Los lectores de sitios web importantes como Vice News , CNET , The Verge , Neowin y más, han estado expuestos a riesgos de seguridad desde 2015 porque los anuncios que publican desde la plataforma de ^{(platform use)}publicidad PowerLinks^{(PowerLinks advertising)} utilizan certificados SSL vencidos . Esto es lo que está sucediendo, a lo que se expone cuando lee publicaciones que incluyen anuncios de PowerLinks y lo que puede hacer para mantenerse seguro:

Los anuncios publicados a través de PowerLinks tienen certificados SSL que vencieron en octubre de 2015^{(October 2015)}

Mientras leía varios sitios web en mi computadora personal, noté que mi solución de seguridad^{(security solution)} se quejaba de que mi navegador intentaba comunicarse a través de un canal que está encriptado con un certificado que no es de confianza. Mi antivirus no podía garantizar la autenticidad del dominio con el que se estableció la conexión cifrada, y esto supuso un riesgo para mi seguridad . ^{(security risk)}Inicialmente, ignoré esta advertencia y seguí leyendo. Sin embargo, después de verlo en varios sitios web importantes, comencé a prestar atención y estudié las cosas con más detalle.

Me sorprendió descubrir que esta advertencia se muestra en grandes publicaciones en línea y siempre se debe a anuncios publicados desde pw.powerlinks.com. Todos ellos cuentan con un certificado SSL^{(SSL certificate)} que caducó en octubre de 2015^{(October 2015)} , como puedes ver a continuación.

Para verificar dos veces si esto era cierto y no solo una falsa alarma, probé otro producto de seguridad^{(security product)} de primer nivel y los resultados fueron los mismos. Navegué por más sitios web y noté que el mismo problema se repetía para algunos nombres importantes en el mundo editorial^{(publishing world)} .

¿Qué ofrece PowerLinks a los^{(PowerLinks offer)} editores?

Según su sitio web oficial, PowerLinks tiene una cartera completa de soluciones y servicios publicitarios. Ofrecen un servidor de anuncios^{(Ad Server)} para los sitios de su cartera de clientes, una plataforma de Ad Exchange^{(Ad Exchange platform)} , anuncios nativos (en texto, en video, en imagen, en feed y en display) y más.

¿Por qué es esto un problema? Los problemas a los que nos exponemos cuando los sitios web muestran anuncios con certificados SSL vencidos^(SSL)

Si no tiene instalada una buena solución de seguridad^{(security solution)} , es posible que nunca note este problema. Sin embargo, si usa un buen antivirus que escanea su tráfico HTTP^{(HTTP traffic)} en tiempo real, entonces le molestará un aviso de seguridad^{(security prompt)} en varias publicaciones de medios grandes que usan servicios de publicidad proporcionados por PowerLinks .

Dejando a un lado el factor de molestia^{(annoyance factor)} , le preguntamos a Catalin Patrascu (jefe del Departamento de Monitoreo y Seguridad de la Información del ^{(Information Security and Monitoring Department)}Equipo de Respuesta a Incidentes de Seguridad Informática Nacional^{(National Computer Security Incident Response Team)} de Rumanía ) sobre los riesgos de seguridad relacionados con estos anuncios, y afirmó lo siguiente:

"Teóricamente, la verificación de los certificados SSL se puede realizar aunque estén vencidos. Para los usuarios que se acostumbran a este error y no verifican el certificado SSL cada vez que reciben el error, existe el riesgo de ser redirigidos a direcciones maliciosas". páginas y convertirse en el objetivo de los ataques de intermediarios"^{("Theoretically, the verification of SSL certificates can be done even though they are expired. For the users that get used to this error and don't check the SSL certificate each time they get the error, there is the risk of getting redirected to malicious pages and becoming the target of man-in-the-middle attacks")} .

Otra cosa importante a considerar es que estos anuncios también rastrean los datos y el comportamiento del usuario. Estos datos se envían a través de un canal inseguro^{(insecure channel)} , dejándolos vulnerables a la interceptación por parte de terceros no deseados.

Los sitios web afectados por este problema incluyen: The Verge , Vice News , CNET y más.

No conocemos la lista exacta de sitios web afectados por este problema. Asumimos que todos los clientes de PowerLinks están en riesgo. Hasta ahora, hemos identificado este problema en publicaciones de grandes medios como The Verge , Vice News , CNET , Neowin y otros^{(Neowin and others)} . Estos sitios web tienen decenas de millones de lectores cada mes, y la seguridad de su audiencia se ha puesto en riesgo todos los días que han publicado anuncios de PowerLinks , desde ^(PowerLinks)octubre de 2015^{(October 2015)} .

Este problema se debe a una simple negligencia por parte de PowerLink .

Lo que estamos tratando aquí es pura negligencia. Estos certificados SSL no han caducado durante un par de días o un mes. Han vencido desde 2015 y PowerLinks no está haciendo su trabajo de ofrecer soluciones publicitarias seguras tanto para las publicaciones en línea como para los lectores de esas publicaciones. Su equipo técnico no se dio cuenta de que su plataforma de publicidad^{(advertising platform)} utiliza certificados SSL que han caducado durante años y no hizo nada para resolver este problema mientras ponía en riesgo a millones de lectores. ¿Los creadores de malware^{(Did malware)} aprovecharon este problema? Esa es una buena pregunta, y no estamos seguros de si PowerLinks puede responder. Al final, ni siquiera se ocuparon de cosas básicas como las fechas de vencimiento.

¿Qué productos de seguridad^{(Which security)} me ayudaron a descubrir este problema?

La primera vez que encontré este problema fue cuando navegaba por algunos de los sitios web que mencioné anteriormente y usaba ESET Smart Security como mi antivirus.

Este problema también fue confirmado por Kaspersky Total Security , como puede ver a continuación.

Nos complace que estos productos hayan hecho su trabajo al informarnos y mantenernos a salvo de las vulnerabilidades de seguridad de la plataforma de anuncios PowerLinks y nos ayuden a desentrañar lo que está sucediendo. ^(PowerLinks)Es una prueba más de que siempre debe instalar un producto antivirus^{(antivirus product)} de terceros y dejar de navegar por la web sin protección. Si tiene curiosidad por obtener más información sobre los riesgos que implica navegar por la web sin protección, lea este experimento que hemos realizado: Cómo infectar su PC con Windows^{(Windows PC)} mientras navega por la web para obtener cosas gratis.

¿Qué hicimos para ayudar a los lectores y publicaciones afectados por este problema de seguridad^{(security issue)} ?

En primer^(First) lugar, escribimos este artículo para informar a todos sobre este asunto. También le pedimos a PowerLinks un comentario oficial. Sin embargo, su correo electrónico de contacto oficial no funciona, y todo lo que recibimos es una falla de notificación de estado^{(Status Notification Failure)} de entrega , que puede ver a continuación.

Enviamos este artículo a todas las publicaciones de medios que hemos encontrado que están afectadas, así como a PowerLinks , utilizando sus canales de redes sociales. Esperamos que no ignoren nuestro mensaje y tomen medidas para solucionar este problema.

UPDATE (03/21/2017): Finalmente logramos enviar nuestro mensaje a PowerLinks , y recibimos la siguiente respuesta de Branden Smythe , VP Business Development :

"Recibí un aviso de que se comunicó con PowerLinks. Abordaremos las inquietudes que publicó en breve".^{("I received notice that you reached out to PowerLinks. We will address the concerns you posted shortly.")}

Hoy, revisamos nuevamente los sitios web donde encontramos los problemas que describimos y ahora todo funciona bien. Parece que PowerLinks ha realizado los pasos necesarios para asegurar la publicación de sus anuncios^{(ad delivery)} en todos los sitios web, lo cual es excelente. Con suerte^(Hopefully) , aprenderán de este problema y cuidarán mejor los conceptos básicos de seguridad, como la fecha de vencimiento^{(expiration date)} de los certificados SSL .

¿Qué puede hacer para protegerse de los anuncios no seguros de PowerLinks ?

Si su solución de seguridad^{(security solution)} se queja de los certificados SSL caducados utilizados por los anuncios de ^(SSL)PowerLinks , debe bloquearlos. Si no tiene un antivirus que escanee su tráfico HTTP^{(HTTP traffic)} en tiempo real , entonces debe ejecutar estos sitios web utilizando modos de navegación privados que también bloquean los anuncios inseguros o encuentra alguna otra forma de bloquearlos. No somos fanáticos de bloquear anuncios en los sitios web que hemos mencionado porque la publicidad es lo que hace que estas publicaciones puedan brindar a todos un excelente contenido. Con suerte, este problema se resolverá pronto y todos podremos disfrutar de nuestras publicaciones favoritas, de forma segura, sin bloquear su publicidad y permitiéndoles obtener ingresos de su trabajo.

PowerLinks ads put millions of readers at risk, from major publications like The Verge, Vice News and more

Readers of major websites like Vice News, CNET, The Verge, Neowin and morе, have been exposed to securitу risks since 2015 becauѕe the аds they run from the PowerLinks advertising plаtform uѕe expired SSL certіficates. Here's what is going on, what you are exposing yourѕelf to when reading publications that include PоwerLinks ads and what you can do to stay safe:

The ads served through PowerLinks have SSL certificates that expired in October 2015

While reading several websites on my personal computer, I have noticed that my security solution was complaining that my browser is trying to communicate over a channel that is encrypted with an untrusted certificate. My antivirus could not guarantee the authenticity of the domain to which the encrypted connection was established, and this posed a security risk for me. Initially, I ignored this warning and just kept reading. However, after seeing it on several big websites, I started paying attention and studied things in more detail.

I was surprised to find that this warning is shown on large online publications and it is always caused by ads served from pw.powerlinks.com. All of them have an SSL certificate that expired in October 2015, as you can see below.

To double check whether this was true and not just a false alarm, I tried another top-notch security product, and the results were the same. I navigated more websites and noticed that the same problem was repeating for some big names in the publishing world.

What does PowerLinks offer publishers?

According to their official website, PowerLinks has a comprehensive portfolio of advertising solutions and services. They offer an Ad Server for the sites in their portfolio of clients, an Ad Exchange platform, native ads (in-text, in-video, in-image, in-feed and in-display ads) and more.

Why is this an issue? The problems we're exposed to when websites display ads with expired SSL certificates

If you don't have a good security solution installed, you might never notice this issue. However, if you use a good antivirus which scans your HTTP traffic in real-time, then you will be annoyed by a security prompt on several large media publications that use advertising services provided by PowerLinks.

Leaving the annoyance factor aside, we asked Catalin Patrascu (head of the Information Security and Monitoring Department at the Romanian National Computer Security Incident Response Team) about the security risks involved with these ads, and he stated the following:

"Theoretically, the verification of SSL certificates can be done even though they are expired. For the users that get used to this error and don't check the SSL certificate each time they get the error, there is the risk of getting redirected to malicious pages and becoming the target of man-in-the-middle attacks".

Another important thing to consider is that these ads also track user data and user behavior. This data is sent through an insecure channel, leaving it vulnerable to interception by unwanted parties.

The websites that are affected by this issue include: The Verge, Vice News, CNET, and more

We don't know the exact list of websites that are impacted by this issue. We assume that all PowerLinks customers are at risk. So far, we have identified this problem on large media publications like The Verge, Vice News, CNET, Neowin and others. These websites have dozens of millions of readers each month, and the security of their audience has been put at risk every day they have run PowerLinks ads, since October 2015.

This problem is caused by plain negligence on PowerLink's part

What we are dealing here is plain negligence. These SSL certificates have not been expired for a couple of days or a month. They have been expired since 2015 and PowerLinks are not doing their job of offering secure advertising solutions to both online publications and readers of those publications. Their technical team did not notice that their advertising platform uses SSL certificates that have been expired for years and did nothing to solve this problem while putting millions of readers at risk. Did malware creators exploit this issue? That's a good question, and we're not sure whether PowerLinks can answer. In the end, they did not even take care of basics like expiration dates.

Which security products helped me discover this issue?

The first time I found this problem was when I was navigating some of the websites I mentioned earlier and used ESET Smart Security as my antivirus.

This issue was also confirmed by Kaspersky Total Security, as you can see below.

We're pleased that these products did their job in informing us and keeping us safe from the security vulnerabilities of the PowerLinks ads platform and helps us unravel what is going on. It's further proof that you should always install a third-party antivirus product and stop browsing the web, unsecured. If you are curious to learn more about the risks involved with browsing the web unprotected, read this experiment that we have run: How to infect your Windows PC while browsing the web for free stuff.

What did we do to help readers and publications that are affected by this security issue?

First of all, we wrote this article to inform everyone on this matter. We also asked PowerLinks for an official comment. However, their official contact e-mail doesn't work, and all we received is a Delivery Status Notification Failure, which you can see below.

We sent this article to all the media publications that we've found that are affected, as well as to PowerLinks, using their social media channels. We hope that they won't ignore our message and will take measures to fix this problem.

UPDATE (03/21/2017): We finally managed to get our message sent to PowerLinks, and we received the following answer from Branden Smythe, VP Business Development:

"I received notice that you reached out to PowerLinks. We will address the concerns you posted shortly."

Today, we checked again the websites where we have found the issues that we described and things are now working well. It seems that PowerLinks has performed the necessary steps to secure their ad delivery on all websites, which is great. Hopefully, they will learn from this problem and take better care of security basics like the expiration date of SSL certificates.

What can you do to protect yourself from insecure PowerLinks ads?

If your security solution is complaining about the expired SSL certificates used by PowerLinks ads, you should block them. If you don't have an antivirus which scans your real-time HTTP traffic, then you should run these websites using private browsing modes that also block the insecure ads or find some other way of blocking them. We are not fans of blocking ads on the websites that we have mentioned because advertising is what keeps these publications able to provide everyone with great content. Hopefully, this problem will be solved soon, and we can all enjoy our favorite publications, safely, without blocking their advertising and allowing them to earn revenue from their work.

Related posts

• Jamey Heary de Cisco: Organizaciones que trabajan con información confidencial, usan WiFi encriptado, VPN y aplicaciones encriptadas

• Ciberseguridad a través de la educación: Kaspersky Interactive Protection Simulation

• Premios - El producto antivirus más popular del año 2017

• ¿Qué hay de nuevo en la actualización de noviembre de 2019 de Windows 10?

• Nuevas características que llegan a Windows Defender en Windows 10 Creators Update

• Más de 15 razones por las que debería obtener Windows 10 Fall Creators Update

• Premios: El producto antivirus más popular del año 2018

• 8 razones por las que Cyberghost VPN es una de las mejores VPN del mercado

• Cómo iniciar Windows 10 en Safe Mode con Networking

• Comparativa: ¿Cuál es el mejor antivirus para dispositivos Windows, en 2018?

• "¡Quédate con la tienda Google Play!" dice el reconocido experto en seguridad de la información de ESET

• Windows 10 May 2021 Actualización: ¿Qué hay de nuevo y eliminado?

• Seguridad para todos - Review ESET Smart Security Premium

• ¿Qué hay de nuevo en la actualización de Windows 10 de mayo de 2019? 13 nuevas características!

• Más de 12 razones por las que debería obtener la actualización de abril de 2018 de Windows 10

• Cómo saber qué Windows tengo (11 maneras)

• Premios: El mejor producto antivirus gratuito del año 2018

• 6 maneras de cerrar sesión en Windows 11

• Las 5 prácticas más molestas de los proveedores de antivirus

• Cómo usar el Windows USB/DVD Download Tool