Miles de anuncios fraudulentos esquivan los controles de Google y llegan a millones de usuarios

Miles de anuncios engañosos han logrado eludir los controles publicitarios de Google y llegar a millones de usuarios con falsas alertas de virus, promesas imposibles y enlaces poco transparentes. Así lo revela un estudio de investigadores de la Universidad de Nueva York (NYU) y de la Universidad Radboud, en Países Bajos, que analizó casi 189.000 anuncios de software y aplicaciones. Las campañas acumularon más de 100 millones de impresiones en Europa, con exposiciones potenciales a amenazas informáticas.

El trabajo se presentará el 18 de noviembre en ACM CCS 2026, la conferencia de seguridad informática que se celebrará del 15 al 19 de noviembre en La Haya. Según los autores, algunos anuncios permanecieron activos durante meses o años pese a los controles de la compañía. En uno de los casos denunciados, la publicidad dirigía a una web vinculada a una operación de distribución de malware. Google retiró ese anuncio concreto, pero mantuvo activos otros 41 que llevaban al mismo dominio, lo que, a juicio de los investigadores, demuestra que retirar avisos aislados no basta para frenar una campaña.

El estudio distingue tres modalidades. La primera es el llamado scareware, anuncios que intentan asustar con falsas alertas de seguridad, como avisos de que el móvil está infectado o de que los datos personales corren peligro. Se identificaron 238 anuncios de este tipo, con más de 16 millones de impresiones. La segunda agrupa promesas de software poco creíbles, como recuperar fotos borradas hace siete años o localizar la ubicación GPS de una persona con solo su número de teléfono: se detectaron 3.346 anuncios, que sumaron 89,9 millones de impresiones. La tercera juega con el diseño, ocultando qué se anuncia con botones como «Continuar» o «Acceder», de modo que el usuario puede acabar en una web comercial o en una suscripción sin pretenderlo; se contabilizaron 258 anuncios de esta clase.

Para localizar estas prácticas, los investigadores desarrollaron AdLens, una herramienta que combina reconocimiento de texto e inteligencia artificial para analizar anuncios del Centro de Transparencia Publicitaria de Google y priorizar los casos sospechosos. El código está disponible para auditorías independientes. El estudio también revisó 147 aplicaciones promocionadas: 34 ya no estaban disponibles en las tiendas cuando se comprobó, aunque sus anuncios seguían activos.

Los expertos recomiendan no pulsar los botones de una alerta alarmista, cerrar la pestaña y comprobar el equipo con las herramientas de seguridad habituales, desconfiar de las promesas extraordinarias y descargar aplicaciones solo desde tiendas o webs oficiales. El análisis se limita a anuncios de software de la biblioteca de transparencia de Google en el Espacio Económico Europeo, por lo que no cubre otras zonas ni plataformas como Meta o TikTok. La conclusión de los autores es que los filtros automáticos no bastan sin respuestas eficaces a las denuncias, y que hacen falta controles que sigan a los anunciantes y sus dominios, retiradas coordinadas de las campañas sospechosas y supervisión independiente.

Información elaborada a partir de El Día.