Infractorii cibernetici au găsit o nouă modalitate creativă de a crea anunțuri care nu sunt evidente imediat, dar sunt complet false și sunt concepute pentru a fura date. Problema a fost adusă în atenția cercetătorilor în securitate de la MalwareBytes, care au dezvăluit și modul exact în care funcționează înșelătoria.

Atacul, care reprezintă o amenințare extrem de serioasă, se bazează pe anunțuri Google Search create chiar de răufăcători și este destul de complicat, deoarece la prima vedere poate părea a fi un anunț special creat de Google pentru a promova platforma Google Ads, dar de fapt este un fals.

Hackerii au găsit de fapt o lacună în reglementările actuale pe care o pot exploata în mod eficient. În mod implicit, un anunț nu poate să includă o adresă URL care redirecționează spre un alt domeniu, în încercarea de a preveni abuzurile din partea agenților de publicitate rău intenționați, dar se pare că această măsură se poate ocoli. Hackerii creează un cont pe aceeași domeniu, dar o afișează ca și cum ar fi adresa ads.google.com, sistemul lăsându-i, URL-ul țintă fiind în aceeași domeniu.

Odată ce Google a fost păcălit cu succes, aceste persoane pot avea acces la date de logare pentru Google Ads, deoarece persoanele fizice și companiile care utilizează Google Ads nu folosesc de obicei extensii de blocare a reclamelor, pentru a vedea reclamele proprii sau ale concurenților, prin urmare vor vedea pagina falsă al răufăcătorilor, și pot face clic pe ele să încerce să se logheze, deoarece pagina de destinație momeală arată înșelător de asemănătoare cu cea originală, ei își introduc datele de utilizare, oferind acces nelimitat la conturile lor reale.

Se va trimite apoi un e-mail automat din partea echipei Google prin care aceasta este avertizată cu privire la faptul că s-a conectat dintr-o locație neobișnuită, iar dacă victima nu ia nici o măsură de precauție, hackerii vor adăuga un nou administrator la contul Google Ads folosind o adresă GMail diferită, și apoi vor încerca să blocheze accesul proprietarului inițial, dacă pot. Un atac reușit și achiziționarea cu succes a contului Google Ads pot avea mai multe rezultate: pe de o parte, atacatorul poate utiliza bugetul disponibil pentru a difuza mai multe anunțuri proprii, sau contul poate fi vândut și utilizat în scopuri ilegale, de exemplu ca parte a unei noi campanii de furt de date.

Următoarea diagramă ilustrează foarte bine acest truc:

Echipa Google a confirmat problema, și că sunt foarte atenți la aceste modalități de a folosi ilegal serviciul. Dezvoltatorii investighează în mod activ problema și fac tot posibilul pentru a găsi o soluție rapidă pentru a preveni cazuri similare. Este o statistică revelatoare faptul că echipa Google a eliminat sau blocat un total de 206,5 milioane anunțuri care încălcau politica privind publicitatea înșelătoare în cursul anului 2023. Între timp, au fost suspendate 5,6 milioane conturi folosite pentru reclame, au fost eliminate 3,4 miliarde anunțuri și 5,7 miliarde au fost restricționate.

Acest lucru arată că există încă loc de îmbunătățiri în Google Ads, deoarece volumul de reclame ilegale indică că nu pare a fi doar o un caz izolat, răufăcătorii furând date de pe ea fără frâu.