La estafa de publicidad maliciosa de Google Ads está ahí para atraer a los anunciantes en línea

Un sofisticado engaño dirigido a los anunciantes

Los analistas de ciberseguridad han descubierto un esquema engañoso dirigido contra empresas y particulares que utilizan Google Ads. Esta campaña fraudulenta explota el sistema de publicidad de Google para engañar a los usuarios y engañarlos para que roben sus credenciales. Los atacantes están desplegando anuncios engañosos que se hacen pasar por promociones legítimas de Google Ads, lo que lleva a los usuarios desprevenidos a sitios de phishing diseñados para recopilar información de inicio de sesión.

El objetivo principal de esta campaña es comprometer la mayor cantidad posible de cuentas de publicidad. Al hacerse pasar por Google Ads, los atacantes redirigen a los usuarios a portales de inicio de sesión fraudulentos, donde se roban credenciales y códigos de autenticación de dos factores (2FA). Estas cuentas robadas se utilizan luego indebidamente para continuar con la estafa, y los cibercriminales pueden vender las credenciales robadas en plataformas ilícitas.

Explotando el sistema de publicidad propio de Google

Los informes de varios foros en línea indican que esta campaña ha estado activa desde al menos noviembre de 2024. La estrategia refleja esquemas anteriores que apuntaban a cuentas de publicidad en redes sociales, donde se usaban credenciales robadas para ejecutar promociones engañosas. En este caso, los estafadores se están aprovechando del propio motor de búsqueda de Google al inyectar anuncios engañosos en los resultados de búsqueda.

A los usuarios que buscan servicios de Google Ads se les muestran anuncios maliciosos que, al hacer clic en ellos, los redireccionan a sitios de phishing alojados en Google Sites. Estas páginas fraudulentas están diseñadas para parecer auténticas, lo que crea una trampa convincente para las víctimas desprevenidas. Una vez que se envían los datos de inicio de sesión, la información se filtra a un servidor externo controlado por los atacantes.

Cómo los atacantes eluden las medidas de seguridad

La campaña es particularmente eficaz debido a una laguna en las políticas de Google Ads. Actualmente, Google Ads permite que la URL visible (la dirección web visible en el anuncio) sea distinta de la URL final siempre que el dominio coincida. Los estafadores aprovechan esta situación para alojar sus páginas de destino engañosas en Google Sites y mostrar ads.google.com como enlace visible, lo que les da una apariencia creíble.

Además, se utilizan técnicas avanzadas de evasión, como la toma de huellas digitales, la detección de robots, la ofuscación y los señuelos basados en CAPTCHA. Estos métodos ayudan a ocultar la infraestructura fraudulenta, lo que dificulta que los sistemas de seguridad detecten y bloqueen la actividad maliciosa.

Las consecuencias de una cuenta publicitaria pirateada

Una vez que los atacantes obtienen el control de una cuenta publicitaria, la manipulan para que sirva a sus propios fines. Las cuentas comprometidas se utilizan para publicar anuncios fraudulentos adicionales, lo que crea un ciclo que amplía continuamente el grupo de usuarios pirateados. En algunos casos, se agregan nuevos administradores a la cuenta de la víctima, lo que permite a los cibercriminales mantener el acceso incluso si el usuario original intenta recuperar el control.

Además de las pérdidas financieras inmediatas derivadas de la inversión no autorizada en publicidad, los usuarios afectados pueden sufrir daños a su reputación. Los anunciantes cuyas cuentas sean pirateadas podrían promover contenido malicioso sin su consentimiento, lo que dañaría la credibilidad de su marca y causaría más trastornos en sus operaciones comerciales.

La escala global y los orígenes de la estafa

Los investigadores en ciberseguridad creen que detrás de esta actividad fraudulenta pueden estar varios actores, y hay indicios sólidos que apuntan a grupos que operan en regiones de habla portuguesa, en particular Brasil. La infraestructura que respalda esta campaña incluye dominios intermediarios con el dominio de nivel superior .pt, lo que refuerza la teoría de un origen regional.

Si bien Google cuenta con medidas de seguridad para detectar y eliminar anuncios engañosos, los atacantes siguen explotando las debilidades del sistema publicitario. La gran escala de la red publicitaria de Google hace que sea difícil eliminar por completo la actividad fraudulenta, incluso a medida que se intensifican los esfuerzos de aplicación de la ley.

La respuesta de Google y la lucha continua contra los anuncios fraudulentos

En respuesta a estas revelaciones, Google ha declarado que los anuncios engañosos que infrinjan sus políticas están estrictamente prohibidos. La empresa está investigando activamente el problema y tomando medidas para solucionarlo. Google ha destacado sus continuos esfuerzos para combatir los anuncios fraudulentos e informa que, solo en 2023, eliminó más de 3400 millones de anuncios, restringió más de 5700 millones y suspendió aproximadamente 5,6 millones de cuentas de anunciantes.

A pesar de estas medidas, la persistencia de campañas publicitarias fraudulentas subraya la necesidad de que los anunciantes permanezcan alerta. Los atacantes perfeccionan continuamente sus tácticas, por lo que es fundamental que los usuarios sean conscientes de los riesgos y tomen las precauciones necesarias para proteger sus cuentas.

Cómo protegerse contra las estafas de publicidad maliciosa en Google Ads

Para minimizar el riesgo de ser víctima de estas estafas, los anunciantes deben adoptar las mejores prácticas para proteger sus cuentas. La activación de métodos de autenticación sólidos, como las llaves de seguridad de hardware, puede ayudar a evitar el acceso no autorizado. También es esencial supervisar periódicamente la actividad de la cuenta y revisar los permisos para detectar cambios inesperados.

Los usuarios deben tener cuidado al hacer clic en enlaces de Google Ads, especialmente en el caso de servicios relacionados con la publicidad. En lugar de confiar en los resultados de los motores de búsqueda, navegar directamente a Google Ads a través de los marcadores oficiales o ingresar manualmente la URL puede reducir el riesgo de encontrarse con sitios fraudulentos.

En resumen

La estafa de publicidad maliciosa de Google Ads es un duro recordatorio de las tácticas cambiantes que emplean los cibercriminales para explotar las plataformas de publicidad en línea. Mientras Google continúa mejorando sus mecanismos de seguridad, los anunciantes también deben permanecer atentos y proactivos para proteger sus cuentas. Al mantenerse informados y adoptar medidas de seguridad sólidas, las empresas y los individuos pueden defenderse mejor contra estas amenazas engañosas y mantener el control sobre sus inversiones publicitarias.