Oszuści straszyli wirusami i obiecywali śledzenie telefonów. Google przepuszczał jednak ich reklamy przez lata. Skala tego zjawiska jest przerażająca.
Fałszywe ostrzeżenia o wirusach, aplikacje obiecujące śledzenie dowolnego telefonu i reklamy podszywające się pod komunikaty systemowe. Wszystkie przeszły przez mechanizmy kontrolne Google i były wyświetlane użytkownikom w Europie. Naukowcy przeanalizowali blisko 189 tys. reklam i znaleźli tysiące podejrzanych materiałów, które łącznie wygenerowały ponad 100 mln wyświetleń. Jeszcze bardziej niepokojące okazało się to, co wydarzyło się po zgłoszeniu części reklam. Google potrafił usunąć jedną szkodliwą kreację, pozostawiając jednak dziesiątki kolejnych prowadzących do tej samej strony.
Google nie wychwycił tysięcy reklam. Miały ponad 100 mln wyświetleń
Zespół badaczy z New York University i holenderskiego Radboud University opracował narzędzie AdLens, które wykorzystuje sztuczną inteligencję do automatycznego wykrywania reklam wprowadzających użytkowników w błąd. Naukowcy przeanalizowali blisko 189 tys. wersji reklam związanych z oprogramowaniem, aplikacjami mobilnymi i elektroniką, znajdujących się w publicznym centrum przejrzystości reklam Google.
Wyniki badania AdLens: Efficient Detection of Deceptive Software Ads ujawniły trzy główne grupy problematycznych materiałów. Pierwsza obejmowała 238 reklam wywołujących strach przed rzekomym zagrożeniem, druga 3346 reklam składających fałszywe lub nierealistyczne obietnice, a trzecia 258 materiałów ukrywających tożsamość reklamodawcy lub charakter promowanej usługi.
Same reklamy straszące użytkowników wygenerowały aż ponad 16 mln wyświetleń. Materiały obiecujące nierealistyczne możliwości systemu odpowiadały za kolejne 89,9 mln wyświetleń. Łączny zasięg zidentyfikowanych reklam przekroczył więc 100 mln odsłon na rynkach Europejskiego Obszaru Gospodarczego.
Nie oznacza to oczywiście, iż oszukano 100 mln osób. Wyświetlenie reklamy nie jest równoznaczne z kliknięciem, instalacją programu ani utratą pieniędzy. Wyniki pokazują jednak, iż podejrzane materiały mogły docierać do internautów na ogromną skalę, mimo obowiązujących mechanizmów moderacji.
178 wirusów w telefonie. Tę reklamę wyświetlano także po polsku
Jednym z najczęściej wykorzystywanych mechanizmów okazał się scareware, czyli reklamy mające wywołać panikę. Użytkownik widzi informację, iż jego telefon został zhakowany, komputer jest zainfekowany albo konto zostanie za chwilę zablokowane. Następnie otrzymuje propozycję natychmiastowego pobrania aplikacji, która rzekomo rozwiąże problem.
Wśród zidentyfikowanych materiałów znalazła się reklama po polsku, sugerująca, iż telefon z Androidem został zaatakowany podczas przeglądania stron dla dorosłych i wykryto na nim 178 wirusów. Według badaczy wygenerowała około 1,1 mln wyświetleń.
Nie był to jednak odosobniony przykład wykorzystania strachu. Naukowcy wykryli również reklamy podszywające się pod komunikaty Google Play oraz ostrzeżenia dotyczące przejęcia konta. Tego typu przekazy mają skłonić użytkownika do szybkiego działania, zanim zdąży sprawdzić, czy zagrożenie rzeczywiście istnieje.
Podobną kampanię opisywaliśmy już wcześniej na Spider’s Web. Cyberprzestępcy wykorzystywali wtedy system Google Ads do kierowania internautów na strony udające komunikaty bezpieczeństwa i blokadę komputera. Nowe badanie pokazuje jednak znacznie szerszą skalę problemu.
Tak naprawdę oszuści nie zawsze muszą choćby straszyć. Jedna z reklam obiecywała możliwość sprawdzenia lokalizacji dowolnej osoby wyłącznie na podstawie numeru telefonu. Była aktywna przez ponad 2 lata i wygenerowała 14,5 mln wyświetleń. Inna przekonywała użytkownika, iż to jego ostatnia szansa na odzyskanie 284 zdjęć usuniętych 7 lat wcześniej. Zobaczono ją 2,8 mln razy.
Google usunął jedną reklamę. Pozostałych 41 przez cały czas działało
Najbardziej wymowna część badania dotyczy tak naprawdę reakcji Google na przesłane zgłoszenia. Naukowcy postanowili sprawdzić, co stanie się, gdy poinformują firmę o podejrzanych reklamach. Większość zgłoszonych materiałów nie została uznana przez platformę za naruszenie jej zasad.
Szczególnie interesujący okazał się przypadek domeny powiązanej z kampanią TamperedChef, w której rozpowszechniano złośliwe oprogramowanie podszywające się pod edytor PDF. Badacze znaleźli 42 reklamy prowadzące do tej samej domeny i zgłosili jedną z nich.
Google usunął wskazany materiał, ale pozostałych 41 reklam nie wycofano w ramach tej interwencji. Oznacza to, iż usunięcie pojedynczej kreacji nie doprowadziło do zatrzymania pozostałych reklam kierujących użytkowników w to samo miejsce.
Problem nie ograniczał się do jednego reklamodawcy. Wśród 147 aplikacji promowanych dzięki podejrzanych materiałów aż 34 nie były już dostępne w sklepach z aplikacjami, mimo iż reklamy przez cały czas pozostawały aktywne.
Na Spider’s Web opisywaliśmy wcześniej, jak oszuści wykupują reklamy Google, by kierować użytkowników na fałszywe strony banków i znanych przedsiębiorstw. Nowe ustalenia sugerują, iż problemem jest nie tylko wykrycie pojedynczej szkodliwej reklamy, ale również skuteczne identyfikowanie wszystkich materiałów należących do tej samej kampanii.
Sztuczna inteligencja wykryła to, co umknęło Google
Narzędzie AdLens działa dwuetapowo. Najpierw analizuje treść reklam i porównuje ją ze znanymi schematami oszustw. Następnie bardziej zaawansowane modele językowe sprawdzają wybrane materiały, uwzględniając zarówno tekst, jak i elementy graficzne. Dzięki temu nie trzeba poddawać każdej reklamy równie kosztownej analizie.
Badacze wykorzystali m.in. modele z rodzin Gemma i Qwen. W testach skuteczności system osiągnął wynik F1 wynoszący 0,922, wskazujący na dobrą równowagę między wykrywaniem naruszeń a ograniczaniem fałszywych alarmów. Nie oznacza to jednak nieomylności. Sami autorzy przyznają bowiem, iż narzędzie ma ograniczenia i nie zastąpi całkowicie ludzkiej kontroli.
AdLens został udostępniony publicznie, aby podobne analizy mogli prowadzić niezależni badacze i organizacje chroniące konsumentów. To istotne, ponieważ wielkie platformy reklamowe wciąż mają znacznie więcej informacji o prowadzonych kampaniach niż podmioty, które próbują kontrolować ich działalność.
Problem dotyczy zresztą nie tylko Google. We wrześniu opisywaliśmy badanie dotyczące przychodów Mety z oszukańczych reklam wyświetlanych w Polsce. Tam również pojawiły się pytania o skuteczność moderacji i odpowiedzialność platform za rozpowszechnianie nieuczciwych treści.
Autorzy AdLens zaznaczają, iż przeanalizowali jedynie niewielki wycinek reklam dostępnych w systemie Google. Wyniki nie pozwalają więc oszacować pełnej liczby oszukańczych kampanii ani strat poniesionych przez użytkowników. Pokazują natomiast, iż choćby reklamy związane ze znanymi zagrożeniami potrafią pozostawać aktywne przez miesiące, a czasem lata. I to mimo istnienia systemów, które miały je zatrzymywać.
*Źródło grafiki wprowadzającej: maxkabakov, Getty Images, Canva Pro / Google
