Los bancos pelean hace rato con este problema: el usuario googlea a su banco, cae en un phishing patrocinado que aparece arriba de todo, se queja (o demanda) a la entidad bancaria y el banco se queja con Google. Al final, los que ganan son los que explotan el sistema de Ads del buscador, que logran darle visibilidad a su estafa. Y Google, que cobra por cada clic en ese aviso.

El problema, que ya ha sido planteado en Argentina por otros bancos en otras oportunidades, sigue sin tener solución a pesar de que quede en evidencia con estas denuncias. El colega Mariano Vidal escribió un reportaje en Clarín, resumido en la apertura de esta edición del newsletter.

Phishing por Google Ads: un banco provincial denuncia a la empresa

El Nuevo Banco de Chaco denunció penalmente a Google por ser un engranaje “fundamental” para las estafas de cibercriminales que patrocinan enlaces de phishing en el sistema de anuncios de Google.

Cómo se promociona el engaño

No solo es en bancos, también han proliferado páginas truchas con anuncios de regalos de pasajes, falsas promos aniversarios, anuncios para jubilados, para las fiestas en diciembre, que arrancan las clases, servicios como luz o agua, a quienes buscan cómo acceder a subsidios o descuentos. Incluso para repuestos de bombas de agua, según contaron desde una empresa líder en el rubro. El truco consiste en encontrar el público adecuado para el engaño.

La publicidad de Google funciona a través de pujas o subastas. El oferente que paga más es quien aparece primero en la búsqueda. Si bien el Nuevo Banco de Chaco también utiliza el servicio de Google ADS para promocionar sus productos, descubrieron que los delincuentes realizan campañas específicas para buscar un tipo de víctima puntual, donde enfocan todo el presupuesto que tienen en publicidad para ganarle la puja en esos lugares a la propia entidad.

Los estafadores montan una página falsa que copia detalle por detalle la fachada del Home Banking de la entidad, incluyendo el espacio para ingresar el usuario y contraseña. Este paso a paso se puede comprar incluso como un Kit cerrado vía Telegram, donde se explica el paso a paso. Luego adquieren un paquete de anuncios a través de Google Ads, el servicio de publicidad digital que ofrece el buscador para que una página aparezca entre los primeros resultados cuando se busca una palabra o frase en concreto.

La denuncia. La presentación fue realizada en la Fiscalía N°13 de Resistencia, especializada en cibercrimen, a cargo de Víctor Recio.

Desde ciberseguridad pudieron detectar que apunta a hombres y mujeres mayores de 60 años en la zona de Charata. Eso permite ganarle al banco en su oferta y evitar los controles que tiene el banco, ubicado en Resistencia, cuando realiza búsquedas para encontrar estafadores. "Si yo hipersegmento a un lugar, sé que voy a hacer un bidding (una oferta) mas alta que otra empresa que va a todo el país", explican desde el sector.

"Google no nos da ningún panel o reporte donde nuestros equipos puedan verificar y prevenir avisos maliciosos que tenga proximidad con las palabras claves de nuestra entidad. Por eso quedamos atados de pies y manos, sin poder prevenir ni anticiparnos, que son las funciones de nuestro equipo", resumieron.

La respuesta de Google

Google Argentina confirmó la recepción de un "oficio" por parte de la justicia de Chaco pero negó que se trate de una demanda. Consultados por las medidas puntuales para brindar mayor seguridad a sus usuarios y herramientas a las empresas, se limitaron a enviar un comunicado. Tampoco accedieron a responder preguntas sobre ciberseguridad o prevención de estafas, reportó Vidal.

Google Ads

Google Ads funciona con un sistema de subastas: los anunciantes eligen palabras clave relacionadas con su negocio y compiten por mostrarse cuando alguien las busca. Google cobra cada vez que un usuario hace clic en un anuncio (modelo pay-per-click), y su ganancia proviene de estos pagos publicitarios.

Problema global

De manera llamativa y hace mucho tiempo, se puede patrocinar enlaces de phishing en este sistema y Google pide que los usuarios denuncien los enlaces fraudulentos. Otros bancos realizaron denuncias, sin tener una respuesta concreta por parte de Google. El problema no ocurre en Argentina, sino en todo el mundo.

La fuente de ingreso más grande de Alphabet, empresa matriz de Google, es la publicidad digital.