De l’économie de l’attention à l’économie du ciblage humain
Ce qui fait basculer la publicité numérique moderne dans le champ du renseignement n’est pas une dérive morale, mais une propriété structurelle de son architecture technique. La publicité programmatique a été conçue pour optimiser une fonction simple : identifier la « bonne personne » au « bon moment » pour lui pousser le « bon message », en agrégeant le maximum de signaux disponibles sur un individu et son environnement.
Pour cela, l’écosystème adtech a multiplié les capteurs : SDK d’applications qui collectent la géolocalisation fine, identifiants publicitaires persistants, empreintes de terminaux, historiques de navigation, données de contexte (réseaux Wi-Fi, horaires, fréquence de passage, etc.). Le tout est injecté dans des flux d’enchères en temps réel (RTB) où des plateformes automatisées évaluent en quelques millisecondes la « valeur » du fait d’afficher une bannière sur un écran donné à un instant donné.
Voir mon article précédent : Fondement technico-économique de la publicité numérique moderne
Ce flux massif est ensuite capté, transformé et revendu par une galaxie d’intermédiaires : régies, agrégateurs, plateformes de gestion de données (DMP), puis data-brokers qui restructurent ces signaux en « segments » et « audiences ». Ce sont ces mêmes flux, conçus pour optimiser des taux de clics et des ventes, qui, une fois extraits de leur finalité marketing, deviennent une matière brute de ciblage humain d’une précision rarement atteinte par les moyens traditionnels de renseignement.
Comment l’Adint transforme la pub en capteur de terrain
L’Advertising Intelligence (Adint) consiste à faire du renseignement avec la couche publicitaire comme capteur, sans avoir à déployer de mouchards spécifiques sur les terminaux ciblés. Techniquement, un prestataire d’Adint n’a pas besoin de « hacker » un téléphone : il lui suffit d’acheter l’accès à des flux de données que l’industrie publicitaire met déjà en circulation.
Dans un scénario typique, le prestataire :
- acquiert auprès de data-brokers ou de places de marché des flux contenant des identifiants publicitaires mobiles (MAID, IDFA, GAID, etc.), associés à des coordonnées géographiques, des horodatages et un minimum de métadonnées ;
- corrèle ces flux sur la durée pour reconstruire des trajectoires : lieux de vie, de travail, itinéraires, habitudes, points de passage fréquents ;
- applique des filtres géographiques : par exemple, tous les terminaux ayant été observés dans un périmètre de base militaire, d’ambassade, de ministère, de centre de recherche stratégique, ou d’un lieu de culte ou de réunion politique ;
- construit des « watchlists » d’appareils, susceptibles d’appartenir à des cibles d’intérêt (agents de renseignement, diplomates, officiers, opposants politiques, journalistes, activistes).
Une fois ces appareils identifiés, la puissance de l’Adint vient du fait qu’ils continuent d’alimenter, jour après jour, les flux publicitaires partout où ils se déplacent. Sans aucun mandat de perquisition, sans réquisition d’opérateur télécom, un service acheteur peut potentiellement suivre :
- les déplacements quotidiens de personnels sensibles ;
- leurs visites dans des lieux jugés compromettants (rencontres avec des sources, participation à des réunions politiques, contacts avec des ONG, consultations dans des cliniques spécialisées, etc.) ;
- les « grappes » de personnes qui se retrouvent régulièrement dans un même périmètre restreint, révélant des réseaux, des cellules, des réunions clandestines.
Ce mécanisme n’est pas circonscrit aux États qui respectent une chaîne de responsabilité démocratique. Un même prestataire peut vendre un accès à ces capacités à un service européen encadré par la loi, et à un service de sécurité intérieure d’un régime autoritaire, sans différence technique et avec des contrôles de fond quasi inexistants.
Le rôle charnière des data-brokers : une compromission systémique
Les data-brokers sont le point de compromission central, car ils opèrent à l’endroit exact où la donnée change de statut : elle n’est plus un flux brut de la chaîne publicitaire, mais devient une ressource structurée, interrogeable, prête à l’emploi pour des usages tiers.
Leur modèle repose sur quelques caractéristiques problématiques :
Accumulation temporelle : là où la régie publicitaire ne « voit » qu’une impression isolée, le data-broker historise des millions d’événements, sur des durées longues. À partir de six mois, un an, voire plus, il est possible de reconstituer l’historique complet des déplacements d’un appareil.
Enrichissement croisé : un même identifiant publicitaire est corrélé à d’autres sources (données de navigation, achats, informations de géolocalisation issues d’autres SDK, bases d’e-mails hachés, etc.). Un terminal devient un profil, et ce profil devient parfois une identité, même si elle reste pseudonymisée dans les contrats.
Opacité contractuelle : les conditions d’accès varient, mais restent généralement centrées sur des clauses d’usage « marketing » ou « analytique ». Dans les faits, rien n’empêche un service de renseignement d’opérer derrière une couverture commerciale (société écran, prestataire local, intégrateur) pour acquérir des jeux de données parfaitement standardisés.
Globalité du périmètre : ces brokers n’achètent pas des données « nationales » mais des flux mondiaux, à la maille de grandes plateformes ou de places de marché internationales. Dès lors qu’un téléphone a été exposé, ne serait-ce qu’une fois, à une campagne utilisant leurs partenaires, il se retrouve dans leurs bases, quel que soit le pays où il se trouve.
Pour un État acheteur, cette configuration est idéale :
- aucune dépendance directe à un opérateur mobile ou à un équipementier télécom, donc moins de frictions diplomatiques ;
- aucun investissement dans des capacités de collecte lourdes sur le terrain ;
- possibilité de croiser ces données adtech avec ses propres bases (fichiers de passagers, bases administratives, interceptions légales) pour dé-anonymiser davantage.
Pour un État cible, en revanche, c’est un cauchemar : les trajets et habitudes des personnels sensibles, des élus, des cadres d’administration ou des acteurs de la société civile se retrouvent dans des bases auxquelles des services hostiles peuvent accéder par simple achat, parfois à travers plusieurs intermédiaires.
États clients, États cibles : la vulnérabilité importée
Lorsque des services occidentaux sous-traitent ou achètent des capacités d’Adint à des sociétés étrangères, ils importent en réalité une vulnérabilité. Le prestataire extérieur :
- voit passer des requêtes, des périmètres géographiques ciblés, des paramètres de recherche qui décrivent implicitement les zones, infrastructures et profils considérés comme stratégiques ;
- peut déduire des priorités opérationnelles, des schémas de déploiement, des corrélations entre événements ;
- garde, en pratique, une maîtrise technique sur les pipelines de données et les modèles utilisés, même si le client dispose d’une interface ou d’une instance « dédiée ».
Dans le cas où ces prestataires sont situés dans des pays dont les services de sécurité jouissent d’un accès légal ou informel à l’infrastructure des entreprises nationales, l’Adint devient un enjeu de souveraineté. Le risque n’est plus seulement que des données de citoyens soient exploitées par un partenaire tiers, mais que des services étrangers puissent cartographier la surface opérationnelle d’autres États (« qui se rend où, quand, avec qui ») en observant leurs propres usages d’Adint.
À l’autre bout du spectre, des États peu préoccupés par le respect des droits fondamentaux peuvent utiliser ces mêmes services pour cibler :
- opposants politiques et militants de la diaspora, suivis dans leur pays d’accueil par simple observation de leurs terminaux ;
- journalistes et ONG présents sur leur territoire ou dans des zones de conflit, repérés par leur passage dans certaines zones ;
- minorités religieuses ou ethniques, identifiées par la fréquentation de lieux de culte, d’associations, de quartiers spécifiques.
Dans ces configurations, la chaîne adtech, à l’origine « neutre », devient un dispositif de surveillance de masse ciblable à volonté, sans contrôle judiciaire local ni international. La notion de consentement du citoyen n’a plus aucune pertinence : le terminal a « consenti » à partager la localisation pour un service météo ou un jeu, mais l’information est ensuite passée dans des mains qui ne répondent devant aucun juge indépendant.
Implications opérationnelles pour DSI, RSSI et responsables publics
Pour un DSI d’administration, un RSSI ministériel ou un responsable de la sécurité des systèmes d’information d’un opérateur d’importance vitale, l’Adint et la compromission des data-brokers imposent de reconsidérer la politique mobile et la gestion du parc applicatif. Les smartphones des agents, élus, magistrats, policiers, militaires ne sont plus seulement des terminaux à « sécuriser » contre le malware : ce sont des balises publicitaires ambulantes.
Quelques conséquences immédiates :
-
Le risque principal n’est pas l’attaque, mais la fuite structurelle
Même sans infection, un téléphone émet en continu des signaux de géolocalisation via la couche publicitaire. Les sanctions RGPD et les politiques de confidentialité ne suffisent pas à endiguer le phénomène, car l’essentiel de la fuite se situe en dehors de la relation bilatérale fournisseur–utilisateur. -
Les applications « anodines » deviennent des capteurs
Les jeux gratuits, applications météo, VPN douteux, outils de lampe torche ou d’optimisation de batterie sont souvent saturés de SDK publicitaires. Ce sont eux qui transmettent l’essentiel des signaux exploités par l’Adint. Une charte d’usage qui se concentre sur les « applications professionnelles » sans traiter le reste du parc laisse un trou béant. -
La séparation pro / perso est insuffisante si elle n’est pas étanche
Le BYOD ou les terminaux à double usage exposent les trajets et habitudes privées d’agents sensibles aux mêmes chaînes publicitaires. Un agent qui rentre chez lui avec son téléphone de service et son téléphone personnel « bavard » permet à un acteur d’Adint de recouper les deux profils en observant leurs co‑localisations systématiques. -
Les données publiques de mobilité peuvent être corrélées
Cartes d’accès, logs de connexion, traces de déplacements en véhicule de service peuvent être recoupés par un adversaire avec ce qu’il observe via Adint, renforçant sa capacité à attribuer un identifiant publicitaire à une identité réelle.
Axes d’action pragmatiques pour limiter l’exposition
Sur ce terrain, le discours purement réglementaire ne suffit pas : les mécanismes de sanction arriveront toujours trop tard par rapport à l’innovation des prestataires et aux usages des services étrangers. Pour un décideur, il s’agit d’abord de réduire la surface d’attaque en amont, puis de travailler, en parallèle, sur des leviers de politique publique plus structurels.
Sur le plan technique et organisationnel :
Politique applicative restrictive sur les terminaux sensibles
Les terminaux de service des personnels exposés (renseignement, diplomatie, hauts fonctionnaires, magistrats, police, armée, régulateurs stratégiques) doivent être réputés « zone interdite » pour tout SDK publicitaire. Cela implique un choix drastique d’applications autorisées, une vérification systématique de la présence de SDK publicitaires et analytiques, et un bannissement des stores grand public pour ces terminaux.
Équipements compartimentés et durcis
Les profils à haut risque doivent disposer de terminaux compartimentés : un téléphone de service sans adtech, durci, potentiellement limité à une liste blanche d’applications, et éventuellement un terminal personnel clairement séparé, dont l’usage est encadré. Le premier ne doit jamais servir à des usages privés (réseaux sociaux, jeux, achats en ligne, etc.).
Paramétrage agressif de la publicité et de la localisation
L’interdiction, par configuration MDM, de la publicité personnalisée, du suivi inter-applications et de l’accès à la localisation pour les applications non essentielles réduit drastiquement la quantité de signaux exploitables par Adint. Cela ne supprime pas le risque, mais diminue fortement la granularité des trajectoires reconstruites.
Sensibilisation ciblée des profils d’intérêt
Les agents qui se déplacent en zones sensibles ou qui occupent des fonctions stratégiques doivent être formés spécifiquement au risque Adint : quelles applications éviter, comment désactiver les services inutiles, pourquoi un téléphone allumé en permanence dans certaines zones devient un traceur publicitaire accessible par un État tiers.
Sur le plan politique et réglementaire :
Encadrement spécifique des data-brokers
Les data-brokers doivent être sortis de l’angle mort réglementaire et faire l’objet de régimes spécifiques : obligations de transparence sur les volumes et catégories de données vendues, interdiction de vente à certains types de clients (sociétés écrans basées dans des juridictions à risques, prestataires de renseignement identifiés), audits indépendants.
Clauses de souveraineté dans les marchés publics
Les marchés publics qui impliquent des flux de données publicitaires (campagnes de communication d’État, opérateurs de services numériques publics) doivent intégrer des clauses limitant les transferts vers des acteurs soumis à des législations extraterritoriales agressives, et interdire la revente à des brokers non agréés.
Coopération internationale ciblée
Une politique de souveraineté numérique crédible passe par une coopération avec d’autres États exposés pour cartographier les prestataires d’Adint, partager des signaux de compromission (IOC « publicitaires ») et, le cas échéant, inscrire certains acteurs sur des listes de sanctions ou de restrictions d’export.
Un changement de paradigme pour la sécurité nationale
L’Adint et la compromission des data-brokers marquent un basculement : la menace ne vient plus seulement des équipements de cœur de réseau ou des logiciels critiques, mais d’une économie de la donnée « auxiliaire » qui s’est construite sans se penser comme une infrastructure de renseignement.
Pour un DSI, un RSSI, un décideur politique, la conclusion est simple :
- traiter la chaîne publicitaire et les data-brokers comme une surface d’exposition stratégique au même titre que les fournisseurs télécom, les hyperscalers cloud ou les équipementiers ;
- considérer la géolocalisation publicitaire comme une donnée de sécurité nationale dès lors qu’elle concerne des agents ou des infrastructures critiques ;
- intégrer le risque Adint dans les doctrines, les formations, les audits de sécurité et les arbitrages diplomatiques.
Tant que les terminaux des personnels sensibles continueront de nourrir sans contrôle des places de marché publicitaires mondiales, les meilleures lois de protection des données resteront largement théoriques. La maîtrise de la chaîne adtech et la reprise de contrôle sur les data-brokers cessent d’être des sujets purement « numériques » : ce sont désormais des questions de souveraineté, de contre‑ingérence et, pour certains États, de protection de la vie et de la liberté de leurs citoyens les plus exposés.
