Miles de anuncios fraudulentos esquivan los controles de Google y llegan a millones de usuarios

Miles de anuncios engañosos han logrado eludir los controles publicitarios de Google y llegar a millones de usuarios con falsas alertas de virus, promesas imposibles y enlaces poco transparentes. Así lo revela un estudio de investigadores de la Universidad de Nueva York (NYU), en Estados Unidos, y de la Universidad Radboud, en Países Bajos, que analizó casi 189.000 anuncios de software y aplicaciones. Las campañas acumularon más de 100 millones de impresiones en Europa, con exposiciones potenciales a amenazas informáticas.

El trabajo se presentará el 18 de noviembre en ACM CCS 2026, la conferencia de seguridad informática que se celebrará del 15 al 19 de noviembre en La Haya. Según los autores, algunos anuncios permanecieron activos durante meses o incluso años pese a los controles de la compañía. En uno de los casos, los investigadores denunciaron publicidad que dirigía a una web vinculada a una operación de distribución de malware. Google retiró el anuncio señalado, pero dejó activos otros 41 que conducían al mismo dominio. Para los autores, eliminar anuncios aislados no basta para frenar una campaña.

El estudio distingue tres modalidades. La primera es el llamado scareware, anuncios que intentan asustar con falsas alertas de seguridad que aseguran que el móvil está infectado, que el navegador ha sido comprometido o que los datos personales corren peligro. Se identificaron 238 anuncios de este tipo, con más de 16 millones de impresiones. La segunda agrupa promesas de software poco creíbles, como recuperar fotos borradas hace siete años o localizar el GPS de una persona con solo introducir su número de teléfono. Los investigadores detectaron 3.346 anuncios de esta clase, que sumaron 89,9 millones de impresiones; uno de ellos estuvo activo más de dos años y alcanzó 14,5 millones de impresiones.

La tercera modalidad juega con el diseño: oculta qué se anuncia y quién está detrás mediante imágenes ambiguas y botones como «Continuar» o «Acceder». El equipo contabilizó 258 anuncios de este tipo, en los que el usuario puede creer que pulsa una opción del servicio que consulta cuando en realidad accede a una web comercial o a un proceso de suscripción. Para localizar estas prácticas, los investigadores crearon AdLens, una herramienta que combina reconocimiento de texto e inteligencia artificial y cuyo código está disponible para auditorías independientes.

El estudio también revisó 147 aplicaciones promocionadas, de las que 34 ya no estaban disponibles en las tiendas cuando se comprobó su estado, aunque sus anuncios seguían activos. Los expertos recuerdan que una alerta que aparece dentro de una página web no demuestra que el dispositivo esté infectado: ante un mensaje alarmista, lo más seguro es no pulsar sus botones, cerrar la pestaña y revisar el equipo con las herramientas de seguridad habituales. Conviene además desconfiar de promesas extraordinarias y descargar las aplicaciones únicamente desde tiendas o webs oficiales.

El análisis se limita a anuncios de software y apps de la biblioteca de transparencia de Google mostrados en el Espacio Económico Europeo, por lo que no cubre toda la publicidad de la compañía ni la de redes como Meta o TikTok. Los autores concluyen que los filtros automáticos no son suficientes sin respuestas eficaces a las denuncias, y reclaman controles que sigan el rastro de los anunciantes y sus dominios, retiradas coordinadas de todos los avisos de una campaña sospechosa y una supervisión independiente.

Información elaborada a partir de El Periódico de Aragón.