Estafa de propaganda impulsada por IA

Investigadores de ciberseguridad han descubierto una sofisticada campaña de fraude publicitario, denominada Pushpaganda, que combina la manipulación del posicionamiento en buscadores (SEO) con contenido generado por inteligencia artificial. Esta operación está diseñada para manipular las plataformas de descubrimiento de contenido, en particular Google Discover, mediante la promoción de noticias engañosas que aparentan ser legítimas. El objetivo final es engañar a los usuarios para que activen las notificaciones persistentes del navegador, que luego se convierten en canales para el software malicioso y las estafas financieras.

Dirigida principalmente a usuarios de Android y Chrome, la campaña aprovecha los feeds de contenido personalizados para enviar material malicioso directamente a personas desprevenidas.

Del clic al compromiso: cómo funciona la cadena de ataque

El éxito de Pushpaganda radica en un proceso de manipulación de usuarios cuidadosamente orquestado. Los ciberdelincuentes atraen a los usuarios mediante titulares aparentemente creíbles, conduciéndolos a una trampa de desinformación y coacción. Una vez involucrados, los usuarios son presionados para que activen las notificaciones del navegador, que constituyen la base del ataque.

El flujo del ataque se desarrolla de la siguiente manera:

• Los usuarios se encuentran con contenido informativo engañoso generado por inteligencia artificial a través de Google Discover.
• Son redirigidos a dominios controlados por el atacante que alojan historias falsas.
• Estas páginas incitan a los usuarios a activar las notificaciones push bajo falsas premisas.
• Las notificaciones transmiten mensajes alarmantes, como falsas amenazas legales o advertencias urgentes.
• Al hacer clic en estas alertas, las víctimas son redirigidas a sitios web maliciosos adicionales repletos de anuncios.

Este mecanismo genera tráfico "orgánico" fraudulento desde dispositivos reales, lo que aumenta significativamente la rentabilidad del esquema.

Escala masiva y alcance global

En su punto álgido, la campaña generó aproximadamente 240 millones de solicitudes de puja en 113 dominios en tan solo siete días. Inicialmente dirigida a usuarios de la India, la operación expandió rápidamente su alcance a múltiples regiones, incluyendo Estados Unidos, Australia, Canadá, Sudáfrica y el Reino Unido.

Esta escala pone de manifiesto la eficacia de combinar contenido generado por IA con manipulación SEO, lo que permite a los atacantes ampliar aún más sus operaciones con un mínimo esfuerzo manual.

Notificaciones utilizadas como arma: un vector de amenaza persistente

Las notificaciones push se han convertido en una herramienta predilecta entre los ciberdelincuentes debido a su capacidad para generar urgencia y eludir las medidas de seguridad tradicionales. Una vez activadas, estas notificaciones proporcionan un canal de comunicación constante que los atacantes pueden explotar repetidamente.

Entre los usos maliciosos más comunes se incluyen:

• Implementar software malicioso diseñado para intimidar a los usuarios y obligarlos a tomar medidas inmediatas.
• Redirigir a las víctimas a páginas de phishing o sitios web fraudulentos con mucha publicidad.
• Generar tráfico continuo hacia plataformas monetizadas controladas por atacantes.

Esta técnica no es nueva. Campañas anteriores, como las atribuidas al ciberdelincuente Vane Viper, han demostrado un abuso similar de las notificaciones push para respaldar el fraude publicitario y los ataques de ingeniería social como ClickFix.

Abuso de la IA y manipulación de plataformas de confianza

La campaña Pushpaganda pone de manifiesto una tendencia creciente: el uso indebido de la IA para explotar ecosistemas digitales de confianza. Al inundar las plataformas con contenido de baja calidad generado por máquinas, los ciberdelincuentes pueden infiltrarse en canales de descubrimiento legítimos y utilizarlos para la distribución maliciosa.
Estas tácticas suelen implicar:

• Generar grandes volúmenes de contenido que aportan poco o ningún valor real.
• Extraer datos de fuentes existentes para fabricar páginas nuevas.
• Crear redes de sitios web para disimular la magnitud y el origen de la operación.

Estas prácticas están diseñadas para manipular los rankings de búsqueda y aumentar la visibilidad, engañando en última instancia tanto a los algoritmos como a los usuarios.

Respuesta de Google y medidas correctivas en curso

En respuesta a los hallazgos, Google ha implementado soluciones para corregir las vulnerabilidades de spam explotadas por la campaña. La compañía recalcó que sus sistemas y políticas actuales contra el spam están diseñados para mantener altos estándares de calidad en la Búsqueda y el Descubrimiento.

Las contramedidas de Google incluyen actualizaciones continuas de algoritmos y la aplicación estricta de políticas contra el contenido manipulador. La compañía también ha reiterado que usar IA para generar contenido principalmente con el fin de manipular el posicionamiento infringe sus directrices.

Se siguen realizando esfuerzos para detectar y neutralizar las amenazas emergentes, garantizando que las plataformas de descubrimiento no se utilicen como canales de distribución de estafas y software malicioso.