Surveillance par les données publicitaires : une menace réelle pour les entreprises
Les données publicitaires que collectent les applications mobiles et les sites web ne servent plus uniquement à cibler des annonces. Selon une enquête publiée par le Citizen Lab, l’outil Webloc a permis à des forces de l’ordre de suivre plus de 500 millions d’appareils à travers le monde en exploitant les données issues de l’écosystème publicitaire numérique. Cette révélation soulève des questions fondamentales pour la sécurité des entreprises et la protection de la vie privée.
Comment fonctionne le tracking par données publicitaires
Chaque fois qu’une application affiche une publicité, elle transmet un identifiant publicitaire unique (IDFA sur iOS, GAID sur Android) ainsi que des métadonnées précises : localisation GPS, horodatage, type d’appareil et adresse IP. Ces données transitent par des plateformes d’enchères en temps réel (RTB — Real-Time Bidding) où des milliers d’acteurs peuvent les intercepter.
L’outil Webloc agrège ces flux de données publicitaires pour reconstituer les déplacements d’individus ciblés. Contrairement aux techniques d’interception traditionnelles qui nécessitent une autorisation judiciaire, l’accès aux données RTB exploite une zone grise juridique : ces informations sont techniquement « publiques » dans l’écosystème publicitaire.
Les données exploitées par Webloc
- Identifiants publicitaires — permettent de suivre un appareil à travers différentes applications
- Géolocalisation précise — latitude et longitude avec une précision de quelques mètres
- Historique de navigation — sites visités et fréquence de consultation
- Métadonnées d’appareil — modèle, OS, opérateur, langue configurée
Pourquoi les entreprises doivent s’inquiéter
Cette surveillance par données publicitaires ne cible pas uniquement des suspects criminels. Elle représente un risque majeur pour les organisations :
- Espionnage industriel — des concurrents ou des États peuvent suivre les déplacements de dirigeants et d’employés clés pour cartographier des partenariats ou des négociations secrètes
- Ingénierie sociale avancée — connaître les habitudes de déplacement d’une cible facilite considérablement les attaques de phishing ciblé et de compromission de comptes dirigeants
- Fuite de données sensibles — les applications installées sur les téléphones professionnels transmettent ces données sans que l’entreprise n’en soit consciente
- Conformité RGPD — l’exploitation de ces données par des tiers non autorisés expose l’entreprise à des risques réglementaires
L’ampleur du problème
Le rapport du Citizen Lab révèle que 500 millions d’appareils sont potentiellement traçables via cette méthode. Cela signifie qu’un smartphone professionnel sur lequel est installée une simple application météo ou un jeu gratuit peut devenir un mouchard involontaire. Les données collectées permettent de reconstituer un profil complet : domicile, lieu de travail, rendez-vous, trajets quotidiens.
Comment protéger votre organisation
Face à cette menace, plusieurs mesures concrètes permettent de réduire l’exposition aux données publicitaires exploitables :
- Désactiver les identifiants publicitaires — sur iOS, activer « Suivi des apps : Demander » ; sur Android, supprimer l’identifiant publicitaire dans les paramètres de confidentialité
- Déployer un MDM restrictif — limiter les applications autorisées sur les terminaux professionnels et bloquer celles qui transmettent des données RTB excessives
- Utiliser un DNS filtrant — bloquer les domaines de tracking publicitaire au niveau réseau (via Pi-hole, NextDNS ou un pare-feu d’entreprise)
- Former les collaborateurs — sensibiliser aux risques liés aux applications gratuites qui monétisent les données de localisation
- Auditer les flux réseau — surveiller les connexions sortantes des appareils mobiles vers les réseaux publicitaires connus
- Séparer les usages — imposer un cloisonnement strict entre les données professionnelles et personnelles sur les appareils
Ce que cela révèle sur l’avenir de la surveillance
L’affaire Webloc illustre une tendance de fond : la convergence entre l’écosystème publicitaire et les capacités de surveillance étatique. Les entreprises de la tech ont bâti une infrastructure de collecte de données d’une puissance inédite, et cette infrastructure est désormais exploitée bien au-delà de son usage initial.
Pour les équipes de cybersécurité, cela signifie qu’il ne suffit plus de protéger les réseaux et les endpoints. Il faut désormais considérer chaque application mobile comme un vecteur potentiel de fuite d’informations, et intégrer la protection des données publicitaires dans la stratégie globale de sécurité de l’organisation.