Golpe de Malvertising do Google Ads está aí para pegar anunciantes online

Um engano sofisticado direcionado aos anunciantes

Analistas de segurança cibernética descobriram um esquema enganoso visando empresas e indivíduos que usam o Google Ads. Esta campanha fraudulenta explora o sistema de publicidade do Google para atrair usuários para o roubo de credenciais. Os invasores estão implantando anúncios enganosos que se disfarçam como promoções legítimas do Google Ads, levando usuários desavisados a sites de phishing projetados para coletar informações de login.

O objetivo principal desta campanha é comprometer o máximo de contas de publicidade possível. Ao se passarem pelo Google Ads, os invasores redirecionam os usuários para portais de login fraudulentos, onde credenciais e códigos de autenticação de dois fatores (2FA) são roubados. Essas contas roubadas são então mal utilizadas para promover o golpe, com os cibercriminosos potencialmente vendendo as credenciais sequestradas em plataformas ilícitas.

Explorando o próprio sistema de publicidade do Google

Relatórios de vários fóruns online indicam que esta campanha está ativa desde pelo menos novembro de 2024. A estratégia reflete esquemas anteriores que tinham como alvo contas de publicidade em mídias sociais, onde credenciais roubadas eram usadas para executar promoções enganosas. Neste caso, os fraudadores estão tirando vantagem do próprio mecanismo de busca do Google ao injetar anúncios enganosos nos resultados da pesquisa.

Usuários que buscam serviços do Google Ads estão sendo apresentados a anúncios maliciosos que, quando clicados, os redirecionam para sites de phishing hospedados no Google Sites. Essas páginas fraudulentas são projetadas para parecer autênticas, criando uma armadilha convincente para vítimas desavisadas. Depois que os detalhes de login são enviados, as informações são exfiltradas para um servidor externo controlado pelos invasores.

Como os invasores contornam as medidas de segurança

A campanha é particularmente eficaz devido a uma brecha nas políticas do Google Ads. Atualmente, o Google Ads permite que a URL de exibição — o endereço da web visível no anúncio — seja diferente da URL final, desde que o domínio corresponda. Explorando isso, os fraudadores hospedam suas páginas de destino enganosas no Google Sites enquanto exibem ads.google.com como o link visível, fazendo com que pareçam confiáveis.

Além disso, técnicas avançadas de evasão estão em uso, incluindo fingerprinting, detecção anti-bot, ofuscação e iscas baseadas em CAPTCHA. Esses métodos ajudam a esconder a infraestrutura fraudulenta, dificultando que os sistemas de segurança detectem e bloqueiem a atividade maliciosa.

As consequências de uma conta de publicidade sequestrada

Uma vez que os invasores ganham controle sobre uma conta de publicidade, eles a manipulam para servir a seus próprios propósitos. Contas comprometidas são usadas para publicar anúncios fraudulentos adicionais, criando um ciclo que expande continuamente o conjunto de usuários hackeados. Em alguns casos, novos administradores são adicionados à conta da vítima, permitindo que os criminosos cibernéticos mantenham o acesso mesmo se o usuário original tentar recuperar o controle.

Além de perdas financeiras imediatas por gastos não autorizados com anúncios, os usuários afetados podem enfrentar danos à reputação. Anunciantes cujas contas são sequestradas podem promover conteúdo malicioso involuntariamente, prejudicando a credibilidade de sua marca e causando mais interrupções em suas operações comerciais.

A escala global e as origens do golpe

Pesquisadores de segurança cibernética acreditam que múltiplos atores podem estar por trás dessa atividade fraudulenta, com fortes indícios apontando para grupos operando em regiões de língua portuguesa, particularmente o Brasil. A infraestrutura que dá suporte a essa campanha inclui domínios intermediários com o domínio de nível superior .pt, reforçando a teoria de uma origem regional.

Embora o Google tenha medidas de segurança em vigor para detectar e remover anúncios enganosos, os invasores continuam a explorar fraquezas no sistema de publicidade. A enorme escala da rede de anúncios do Google torna desafiador eliminar completamente a atividade fraudulenta, mesmo com a intensificação dos esforços de fiscalização.

A resposta do Google e a batalha contínua contra anúncios fraudulentos

Em resposta a essas revelações, o Google declarou que anúncios enganosos que violem suas políticas são estritamente proibidos. A empresa está investigando ativamente o problema e tomando medidas para resolvê-lo. O Google destacou seus esforços contínuos para combater anúncios fraudulentos, relatando que somente em 2023, removeu mais de 3,4 bilhões de anúncios, restringiu mais de 5,7 bilhões e suspendeu aproximadamente 5,6 milhões de contas de anunciantes.

Apesar dessas medidas, a persistência de campanhas publicitárias fraudulentas ressalta a necessidade de os anunciantes permanecerem vigilantes. Os invasores refinam continuamente suas táticas, tornando crucial que os usuários estejam cientes dos riscos e tomem as precauções necessárias para proteger suas contas.

Proteção contra golpes de malvertising do Google Ads

Para minimizar o risco de se tornar vítima desses golpes, os anunciantes devem adotar as melhores práticas para proteger suas contas. Habilitar métodos de autenticação fortes, como chaves de segurança de hardware, pode ajudar a evitar acesso não autorizado. Monitorar regularmente a atividade da conta e revisar as permissões para quaisquer alterações inesperadas também é essencial.

Os usuários devem ter cuidado ao clicar em links do Google Ads, especialmente para serviços relacionados a publicidade. Em vez de confiar nos resultados do mecanismo de busca, navegar diretamente para o Google Ads por meio de favoritos oficiais ou inserir manualmente a URL pode reduzir o risco de encontrar sites fraudulentos.

Conclusão

O golpe de malvertising do Google Ads serve como um lembrete gritante das táticas em evolução que os cibercriminosos empregam para explorar plataformas de publicidade online. Enquanto o Google continua a aprimorar seus mecanismos de segurança, os anunciantes também devem permanecer vigilantes e proativos na proteção de suas contas. Ao se manterem informados e adotarem medidas de segurança robustas, empresas e indivíduos podem se defender melhor contra essas ameaças enganosas e manter o controle sobre seus investimentos em publicidade.