L’unité indienne d’analyse des cybermenaces (NCTAU) a lancé l’alerte le 26 août sur plusieurs publicités frauduleuses diffusées sur Facebook et Instagram. Ces publicités qui apparaissaient sous des noms comme « Night Play », « Kyss » ou « Reloop », faisaient la promotion de fausses applications pornographiques. En cliquant, les utilisateurs étaient redirigés vers des sites de phishing les incitant à installer, en dehors des boutiques officielles, des applications Android comme « Movexa.apk ».
Une fois installées, ces applications pouvaient accéder aux données stockées sur le téléphone. Elles pouvaient aussi intercepter les codes de vérification (OTP) et les codes PIN bancaires puis transférer de l’argent à l’insu de la victime. L’Inde a enregistré près de 2,4 milliards de dollars de pertes liées à la cyberfraude en 2025.
Cinq jours après l’alerte du gouvernement, Reuters a retrouvé au moins 39 publicités encore actives. Meta les a finalement retirées le 31 août, après avoir été interrogée par l’agence. Toutefois, l’entreprise affirme pourtant avoir supprimé plus de 159 millions de publicités frauduleuses dans le monde en 2025 dont 92 % de façon proactive. Elle indique également avoir supprimé plus de 12 millions de contenus publicitaires en Inde au titre de sa politique anti-fraude.
L’Inde avait déjà obtenu de Google la fermeture de centaines de comptes Firebase utilisés pour usurper l’identité de banques. En Europe, la Pologne réclame de son côté 250 millions d’euros d’amende à Meta. Son autorité de cybersécurité avait signalé 122 publicités suspectes dont seulement dix avaient été retirées dans un premier temps.
Ces épisodes répétés déplacent une partie du débat vers les plateformes elles-mêmes. Leur responsabilité ne concerne plus seulement la modération des contenus que publient leurs utilisateurs. Mais une autre question se pose désormais. Quelle responsabilité portent-elles lorsque les publicités qu’elles commercialisent servent directement à cibler leurs propres utilisateurs ?
