Cybercriminelen hebben Google Adsense gebruikt om kwaadaardige advertenties op allerlei websites te tonen die bezoekers van deze sites naar verschillende scamsites doorstuurden. Tal van webmasters klaagden over de advertenties die ervoor zorgden dat bezoekers automatisch werden doorgestuurd.

De scamsites waar bezoekers op terechtkwamen boden allerlei producten aan om af te vallen, veroudering tegen te gaan, huidproblemen te bestrijden of het IQ te verbeteren. De websites zagen eruit als blogs en magazines met zogenaamde wetenschappelijke studies en onderzoeken over de aangeboden producten, aangevuld met allerlei valse reacties van mensen die de producten zogenaamd hadden geprobeerd.

Het probleem met de kwaadaardige advertenties zou al sinds halverwege december spelen, maar werd afgelopen vrijdag 9 januari op grote schaal merkbaar. Op het AdSense-forum van Google kwamen meer dan 180 reacties van boze webmasters binnen. Webmasters die Google AdSense op hun websites gebruikten en zagen hoe bezoekers door de kwaadaardige advertenties werden doorgestuurd.

Op 10 januari zou Google het probleem hebben verholpen. Volgens beveiligingsbedrijf Sucuri gebruikten de aanvallers achter de aanval twee legitieme AdSense-campagnes, die ze waarschijnlijk via geraden of gestolen inloggegevens wisten te kapen. Het wordt echter niet uitgesloten dat de scammers de Adsense-accounts zelf hebben aangemaakt en in eerste instantie deden voorkomen dat het om legitieme campagnes ging.

Code

Onderzoeker Denis Sinegubko van Sucuri vraagt zich echter af waarom Google toestaat dat adverteerders dit soort potentieel gevaarlijke code mogen gebruiken. "Ik besef dat Google adverteerders enige flexibiliteit in het beheren van hun campagnes en het gebruik van scripts van hun eigen pagina's wil geven. En ik besef dat bij de eerste controle deze scripts niets kwaadaardig deden en zich pas misdroegen nadat ze waren goedgekeurd. Maar er zou meer controle over third-party scripts moeten zijn."

Sinegubko merkt verder op dat niemand van advertenties houdt, maar dat ze voor veel websites onmisbaar zijn. "Ik zal je dus niet vertellen om alle advertenties van je website te halen", zo vertelt hij tegen webmasters. "Maar ik vraag je na te denken over de veiligheids- en reputatiegevolgen die slechte advertenties voor je site kunnen hebben. Beschouw elk script van een derde partij dat je op je website plaatst als een potentiële dreiging. Zeker die scripts die anderen, die je niet kent, toestaan om content op je site te plaatsen."