Google AdWords遭網路犯罪組織利用

安全軟體公司Exploit Prevention Labs（攻擊防護實驗室）表示，發現Google AdWords被網路罪犯所利用的「鐵證」；而Google在得知之後已將相關的廣告及連結移除。

Exploit Prevention Labs發現，有駭客利用購買Google AdWords廣告，並以合法網站做掩護，當使用者點選廣告連結前往合法網站之前，先將使用者引導至惡意網站並偷偷安裝惡意程式到使用者電腦內，進一步藉以竊取使用者的機密資料。Exploit Prevention Labs技術長Roger Thompson並在部落格上發表這項發現。

Exploit Prevention Labs表示，4月10日以公司的LinkScanner Pro安全瀏覽軟體在Google輸入「how to start a business」（如何創業），搜尋結果最上面的贊助連結表裡出現了AllBusiness.com的合法公司，但是點選該連結時，卻試圖要連到一個會安裝鍵盤側錄程式（keylogger）的惡意網站。

另一方面，Thompson的團隊還發現，有一個犯罪組織在4月初註冊了Smarttracker.org的網址，然後在4月10日啟用了Google AdWords帳戶，跟Google購買許多網路搜尋的關鍵字。雖然這些廣告連結顯示的都是合法而可信賴的網站，但是當使用者點選之後，到達目的地網站之前都會被暗中連到smarttracker.org的網站。

雖然Google在得知之後，立即終止這個帳戶與相關的廣告，但Exploit Prevention Labs表示，這顯示出關鍵字廣告的搜尋廣告主的管理問題：如何決定個別廣告主，以及轉址連結（redirected link）的合法性。

Thompson在部落格中表示，他們發現，會連向這個惡意網站的搜尋字串還有很多，例如BetterBusinessBureau ，Florida Business Opportunity Law，Modern cars airbags required等二十幾個。雖然Google已經刪除，但是否刪除乾淨還不確定。

Google也對媒體發表聲明表示，目前已經將這些廣告都撤除，並努力在解決類似的問題。而為了貫徹在搜尋廣告及結果中不容有惡意連結的政策，Google也同時以人力手動和自動化雙管齊下的方式進行偵測。

然而Thompson對媒體表示，Google總是說他們盡力解決這個問題，但事實上他們的商業模式是盡力賺廣告費，因此對廣告主沒有足夠的約束。他認為，這種事情未來會繼續不斷再發生。（編譯/郭和杰）