Pourquoi Google continue à diffuser des pubs dangereuses ?

Tu cherches un logiciel connu sur Google. Le premier résultat, avec le beau badge « Sponsorisé », ressemble parfaitement au site officiel — même logo, même mise en page, domaine quasi-identique. Tu cliques. Tu télécharges. C’est un malware. Ce scénario n’est pas une hypothèse de chercheur en sécurité : il arrive plusieurs fois par jour à des milliers de personnes. Et Google, qui encaisse la mise à chaque clic, ne semble pas particulièrement pressé de régler ça.

Un article publié sur atomic14.com mi-septembre a remis le sujet sous le feu des projecteurs sur Hacker News : 798 points, 356 commentaires, et une question qui agace depuis des années — pourquoi Google continue à diffuser des publicités franchement trompeuses, voire dangereuses ? La discussion qui a suivi est un condensé de frustrations accumulées de devs, de pros de la sécu et d’utilisateurs ordinaires. Et, fait rare, tout le monde est d’accord : le problème est réel, documenté, et n’avance pas.

Ce que dénonce l’article — et ce que dit la communauté HN

L’article de atomic14 part d’un exemple concret : une publicité Google qui usurpait l’identité d’un outil populaire, avec un domaine quasi-identique, un visuel copié-collé, et un installeur piégé en bout de chaîne. L’auteur a signalé l’annonce à Google. Résultat : rien pendant plusieurs jours, puis une suppression silencieuse. Pendant ce temps, l’annonce continuait à tourner et à drainer des victimes.

Dans les commentaires Hacker News, la frustration est palpable et les témoignages s’accumulent. Plusieurs développeurs décrivent des cas similaires : des annonces pour de faux sites de support Microsoft, des arnaques au remboursement fiscal, des clones de gestionnaires de mots de passe populaires. Des utilisateurs moins techniques racontent comment leur parent ou leur collègue s’est fait avoir exactement de cette façon. C’est du vécu, pas de la théorie.

Ce qui est frappant dans la discussion, c’est que personne n’est vraiment surpris. Le problème est connu depuis des années. Des articles similaires ont déjà cartonné sur HN, des chercheurs en sécurité ont documenté des campagnes de malvertising organisées à grande échelle. Et pourtant, le robinet reste ouvert. Ce n’est pas un bug dans le système — c’est le système.

Le malvertising : une industrie, pas un accident

Le malvertising (contraction de « malicious advertising ») n’est pas un phénomène marginal pratiqué par quelques amateurs. C’est une industrie organisée. Des groupes structurés achètent des emplacements publicitaires légitimes sur Google Ads, passent les vérifications automatiques initiales avec des pages d’atterrissage propres et anodines, puis basculent vers du contenu malveillant une fois l’annonce approuvée et en circulation. C’est méthodique.

Les vecteurs classiques sont bien rodés : faux sites de téléchargement pour des logiciels populaires (VLC, 7-Zip, Notepad++, OBS Studio — tout y passe), pages de phishing bancaire, faux supports techniques qui te demandent d’appeler un numéro surtaxé, et depuis quelques années, des arnaques crypto ultra-léchées avec de faux dashboards de trading. Dans la majorité des cas, le domaine utilisé est une simple typosquat de l’original : vlc-player.net au lieu de videolan.org, avec le premier résultat sponsorisé bien en évidence.

La technique dite de « cloaking » est particulièrement efficace contre la modération automatisée. L’annonceur malveillant détecte si le visiteur provient d’un robot de vérification Google — via l’IP, le user-agent, ou le comportement de navigation — et lui sert une page propre et innocente. Les vrais visiteurs, eux, reçoivent le contenu frauduleux. C’est old-school, mais ça marche encore remarquablement bien contre des systèmes de vérification qui fonctionnent à grande échelle et ne peuvent pas tout inspecter manuellement.

Le nœud du problème : des incitations structurellement mal alignées

Google a engrangé environ 265 milliards de dollars de revenus publicitaires en 2024. Les annonces dans les résultats de recherche représentent la majorité de cette somme. Dans ce contexte, chaque annonce supprimée représente du revenu en moins. La vérification humaine systématique de chaque publicité serait prohibitive à cette échelle — Google traite des milliards d’annonces par an, dans des dizaines de langues, sur des milliers de marchés.

La modération automatisée par IA existe, bien sûr. Google avance régulièrement des chiffres impressionnants — des milliards d’annonces supprimées chaque année. Mais ces chiffres masquent un biais important : ils mesurent surtout les annonces clairement invalides (spam évident, produits explicitement interdits, publicités pour des médicaments non autorisés) bien plus que les annonces malveillantes sophistiquées qui passent délibérément sous les radars. Les acteurs malveillants s’adaptent vite — c’est un jeu du chat et de la souris, et l’argent est côté chat.

Google supprime des milliards d’annonces par an — mais ce sont précisément les plus dangereuses, les mieux camouflées, qu’on retrouve encore en tête des résultats de recherche.

La question de fond, que plusieurs commentateurs HN posent crûment, c’est celle de la responsabilité. Quand un panneau publicitaire en bord de route affiche une arnaque, la régie qui a vendu l’espace est exposée légalement. Pour les plateformes numériques, ce régime de responsabilité est historiquement très allégé — et les grandes plateformes ont activement lobbié pour que ça reste ainsi. Le Digital Services Act européen tâtonne vers plus de responsabilisation, mais l’application concrète reste encore timide.

Ce que ça change pour les propriétaires de sites et de marques

Si tu gères un site ou une marque en ligne, ce problème te concerne directement, même si tu ne fais pas toi-même de pub. Des concurrents peu scrupuleux — ou des fraudeurs purement opportunistes — peuvent acheter des annonces sur ton nom de marque et orienter tes clients vers des clones frauduleux. Des e-commerçants ont déjà perdu des clients qui pensaient passer commande sur leur boutique, alors qu’ils atterrissaient sur une contrefaçon qui collectait leurs données bancaires. La confusion est totale pour l’utilisateur lambda, et les dégâts en termes de réputation sont bien réels.

Pour ceux qui font eux-mêmes de la publicité sur Google Ads, le problème a un impact indirect mais concret : la confiance générale dans les résultats sponsorisés s’érode. De plus en plus d’utilisateurs — et en particulier les profils tech — installent un bloqueur de publicités et sautent systématiquement les résultats sponsorisés. C’est une réaction rationnelle face à l’expérience, mais elle réduit mécaniquement l’efficacité des campagnes légitimes pour tout le monde.

Travailler sérieusement sur son référencement naturel devient alors une réponse stratégique concrète : moins de dépendance à un canal publicitaire dont tu ne maîtrises pas la fiabilité, et une visibilité organique qu’un acteur malveillant avec une CB prépayée ne peut pas acheter pour te passer devant. Ce n’est pas une solution miracle, mais c’est un levier que tu contrôles.

Ce que tu peux faire, concrètement, dès maintenant

À titre personnel, quelques réflexes simples réduisent drastiquement l’exposition au malvertising. Le premier, et le plus important : ne jamais cliquer sur un résultat « Sponsorisé » pour télécharger un logiciel. Jamais. Tu vas directement sur le site officiel que tu tapes toi-même dans la barre d’adresse, ou via un bookmark préenregistré. Le badge publicitaire n’est pas une garantie de légitimité — c’est simplement de l’argent dépensé pour apparaître en premier.

Le deuxième réflexe : un bloqueur de publicités sérieux. uBlock Origin reste la référence absolue. Sur Firefox, il bloque la quasi-totalité des publicités injectées dans les résultats Google. Sur Chrome, note que Google a progressivement réduit les capacités des extensions de blocage avec la transition vers Manifest V3 — le hasard fait décidément bien les choses. Si tu es sur Chrome et que le blocage te semble moins efficace qu’avant, c’est voulu.

Pour les organisations qui gèrent un site en production, la vigilance passe aussi par un monitoring de marque basique. Un Google Alert sur ton nom de domaine et ta marque, un outil comme mention.com ou même une recherche manuelle régulière, permettent de repérer rapidement si quelqu’un achète des annonces qui t’usurpent. Côté sécurité et maintenance, intégrer ce type de veille dans une routine mensuelle ne coûte pas grand-chose et peut éviter un scandale client bien plus coûteux à gérer.

Avis tranché : Google ne réglera pas ça tout seul

Soyons directs : Google ne va pas résoudre ce problème de manière fondamentale à court terme. Pas parce que c’est techniquement impossible — une vérification humaine renforcée sur les annonces à fort risque (téléchargements, finance, santé) serait tout à fait faisable pour une entreprise qui génère 265 milliards de revenus annuels. Mais parce que l’équation économique ne l’exige pas vraiment. Les annonces malveillantes sont une externalité que Google ne paie pas directement — ce sont les utilisateurs qui en font les frais.

Ce qui pourrait véritablement changer la donne, c’est une régulation sérieuse avec une responsabilité réelle de la plateforme pour les dommages causés par ses annonces. L’Europe s’en approche avec le Digital Services Act, mais l’application reste lente et les sanctions insuffisamment dissuasives pour une entreprise à cette échelle. En attendant, le meilleur garde-fou reste l’éducation numérique : expliquer à ton entourage que le premier résultat Google n’est pas nécessairement le bon, qu’un beau design et un cadenas SSL ne prouvent rien sur la légitimité d’un site.

Mon pari : dans deux ans, un article identique buzzera sur Hacker News, avec 900 points et 400 commentaires. Parce que le problème est rentable pour trop de monde — les fraudeurs qui en vivent, et la plateforme qui encaisse à chaque clic. La seule vraie question, c’est combien de temps les utilisateurs vont encore accepter ça avant de migrer vers autre chose. Et vers quoi, exactement.