Jen publica un interesante post de algo que yo consideraba posible – en el mundo del hacking todo es posible – pero no lo consideré nunca detenidamente.

En el post, Jen cuenta que muchos webmasters han visto cambiados sus publisher IDs en los códigos de AdSense en sus sitios. El problema de este tipo de ataques es que es casi imperceptible. Supongamos que alguien hackea el sitio y cambia el ID en alguna página con alto tráfico o en la home, notar esto es extremadamente dificil – a diferencia de los ataques tradicionales sobre el contenido que resultan en una página que dice ¨hackeado por…¨ o en el peor de los escenarios perder todos los contenidos – ya que se deberían revisar uno por uno los IDs en los códigos de AdSense. La única forma de notarlo realmente es observando una caída en la cantidad de impresiones, que en todo caso se pueden deber a caídas en el tráfico o fluctuaciones del eCPM. Lo más grave del caso es que probablemente los hackers no modifiquen todas las páginas sino sólo un par, lo que hace que notar la baja de impresiones sea aún más dificil.

Para adicionar caos al tema, Google no provee con herramientas para la verificación de los IDs por lo que Jen hace algunas propuestas interesantes a implementar, por ejemplo:

– Implementación de verificación de IDs a través de Google Sitemaps.
– Verificación a través de la Intefaz de Google AdSense, por ejemplo enviando las URLs asociadas con la cuenta de AdSense, emitiendo una alerta en caso de que otro publisher ID aparezca en los códigos.
– Una Whitelist en donde se puedan ingresar las URLs autorizadas a mostrar nuestro código de AdSense, con el doble beneficio de al mismo tiempo verificar que nuestros códigos no sean tomados por otro sitio de spam y correr riesgos de ser dados de baja por esto.

Pero todo esto aún no está hecho, por lo tanto lo mejor para poder protegerse es:

– Instalar las últimas actualizaciones y parches existentes para la plataforma que uses.

– Si usás tu propio server, tener también el sistema operativo actualizado – Nota técnica: se han encontrado exploits en algunas versiones de kernels que permiten obtener acceso de superusuario. Si tenés server propio, verificá y upgradeá el kernel ASAP.

– No dejes tus claves de ningún tipo de cuenta en el servidor, en texto plano.

Y yo agrego:

– No utilices servicios para chequear tus ganancias de AdSense. Generalmente estos programas no encriptan la clave y puede ser fácilmente capturada por un sniffer.

– Evita utilizar programas en el servidor que usen la clave de AdSense, como loggers o trackers, ya que si el server es hackeado tu cuenta de AdSense estará seriamente comprometida.