100 milionów pułapek w Google Ads. Jak oszuści omijają filtry giganta?

Zaufanie do ekosystemu reklamowego Google jest fundamentem współczesnego internetu, jednak najnowsze dane płynące z ośrodków akademickich w Nowym Jorku i Holandii rzucają na ten fundament bardzo długi cień. Wykorzystanie platformy Google Ads do dystrybucji szkodliwego oprogramowania i manipulacji psychologicznej stało się faktem na skalę, której dotychczas jedynie się domyślaliśmy. Dzięki narzędziu AdLens, naukowcy z New York University oraz Radboud University byli w stanie zajrzeć za kulisy oficjalnego archiwum Google Ads Transparency Center i wydobyć dane, które powinny postawić na nogi nie tylko działy bezpieczeństwa w Mountain View, ale i europejskie organy regulacyjne.

Problem nie dotyczy marginalnych nisz, lecz uderza bezpośrednio w użytkowników z Europejskiego Obszaru Gospodarczego, w tym oczywiście z Polski. Skala zjawiska jest porażająca: blisko 189 tysięcy przeanalizowanych wersji reklam pozwoliło na identyfikację tysięcy materiałów, które w sposób jawny i bezczelny łamią regulaminy platformy, a mimo to generują dziesiątki milionów odsłon. To nie jest kwestia pojedynczych błędów algorytmu, lecz systemowej podatności na wektory ataku oparte na inżynierii społecznej, gdzie strach użytkownika jest monetyzowany z chirurgiczną precyzją przez cyberprzestępców.

AdLens: Kiedy AI staje po stronie badaczy

Aby zrozumieć, jak doszło do tak ogromnego wycieku szkodliwych treści, należy przyjrzeć się metodologii badawczej. Zespół naukowy nie polegał na ręcznym przeglądaniu zasobów, co przy tej skali byłoby niewykonalne. Zbudowano system AdLens, który stanowi swoiste „lustro” dla algorytmów Google, ale zaprogramowane na wykrywanie anomalii i oszustw. Narzędzie to wykorzystuje technologię optycznego rozpoznawania tekstu (OCR) do odczytywania treści z grafik reklamowych, a następnie przepuszcza je przez modele tłumaczenia maszynowego i zaawansowane sieci neuronowe klasyfikujące intencje przekazu. Dzięki temu udało się przesiać 189 tysięcy kreacji i wyłonić ponad 112 tysięcy unikalnych, podejrzanych materiałów.

Analitycy skupili się na branży oprogramowania i aplikacji mobilnych, czyli sektorze najbardziej narażonym na dystrybucję malware’u. W procesie weryfikacji nie zabrakło czynnika ludzkiego – wybrane próbki były dodatkowo sprawdzane przez ekspertów ds. cyberbezpieczeństwa, co pozwoliło na wyeliminowanie błędów typu false positive. Wyniki są jednoznaczne: systemy Google, mimo deklarowanej ochrony opartej na sztucznej inteligencji, przepuszczają treści, które dla dedykowanego modelu AI nakierowanego na bezpieczeństwo są oczywistymi próbami wyłudzenia lub oszustwa. To rodzi pytania o priorytety giganta w zakresie moderacji treści płatnych.

Warto zauważyć, że podobnie jak w przypadku zmian w Google Messages, gdzie gigant stawia na AI w celu poprawy UX, tak i w systemach reklamowych technologia ta powinna służyć przede wszystkim ochronie. Tymczasem badanie AdLens pokazuje, że mechanizmy kontrolne są dziurawe jak sito. Oszuści stosują proste triki, takie jak modyfikacja interfejsu reklamy, by przypominała ona powiadomienie systemowe Androida lub ostrzeżenie z Google Play, co skutecznie usypia czujność przeciętnego internauty, nieprzyzwyczajonego do weryfikowania autentyczności komunikatów graficznych.

Anatomia strachu: 178 wirusów w Twoim telefonie

Najbardziej agresywną formą wykrytych nadużyć jest tzw. scareware. Mechanizm działania jest tu brutalnie prosty: reklama wyświetla jaskrawy komunikat o krytycznym zagrożeniu. W jednym z polskich przykładów, zidentyfikowanych przez badaczy, użytkownik był informowany, że jego telefon został zainfekowany przez 178 wirusów podczas przeglądania stron dla dorosłych. Taka kreacja wygenerowała w samym tylko polskim segmencie sieci około 1,1 miliona wyświetleń. To klasyczny przykład wykorzystania emocji – strachu i wstydu – aby zmusić ofiarę do natychmiastowego kliknięcia w link prowadzący do rzekomego „antywirusa”, który w rzeczywistości jest narzędziem do kradzieży danych lub subskrypcją premium.

Druga grupa oszustw to fałszywe obietnice funkcjonalne. Tutaj prym wiodą aplikacje obiecujące niemożliwe, jak np. śledzenie lokalizacji dowolnego numeru telefonu bez zgody właściciela czy darmowy dostęp do płatnych serwisów streamingowych. Ta kategoria reklam osiągnęła gigantyczny zasięg blisko 90 milionów wyświetleń w skali Europy. Użytkownik, skuszony atrakcyjną funkcją, trafia na strony wyłudzające dane karty płatniczej lub instaluje oprogramowanie typu adware, które drastycznie obniża wydajność urządzenia i narusza prywatność. W dobie popularności różnego rodzaju przystawek Android TV, takie szkodliwe aplikacje mogą infekować nie tylko telefony, ale i całe domowe sieci multimedialne.

Systemowa niewydolność: Dlaczego zgłoszenie nie działa?

Najbardziej niepokojącym wnioskiem z raportu naukowców nie jest sama obecność oszustów, ale reakcja (a właściwie jej brak) ze strony Google na zgłoszenia nadużyć. Badacze przeprowadzili eksperyment: wytypowali pakiet 42 reklam jednoznacznie powiązanych z kampanią dystrybuującą oprogramowanie wykradające dane (infostealery). Po oficjalnym zgłoszeniu tych treści do moderacji, Google usunął… tylko jedną reklamę. Pozostałe 41 kreacji, należących do tego samego podmiotu i prowadzących do tych samych szkodliwych zasobów, nadal było wyświetlanych użytkownikom. To dowodzi, że proces moderacji w Google Ads jest reaktywny i skrajnie nieefektywny, działając na poziomie pojedynczego pliku graficznego, a nie całej struktury kampanii.

Z perspektywy cyberbezpieczeństwa to sytuacja krytyczna. Oszuści mogą przygotować setki wariacji tej samej reklamy, zmieniając jedynie odcień tła lub jeden wyraz w tekście, co pozwala im omijać automatyczne filtry hashujące. Jeśli system moderacji nie potrafi powiązać zgłoszonej reklamy z szudem, który ją opłacił, to walka z przestępczością w Google Ads przypomina próby opróżnienia basenu łyżeczką. Dla giganta z Mountain View każda wyświetlona reklama to przychód, co w oczach krytyków rodzi konflikt interesów między zyskiem a bezpieczeństwem użytkowników końcowych.

Jak chronić się przed zwodniczymi reklamami?

W obliczu niewydolności systemowej Google, odpowiedzialność za bezpieczeństwo spada na barki użytkownika. Kluczowym elementem ochrony jest edukacja i ograniczone zaufanie. Należy pamiętać, że oficjalne sklepy z aplikacjami, jak Google Play, mają własne mechanizmy skanowania (Play Protect), które działają wewnątrz systemu, a nie w oknie przeglądarki. Każda próba wymuszenia instalacji oprogramowania poprzez stronę trzecią powinna być traktowana jako próba ataku. Warto również rozważyć stosowanie renomowanych rozwiązań typu DNS-filtering, które blokują zapytania do znanych domen serwujących malware, zanim jeszcze reklama zdąży się wyrenderować na ekranie.

Zalecam również regularne przeglądanie listy zainstalowanych aplikacji, szczególnie na urządzeniach takich jak tablety czy przystawki smart TV, gdzie często instalujemy oprogramowanie mniej uważnie. Jeśli zauważysz aplikację, której nie kojarzysz, lub taką, która żąda uprawnień do czytania powiadomień i dostępności (Accessibility Services), usuń ją natychmiast. To właśnie te uprawnienia są najczęściej wykorzystywane przez złośliwe reklamy do przejmowania kontroli nad urządzeniem i kradzieży kodów 2FA z SMS-ów czy aplikacji bankowych. Pamiętajmy: w internecie nie ma darmowych narzędzi do „szpiegowania telefonów” – są tylko darmowe pułapki na nieostrożnych użytkowników.

Dział: Cyberbezpieczeństwo i Prywatność

Maciej Kowalczyk

Redaktor działu Cyberbezpieczeństwo w TechTendency.com, absolwent teleinformatyki na Politechnice Wrocławskiej. Specjalizuje się w analizie podatności zero-day, bezpieczeństwie sieciowym, kryptografii oraz ochronie prywatności cyfrowej. Doświadczenie zdobywał podczas audytów bezpieczeństwa i szkoleń z zakresu reagowania na incydenty (SOC/Blue Team). W publikacjach skupia się na anatomii zagrożeń i praktycznych metodach ochrony danych.