L'arnaque de malvertising de Google Ads vise à attirer les annonceurs en ligne

Une tromperie sophistiquée visant les annonceurs

Des analystes en cybersécurité ont découvert une campagne frauduleuse ciblant les entreprises et les particuliers utilisant Google Ads. Cette campagne frauduleuse exploite le système publicitaire de Google pour inciter les utilisateurs à voler leurs identifiants. Les attaquants déploient des publicités trompeuses qui se font passer pour des promotions Google Ads légitimes, conduisant les utilisateurs sans méfiance vers des sites de phishing conçus pour récolter des informations de connexion.

L'objectif principal de cette campagne est de compromettre le plus grand nombre possible de comptes publicitaires. En se faisant passer pour Google Ads, les attaquants redirigent les utilisateurs vers des portails de connexion frauduleux, où les identifiants et les codes d'authentification à deux facteurs (2FA) sont volés. Ces comptes volés sont ensuite utilisés à mauvais escient pour poursuivre l'escroquerie, les cybercriminels pouvant potentiellement vendre les identifiants piratés sur des plateformes illicites.

Exploiter le système publicitaire de Google

Des rapports provenant de divers forums en ligne indiquent que cette campagne est active depuis au moins novembre 2024. La stratégie reflète les stratagèmes précédents qui ciblaient les comptes publicitaires sur les réseaux sociaux, où des identifiants volés étaient utilisés pour diffuser des promotions trompeuses. Dans ce cas, les fraudeurs profitent du moteur de recherche de Google lui-même en injectant des publicités trompeuses dans les résultats de recherche.

Les utilisateurs à la recherche de services Google Ads se voient proposer des publicités malveillantes qui, lorsqu'ils cliquent dessus, les redirigent vers des sites de phishing hébergés sur Google Sites. Ces pages frauduleuses sont conçues pour paraître authentiques, créant ainsi un piège convaincant pour les victimes sans méfiance. Une fois les informations de connexion soumises, les informations sont exfiltrées vers un serveur externe contrôlé par les attaquants.

Comment les attaquants contournent les mesures de sécurité

La campagne est particulièrement efficace en raison d'une faille dans les règles de Google Ads. Actuellement, Google Ads permet à l'URL d'affichage (l'adresse Web visible dans l'annonce) de différer de l'URL finale tant que le domaine correspond. En exploitant cette faille, les fraudeurs hébergent leurs pages de destination trompeuses sur Google Sites tout en affichant ads.google.com comme lien visible, ce qui les rend crédibles.

En outre, des techniques d'évasion avancées sont utilisées, notamment la prise d'empreintes digitales, la détection anti-bot, l'obscurcissement et les leurres basés sur CAPTCHA. Ces méthodes permettent de dissimuler l'infrastructure frauduleuse, ce qui rend difficile pour les systèmes de sécurité de détecter et de bloquer l'activité malveillante.

Les conséquences d'un compte publicitaire piraté

Une fois que les pirates prennent le contrôle d'un compte publicitaire, ils le manipulent à leurs propres fins. Les comptes compromis sont utilisés pour publier des publicités frauduleuses supplémentaires, créant ainsi un cycle qui élargit continuellement le nombre d'utilisateurs piratés. Dans certains cas, de nouveaux administrateurs sont ajoutés au compte de la victime, ce qui permet aux cybercriminels de conserver l'accès même si l'utilisateur d'origine tente de reprendre le contrôle.

Au-delà des pertes financières immédiates liées aux dépenses publicitaires non autorisées, les utilisateurs concernés peuvent subir des atteintes à leur réputation. Les annonceurs dont les comptes sont piratés pourraient promouvoir involontairement du contenu malveillant, ce qui nuirait à la crédibilité de leur marque et perturberait encore davantage leurs activités commerciales.

L’ampleur et les origines de l’escroquerie à l’échelle mondiale

Les chercheurs en cybersécurité pensent que plusieurs acteurs pourraient être à l'origine de cette activité frauduleuse, de fortes indications pointant vers des groupes opérant dans les régions lusophones, notamment au Brésil. L'infrastructure qui soutient cette campagne comprend des domaines intermédiaires avec le domaine de premier niveau .pt, renforçant la théorie d'une origine régionale.

Bien que Google ait mis en place des mesures de sécurité pour détecter et supprimer les publicités trompeuses, les attaquants continuent d'exploiter les faiblesses du système publicitaire. L'ampleur du réseau publicitaire de Google rend difficile l'élimination complète des activités frauduleuses, même si les efforts de répression s'intensifient.

La réponse de Google et la lutte en cours contre les publicités frauduleuses

En réponse à ces révélations, Google a déclaré que les publicités trompeuses qui enfreignent ses politiques sont strictement interdites. L'entreprise enquête activement sur le problème et prend des mesures pour y remédier. Google a souligné ses efforts continus pour lutter contre les publicités frauduleuses, signalant qu'en 2023 seulement, elle a supprimé plus de 3,4 milliards de publicités, en a restreint plus de 5,7 milliards et a suspendu environ 5,6 millions de comptes d'annonceurs.

Malgré ces mesures, la persistance de campagnes publicitaires frauduleuses souligne la nécessité pour les annonceurs de rester vigilants. Les attaquants affinent sans cesse leurs tactiques, ce qui rend crucial pour les utilisateurs d'être conscients des risques et de prendre les précautions nécessaires pour protéger leurs comptes.

Protection contre les escroqueries publicitaires malveillantes de Google Ads

Pour minimiser le risque d'être victime de ces escroqueries, les annonceurs doivent adopter les meilleures pratiques pour sécuriser leurs comptes. L'activation de méthodes d'authentification fortes, telles que les clés de sécurité matérielles, peut aider à empêcher tout accès non autorisé. Il est également essentiel de surveiller régulièrement l'activité du compte et de vérifier les autorisations pour détecter tout changement inattendu.

Les utilisateurs doivent être prudents lorsqu'ils cliquent sur des liens Google Ads, en particulier pour les services liés à la publicité. Au lieu de se fier aux résultats des moteurs de recherche, naviguer directement vers Google Ads via les signets officiels ou saisir manuellement l'URL peut réduire le risque de tomber sur des sites frauduleux.

Conclusion

L’arnaque publicitaire malveillante de Google Ads nous rappelle avec force l’évolution des tactiques employées par les cybercriminels pour exploiter les plateformes publicitaires en ligne. Alors que Google continue d’améliorer ses mécanismes de sécurité, les annonceurs doivent également rester vigilants et proactifs dans la protection de leurs comptes. En restant informés et en adoptant des mesures de sécurité robustes, les entreprises et les particuliers peuvent mieux se défendre contre ces menaces trompeuses et garder le contrôle de leurs investissements publicitaires.