Malvertising : quand la publicité est elle-même le problème
La plupart des publicités sont pénibles. Une petite partie est dangereuse, et cette partie porte un nom : le malvertising, de « malicious advertising ».
L'astuce, c'est que personne n'a besoin de visiter un site douteux. Les publicités sont diffusées par des régies intégrées à des milliers de sites à la fois — y compris des sites sérieux. Acheter un espace publicitaire, c'est acheter de la place, pas de la confiance. Si quelqu'un parvient à faire passer une annonce malveillante à travers le contrôle d'une régie, elle s'affiche sur des sites qui n'ont rien fait de mal.
Ce qui en découle prend le plus souvent l'une de trois formes.
La première est la fausse injonction. Une fenêtre apparaît et affirme que le navigateur est obsolète, qu'un module manque, que l'ordinateur est infecté. Le bouton en dessous ne télécharge pas une mise à jour, mais un programme. Cela fonctionne non pas parce que les gens seraient crédules, mais parce que le message se trouve exactement là où se trouvent les vrais messages.
La deuxième est la redirection. Un clic quelque part sur la page — ou aucun — ouvre une nouvelle fenêtre avec une adresse qui ressemble à celle d'une marque connue. De là, cela continue, souvent en plusieurs étapes, pour que le chemin soit difficile à remonter.
La troisième est la discrète : l'annonce charge du code qui cherche une faille dans le navigateur. S'il n'en trouve aucune, rien ne se passe et personne ne remarque rien. S'il en trouve une, l'utilisateur n'a cliqué sur rien.
Un bloqueur de publicité agit à un seul endroit, et il ne faut pas le faire passer pour plus : il empêche l'annonce d'être chargée. Ce qui n'est pas chargé ne peut ouvrir aucune fenêtre, ne redirige nulle part et ne cherche aucune faille. C'est efficace parce que cela intervient tôt — mais ce n'est pas un antivirus. Un bloqueur n'examine aucun fichier, ne reconnaît aucun logiciel malveillant, et ne fait plus rien dès que quelque chose a été téléchargé.
Le second endroit où l'on peut agir, c'est l'adresse. Celui qui arrive sur une page imitant une page connue ne voit souvent pas la différence — rien ne distingue à l'œil un « a » latin d'un « a » cyrillique. Un avertissement avant que quoi que ce soit ne soit saisi vaut là plus que n'importe quelle explication après coup.
À eux deux, ils ne couvrent pas tout. Ils couvrent le chemin que le malvertising emprunte le plus souvent — et ce chemin commence presque toujours par une annonce qui se charge.