Ad fraud : 25,3 milliards de dollars perdus au premier semestre 2026
La fraude publicitaire a coûté 25,3 milliards de dollars aux annonceurs au cours du premier semestre 2026, selon le rapport de Spider Labs publié le 2 septembre dernier. Ce montant représente 5,58 % des clics payants analysés, et projette un total annuel d'environ 50,6 milliards de dollars, contre 32,6 milliards pour l'ensemble de 2025. L'ampleur du phénomène ne cesse de croître, portée par des techniques toujours plus sophistiquées.
Ce chiffre, issu d'une analyse de 4,006 milliards de clics payants, doit toutefois être lu avec prudence : Spider Labs commercialise une plateforme de détection de fraude (Spider AF). Il s'agit donc d'une estimation d'un fournisseur, à interpréter comme un ordre de grandeur et non comme un recensement exhaustif.
Des bots qui imitent désormais les humains
La donnée la plus préoccupante réside dans la nature des menaces : 64,4 % du trafic invalide automatisé provient désormais de bots dits « avancés », capables de mimer le comportement d'un utilisateur réel. Ces programmes simulent des mouvements de souris, des temps de lecture et des parcours de navigation crédibles, rendant leur détection de plus en plus difficile pour les systèmes de défense traditionnels.
HBO Max : quand un compte Reddit officiel sert de vecteur de fraude
L'affaire a éclaté cette semaine. Le compte Reddit vérifié de HBO Max a été compromis et utilisé pendant deux jours pour diffuser 108 variantes publicitaires frauduleuses, rapporte AdExchanger. Le groupe à l'origine de l'attaque, lié à des opérations de cybercriminalité et de fraude publicitaire déjà documentées, a redirigé les utilisateurs vers des pages de collecte de données exploitant des landing pages convaincantes.
Les publicités proposaient différentes versions de téléchargements ou de promotions HBO Max, avec une URL trompeuse : « hbomax.us » au lieu du véritable « hbomax.com ». La campagne n'a été identifiée qu'après deux jours, lorsqu'une annonce a été servie à un professionnel de la cybersécurité dans le subreddit r/cybersecurity, qui a donné l'alerte.
Erreur humaine à l'origine de l'intrusion
Selon une source proche du dossier citée par AdExchanger, la prise de contrôle résulte de la compromission du compte d'un collaborateur travaillant sur l'équipe HBO Max. « L'erreur humaine » reste la cause racine de ce type de fraude : les attaquants exploitent un moment de crédulité, par exemple lorsqu'un utilisateur cherche « Google Ads account » et clique sur le premier lien, qui s'avère être une publicité d'arnaque. L'utilisateur authentifie alors un jeton multifacteur en croyant se connecter, autorisant en réalité l'accès à un tiers.
Reddit a déclaré avoir verrouillé le compte, retiré les publicités et travaillé avec HBO Max pour renforcer la sécurité. Warner Bros. Discovery, propriétaire de la plateforme, n'a pas répondu aux sollicitations.
Fuyao : le botnet qui clique écran éteint
Autre révélation de ces dernières semaines : le réseau Fuyao, documenté par la société de cybersécurité Bitsight dans un rapport publié le 30 juillet. Il s'agit d'un ensemble de décodeurs Android TV bon marché qui, une fois la télévision éteinte, ouvrent des sites remplis de textes générés par intelligence artificielle et cliquent sur les publicités en se faisant passer pour des smartphones.
L'affaire, relayée par Krebs on Security et Fox News le 14 août, concerne directement les annonceurs utilisant Google AdSense, l'un des circuits touchés. Le mode opératoire est connu : « même recette, matériel différent ». Les pirates exploitent des appareils connectés grand public pour générer du trafic frauduleux à grande échelle.
La fraude migre vers les canaux sous-surveillés
Deux rapports sectoriels publiés récemment convergent : la fraude publicitaire se déplace vers des canaux moins scrutés. Selon AppsFlyer, qui a analysé 106,4 milliards d'installations à travers 246 000 applications, le trafic organique a représenté 52 % des installations frauduleuses dans son rapport State of Fraud for Marketers 2026.
Cette migration s'explique par l'amélioration des défenses sur les canaux payants à forte valeur : les fraudeurs se rabattent sur l'organique, les médias détenus en propre et les chemins moins contrôlés. AppsFlyer cite l'exemple du secteur financier, où la part de la fraude organique est passée de 35 % à 46 % à mesure que la mesure des affiliés se renforçait, tandis que la fraude sur les médias détenus a bondi de 221 % en un an.
Distordre les références pour mieux tromper
Comme l'explique Adam Smart, d'AppsFlyer, gonfler le trafic organique « modifie ce à quoi ressemble la normalité », faisant paraître légitimes des installations payantes frauduleuses. FraudScore aboutit à une conclusion similaire pour la publicité numérique au sens large : 54,3 % du trafic analysé a été classé comme frauduleux au premier semestre 2026, contre 39,7 % un an plus tôt.
Les annonceurs et agences sont invités à étendre leur détection au-delà des canaux payants traditionnels, à ajouter une validation multicanal et à traiter les références organiques avec une vigilance accrue. Les recommandations incluent le renforcement du fingerprinting, la validation côté serveur, l'audit des flux de médias détenus et d'affiliation, ainsi que l'usage de références externes plutôt que de bases organiques internes pour l'attribution.
L'Inde confrontée à une cyberfraude aux multiples visages
La fraude ne se limite pas aux écosystèmes publicitaires. En Inde, un retraité de 67 ans, ancien employé du National Dairy Development Board d'Anand, a perdu 11,6 lakhs de roupies (environ 11,6 millions) après que des cybercriminels ont accédé à son téléphone via un fichier APK malveillant, rapporte le Times of India.
L'homme avait reçu un appel d'un numéro inconnu se faisant passer pour la Bank of India, confirmant les détails de son compte. Quelques heures plus tard, une douzaine de transactions non autorisées étaient effectuées, dont deux virements IMPS de 4 et 3,5 millions de roupies et plusieurs paiements de factures, notamment à Facebook. Le fichier « BOI.apk » présent sur son téléphone est suspecté d'avoir permis l'accès frauduleux.
Cette affaire illustre la porosité entre cybercriminalité classique et fraude publicitaire : les mêmes techniques d'ingénierie sociale et de logiciels malveillants alimentent les deux phénomènes.
Ce que cela change pour les annonceurs et les plateformes
L'accumulation de ces incidents — piratage de comptes officiels, botnets domestiques, migration vers l'organique, usurpation d'identité bancaire — dessine un paysage où la fraude publicitaire n'est plus un problème isolé mais une composante d'un écosystème criminel plus vaste.
Pour les annonceurs, l'enjeu dépasse la simple perte financière : les signaux gonflés faussent l'optimisation des créations, les enchères et les décisions budgétaires à travers le programmatique et les campagnes d'installation d'applications. La confiance dans la mesure elle-même s'érode.
Les plateformes, de leur côté, sont appelées à renforcer la sécurité des comptes — la compromission du compte Reddit de HBO Max montre que même les acteurs majeurs restent vulnérables à une simple erreur humaine. La course entre les fraudeurs et les défenseurs s'intensifie, portée par l'intelligence artificielle qui arme les deux camps.
À l'approche de la période des fêtes, où les budgets publicitaires culminent, la vigilance reste de mise. Comme le rappelle l'affaire du père dont le compte Google Ads a été utilisé par son fils de 9 ans pour dépenser 118 000 dollars en publicités YouTube — une histoire qui a fait sourire l'industrie —, la sécurité des comptes commence par des gestes simples : vérifier ses accès, limiter les autorisations et ne jamais cliquer sur un lien publicitaire pour se connecter à un service.
Commentaires