Los hackers atacan varias cuentas de Google Ads con estafas sofisticadas de phishing

Una serie de ataques coordinados a cuentas de Google Ads está causando estragos en el sector publicitario digital. Redes criminales de diferentes regiones han desplegado elaboradas estafas de phishing que aprovechan los resultados patrocinados de Google Search para engañar a ejecutivos publicitarios y tomar el control de sus cuentas. Este método ha dejado a miles de usuarios vulnerables y ha generado importantes preocupaciones sobre la seguridad de las plataformas publicitarias en línea.

La estafa comienza con un truco simple pero efectivo: los estafadores publican anuncios patrocinados que imitan a la perfección los enlaces oficiales de Google Ads en los resultados de búsqueda. Cuando un usuario busca "Google Ads" y hace click en estos enlaces, es redirigido a una página de inicio de sesión falsa diseñada para robar sus credenciales.

Incluso las medidas de seguridad avanzadas, como la autenticación de dos pasos, han sido superadas en algunos casos. Una víctima relató cómo recibió un aviso de inicio de sesión desde Brasil, algo inusual pero que atribuyó a un error de red o VPN. Al aprobar el acceso, permitió inadvertidamente que los estafadores tomaran el control de su cuenta.

Según AdExchanger, una vez dentro, los hackers actúan con rapidez y precisión: añaden sus propios accesos administrativos, camuflan campañas fraudulentas como si fueran legítimas y desvían los fondos de las cuentas para financiar más anuncios maliciosos. Estas campañas no solo buscan defraudar, sino que también se utilizan para distribuir malware y perpetuar el esquema a mayor escala.

Una amenaza internacional

Jerome Segura, director de investigación de Malwarebytes, informó que los ataques están siendo ejecutados por redes criminales con base en Brasil, Asia (probablemente China o Hong Kong) y Europa del Este. Según Segura, miles de cuentas han sido comprometidas, y las víctimas incluyen agencias de medios, consultores y grandes anunciantes.

“Los hackers demuestran un profundo conocimiento del sistema de Google Ads. No es solo un ataque automatizado; hay una coordinación detrás, lo que lo hace aún más peligroso”, señaló una fuente afectada.

"Prohibimos expresamente los anuncios que buscan engañar a las personas para robar su información o estafarlas. Nuestro equipo está investigando activamente este asunto y trabajando para solucionarlo rápidamente", afirma Google en un comunicado.

Sin embargo, las víctimas consideran que la respuesta de Google es insuficiente. Informan de que las campañas de malware a menudo sobreviven a múltiples informes antes de ser suspendidas, y en muchos casos fue necesario que las propias empresas afectadas identificaran los hackeos.

Un ejecutivo describió este asunto como jugar “al gato y el ratón" con los estafadores, quienes logran mantener al menos un anuncio fraudulento activo las 24 horas del día.

El impacto financiero y las medidas de seguridad

El coste de estos ataques no se limita a los fondos robados. También plantea tensiones en la relación entre Google, las agencias y los anunciantes. Aunque las agencias reconocen que se debe a un error humano, argumentan que Google debe asumir parte de la responsabilidad, dado que su plataforma fue utilizada como medio para los fraudes.

Google está ofreciendo reembolsos a las empresas afectadas siempre que puedan documentar el ataque y adopten medidas adicionales de seguridad, como autenticación reforzada y acceso directo a través de URLs oficiales.

Los expertos en ciberseguridad aconsejan evitar usar Google Search como punto de entrada al portal de Google Ads y recomiendan acceder directamente a través de la URL oficial. Esto podría prevenir la mayoría de los incidentes relacionados con estas estafas.

Riesgos persistentes y nuevas preocupaciones

Además del impacto financiero, los ataques plantean riesgos a largo plazo. El malware distribuido a través de estos anuncios maliciosos podría ser utilizado para otros fines ilícitos, como robar datos adicionales o secuestrar dispositivos en una red de bots.

Asimismo, las credenciales de las cuentas comprometidas son altamente valoradas en el mercado negro, lo que fomenta aún más este tipo de actividades. “Creemos que el objetivo de los hackers es revender estas cuentas en foros clandestinos, además de utilizarlas para perpetuar sus campañas fraudulentas”, explicó Segura.

Este incidente destaca la necesidad de que las plataformas publicitarias como Google Ads refuercen sus medidas de seguridad y ofrezcan soluciones más proactivas para proteger a sus usuarios. Además, subraya la importancia de educar a los profesionales sobre las mejores prácticas de ciberseguridad.

Mientras tanto, la industria debe permanecer alerta ante una amenaza en constante evolución. La batalla por proteger las cuentas publicitarias no solo es crucial para la seguridad financiera de las empresas, sino también para la confianza general en los ecosistemas digitales.