En una nueva entrega de mi columna semanal de ciberseguridad en video, explico por qué el primer resultado de Google no siempre es el sitio oficial, cómo los estafadores pagan anuncios para engañarte y tres hábitos simples para protegerte desde hoy.
Tenés un problema con la app del banco. Agarrás el celular, buscás en Google “teléfono atención banco” y llamás al primer número que aparece. Del otro lado te atiende alguien muy amable que, en algún momento, te pide el código que te acaba de llegar por SMS. Ahí empieza la estafa.
La idea de esta columna surgió de un video de María Aperador, criminóloga especializada en ciberseguridad, sobre las búsquedas que nunca deberíamos hacer en Google. Su planteo me dejó pensando en algo más de fondo: el problema no es tanto qué buscamos, sino a quién le creemos cuando aparece el resultado.
Qué es el malvertising
Los delincuentes pagan anuncios en Google. Esos anuncios aparecen arriba de todo, incluso antes que el sitio oficial, con logo, nombre y apariencia de empresa seria. A esta técnica se la conoce como malvertising, o publicidad maliciosa, y es una de las formas más efectivas de llevar a una víctima a un sitio falso, porque aprovecha la confianza que tenemos en el buscador.
Las búsquedas más explotadas son los teléfonos de atención al cliente, los préstamos rápidos “sin requisitos”, la compra de medicamentos sin receta y la descarga de aplicaciones.
El caso Google Authenticator
Para dimensionar hasta dónde llega el problema, alcanza con un caso. En julio de 2024, la empresa de seguridad Malwarebytes detectó anuncios falsos de Google Authenticator, la aplicación de verificación en dos pasos de Google. El anuncio mostraba “google.com” como dirección y el anunciante figuraba como verificado.
Quien hacía clic terminaba en una copia del sitio oficial y descargaba un programa que en realidad era DeerStealer, un malware que roba contraseñas, cookies y otros datos guardados en el navegador. Es decir, se usó la marca de Google, en el buscador de Google, para distribuir malware disfrazado de una herramienta de seguridad de Google.
Tres hábitos para protegerte
Desconfiá de lo “Patrocinado”. Que un resultado sea un anuncio no significa que sea falso, pero no es el lugar para buscar tu banco, tu billetera virtual o una aplicación.
Sacá los teléfonos de fuentes oficiales. El número de atención está en el dorso de tu tarjeta, en la app oficial o en la factura. Nunca lo busques en Google.
Usá favoritos. Guardá en el navegador los sitios que usás seguido, como tu banco, ARCA o tu obra social, y entrá siempre desde ahí. Así el buscador deja de ser un intermediario en el que tenés que confiar.
Como complemento, en la computadora un bloqueador de anuncios reduce buena parte de este riesgo, porque directamente deja de mostrar los resultados patrocinados.
Google es una herramienta excelente, pero el primer resultado no siempre es el oficial. A veces es, simplemente, el que más pagó.
Fuentes: video de María Aperador en YouTube e informe de Malwarebytes.