« Nous utilisons des termes comme “publicités ciblées” et je trouve assez révélateur que l’on emploie un terme militaire pour décrire la diffusion de publicités », a déclaré Benjakob. « Vous êtes visé par des publicités de la même manière que vous êtes visé par un drone. »

Le logiciel espion commercialisé par Intellexa — l’une des entreprises qui développerait ce mécanisme de diffusion — peut offrir un accès quasi total à l’appareil visé et a déjà été utilisé contre des journalistes. Ce produit d’Intellexa, qui utilise la publicité comme vecteur d’infection, est baptisé Aladdin ; selon le journal Haaretz, des produits similaires ont été mis au point par au moins deux autres entreprises israéliennes.

Tal Dilian, le fondateur d’Intellexa, n’a pas répondu à la demande de commentaire envoyée par e-mail par le CPJ.

Van Bergen, qui a contribué à révéler l’existence d’Aladdin, a expliqué au CPJ que ce mode de diffusion semble reposer sur du code JavaScript intégré à la publicité ciblée. Lorsque la publicité s’affiche sur l’appareil, une redirection se produit : l’appareil est connecté à une infrastructure contrôlée par l’opérateur du logiciel espion, ce qui permet ensuite d’activer l’infection.

Benjakob et van Bergen ont indiqué que l’émergence de ce ciblage publicitaire faisait suite au renforcement des mesures de sécurité chez les principaux fabricants de smartphones (comme Apple et Google pour Android) ainsi qu’à la hausse du coût des failles logicielles, incitant les vendeurs de logiciels espions à rechercher des solutions moins onéreuses. Toutefois, tous deux ont précisé qu’aucun cas avéré d’infection par ce type de logiciel espion diffusé via la publicité n’avait encore été rendu public.

« Les risques d’abus pour les journalistes sont considérables, car nous sommes également présents en ligne : nous voyons des publicités en tant que consommateurs et nous évoluons dans des espaces où la publicité est omniprésente », a déclaré Benjakob au CPJ, exprimant sa crainte qu’une personne puisse être infectée en consultant une publicité affichée à côté de l’un de ses articles ou de tout autre contenu journalistique.

Yeagley a indiqué au CPJ qu’il jugeait « peu probable » l’infection par logiciel espion via la simple visualisation d’une publicité ; il a toutefois souligné que des données disponibles dans le commerce pourraient aisément servir à cerner une cible, puis à la piéger pour qu’elle clique sur un lien, entraînant ainsi l’infection de son appareil. 

Des risques reconnus

« Le fait d’être suivi grâce aux données commerciales n’est pas une préoccupation abstraite pour les journalistes », a écrit Byron Tau, journaliste basé à Washington, dans son ouvrage de 2024 consacré à la manière dont l’accès aux données commerciales a renforcé les capacités de surveillance aux États-Unis.

« Une tentative a été faite pour surveiller un journaliste accrédité à la Maison-Blanche qui avait obtenu des informations non classifiées, mais embarrassantes, sur le président Trump durant son premier mandat. Je ne sais pas s’ils y sont parvenus, mais je me suis entretenu directement avec la personne à qui l’on a demandé de le faire », a déclaré Tau au CPJ. « Il n’est pas difficile d’imaginer que des sociétés de sécurité d’entreprise et des détectives privés recherchent des traces de journalistes dans ces ensembles de données et tentent d’identifier leurs sources. »

Par ailleurs, le CPJ a contacté cette même personne, qui a confirmé — sous couvert d’anonymat — qu’on lui avait demandé de surveiller un journaliste basé aux États-Unis, demande qu’elle avait refusée.

« Je me suis dit : “Je ne touche pas à cette putain de demande. Peu m’importe qu’on la présente comme une question de sécurité nationale ou qu’on invoque la présidence. Je m’en fiche. Je ne le ferai pas” », a raconté la personne, sans révéler l’identité du commanditaire.

Lors d’une audition en mars 2026, le sénateur américain Ron Wyden a souligné que l’achat de données de géolocalisation d’Américains sans mandat judiciaire était « particulièrement dangereux compte tenu de l’utilisation de l’intelligence artificielle pour passer au crible des quantités massives d’informations privées », et a appelé le Congrès à adopter la loi sur la réforme de la surveillance gouvernementale (Government Surveillance Reform Act).

Un autre projet de loi soumis au Congrès, le Fourth Amendment Is Not For Sale Act (Le quatrième amendement n’est pas à vendre), interdirait au gouvernement d’acheter des données — notamment des informations de géolocalisation et des historiques d’activité en ligne — dont l’obtention nécessiterait normalement un mandat.

« À l’ère du capitalisme de surveillance, il existe une convergence d’intérêts entre le secteur privé et les États concernant la collecte et l’analyse à grande échelle de données personnelles », a écrit Pedro Vaca Villarreal, rapporteur spécial pour la liberté d’expression de la Commission interaméricaine des droits de l’homme, dans un rapport publié fin 2025. Il a également exprimé ses inquiétudes quant aux entreprises commercialisant « une combinaison d’injection de logiciels espions et de données issues de la publicité ciblée (AdInt) ».

« Une vérité qui dérange »

Les entreprises médiatiques qui dépendent de la publicité en ligne pour générer des revenus impliquent probablement leur audience dans des échanges de publicité en temps réel (RTB) ; une situation que Sebastian Meineck, rédacteur en chef de netzpolitik.org, a qualifiée de « vérité qui dérange » pour les journalistes soucieux de protéger leur vie privée.

« L’application de leur propre groupe de presse peut faire partie de cet écosystème dangereux », a déclaré Meineck au CPJ. « Les entreprises de médias font partie du problème tant qu’elles y participent. »

Bien que des journalistes et des chercheurs aient également trouvé un intérêt aux données disponibles dans le commerce pour leurs reportages, Flummerfelt a insisté sur le fait que ces usages ne justifient pas l’existence de cet écosystème.

« La surveillance de masse met tout le monde en danger, et pas seulement les journalistes, de tant de manières qu’il est difficile d’en exagérer la gravité », a-t-il affirmé. « Les aspects positifs qui en découlent indirectement, aussi surprenants soient-ils, ne constituent pas une raison de maintenir ce système. »

Credits

Jonathan Rozen est directeur adjoint de la recherche et de l’analyse au CPJ. Il est également conseiller externe principal auprès de l’International Justice Clinic de la faculté de droit de l’Université de Californie à Irvine (UCI Law) et a été boursier « Technologie et droits humains » (Technology and Human Rights Fellow) pour la période 2025-2026 à la Harvard Kennedy School.

---

Image à la une : AFP/Andrew Caballero-Reynolds