Vulnerabilidad en el cómputo de los clics en Google AdSense

Manuel Blázquez
Profesor de Documentación de la UCM
manublaz@ucm.es

Un medio de comunicación digital acaba de informar de una investigación publicada en el repositorio institucional arXiv.org de la Universidad de Cornell. Varios investigadores del Laboratorio Europeo NEC, Universidad Carlos III, Politecnico di Torino y el Instituto de Telecomunicaciones IMDEA detectaron un fallo en la contabilización de visitas que emplea el sistema de anuncios de Google al compararlas con las visitas contabilizadas por el sistema que incorpora Youtube para realizar las métricas sobre sus vídeos. De esta forma, se observa un fallo o truco al no ser capaz de discriminar aquellos clics reales de los clics ficticios generados por una máquina que podría resultar lucrativo para Google al usar el método «Pay per Clic». Ello se debe a que Google obtiene mayores beneficios al contabilizar un mayor número de visitas en los anuncios que gestiona dentro de los vídeos de Youtube.

Estos hechos resultan de importancia para la investigación que vengo desarrollando desde el año 2013, con el apoyo jurídico y legal del profesor de la UCM, Manuel Sánchez de Diego. En el mes de noviembre de 2013, durante el desarrollo del buscador WauSearch, realicé un sencillo descubrimiento que afectaba a los códigos de extensión .JS de Google, que son implementados en los sitios web. Éstos utilizan una serie de barreras de seguridad a base de ventanas marco, también denominadas «iframe» que se abren durante la ejecución del citado código .JS para ejecutar dentro de ellas un tercer código, programa o script que sirve para testar la sesión del usuario y verificar su autenticidad, antes de realizar cualquier tipo de operación. Una vez que estos programas se ejecutan, borran automáticamente la ventana/s marco «iframe» dentro del código fuente del sitio web, para no dejar rastro y evitar que cualquier bot, pueda acceder a información reservada, privada y sensible. Sin embargo, la protección es escasa. Por eso conociendo este problema, desarrollé un programa bot para experimentar ésta vulnerabilidad en el sistema de anuncios, Google Adsense.

El resultado fue positivo e inmediatamente después se realizaron diversas pruebas de clic automático sobre anuncios mediante un programa que imita el comportamiento de lectura de un usuario normal. Ello confirmó de facto que era posible no sólo obtener los enlaces de los anuncios que Google Adsense protege, ya que también permite hacer clic en ellos de forma automática. Todo ello con la repercusión económica que tiene. Debido a la importancia del fallo, consideramos que esta vulnerabilidad del sistema para contabilizar las visitas debía ser puesta en conocimiento de Google. Nuestro objetivo era que reconocieran la vulnerabilidad y si era posible colaborar en la resolución del problema.

Después de varias entrevistas y de presentar pruebas y nuevos test, Google con evasivas no llegó a reconocer que había una vulnerabilidad en Google Adsense. Se ha intentado infructuosamente publicar la investigación en revistas americanas del sector con factores de impacto en el ranking JCR. Hemos observado que parece casi imposible que el estudio sobre la vulnerabilidad salga a la luz, en parte por las consecuencias que se pueden deducir del experimento llevado a cabo. Un año después, se confirma que el problema ha sido detectado por otro equipo de investigación y se decide publicar definitivamente el trabajo de investigación completo, también en el repositorio arXiv.org, bajo el título «A vulnerability in Google AdSense: Automatic extraction of links to ads«. El estudio también puede ser descargado en las siguientes direcciones:

• Una vulnerabilidad en Google AdSense. Extracción automática de enlaces de anuncios. Disponible en: vulnerabilidad-google-adsense_es

• A vulnerability in Google AdSense. Automatic extraction of links to ads. Available in: vulnerabilidad-google-adsense_en

También cabe señalar que el estudio proporciona acceso al código fuente del programa extractor de enlaces de anuncios de Google y a una sencilla rutina de carga y redireccionamiento de páginas que fue utilizada para simular el comportamiento del usuario y realizar clics sobre los anuncios recuperados.

Repercusión en medios

• Anderson, Martin. 2015. Google AdSense click fraud made possible by uncloaking advertisers’ sites. The Stack. Disponible en: https://thestack.com/security/2015/09/28/google-adsense-click-fraud-iframe-blazquez/
• Chirgwin, Richard. 2015. AdSense fraud still too easy, says Spanish boffin. The Register. Disponible en: http://www.theregister.co.uk/2015/09/29/adsense_fraud_still_too_easy_says_spanish_boffin/
• SecurityLab. 2015. Un investigador fue capaz de eludir los mecanismos de seguridad en Google AdSense = Исследователь смог обойти механизмы защиты в Google AdSense. Disponible en: http://www.securitylab.ru/news/474852.php
• Mikhail, Diakov. 2015. Los trucos para AdSense siguen siendo muy fáciles = Мошенничать в AdSense все еще очень легко. ThreatPost. Disponible en: https://threatpost.ru/moshennichat-v-adsense-vse-eshhe-ochen-legko/12281/
• Pingback: Blog elhacker.net. 2015. Vulnerabilidad en el cómputo de los clics en Google AdSense. Disponible en: http://blog.elhacker.net/2015/09/vulnerabilidad-en-el-computo-de-los-clicks-google-adsense-robots.html
• Baker, H. 2015. Google AdSense vuln de-obfuscates ad links for click fraud. Cryptography@metzdowd.com. Disponible en: http://permalink.gmane.org/gmane.comp.encryption.general/24598