Fraude : quand le bot404 défie ads.txt

Lancé il y a 3 ans par l’IAB Tech Lab afin de permettre aux éditeurs de mieux contrôler les sociétés autorisées à vendre des annonces sur leurs sites, Ads.txt fait aujourd’hui lui-même l’objet d’une fraude opérée par le bot404.

Le principe d’ads.txt

Ads.txt est un fichier texte au sein duquel sont répertoriés les vendeurs que les éditeurs identifient comme étant autorisés à vendre leur inventaire. Le fichier indique quand un annonceur achète des inventaires directement auprès d’un éditeur ou via un fournisseur de technologie agréé et met également en évidence les sites qui n’utilisent pas de fichier ads.txt ou encore les inventaires vendus sans l’accord d’un éditeur.

Si le fichier aide les annonceurs à éviter les vendeurs illégitimes, les fraudeurs ont bel et bien trouvé une ruse pour détourner malgré tout les budgets des annonceurs.

Le bot404 s’engouffre dans la brèche des fichiers non vérifiés

Actif depuis 2018, le bot404 relève du domain spoofing (usurpation de nom de domaine) qui représente l’une des fraudes les plus lucratives et difficiles à détecter. Il s’agit d’un système de robots qui génèrent de fausses données de navigation et créent des URL afin de s’emparer des investissements média.

Concrètement, les fraudeurs se font passer pour la page web d’un éditeur, qui est en réalité une page 404 ; la transaction apparaît comme un achat légitime auprès d’un vendeur autorisé alors que l’inventaire est inexistant. Les pertes se comptabilisent des deux côté de la chaîne : l’annonceur investit du budget à perte pour des annonces qui ne seront pas diffusées et les fraudeurs s’emparent des revenus potentiels de l’éditeur.

D’après IAS, à ce jour, le bot404 a causé une perte de 15 M$ à l’industrie en affectant plus d’1,5 milliards de publicités vidéo vendues sur des sites éditeurs du Royaume-Uni, des Etats-Unis, du Canada et d’Australie. Le point commun des éditeurs victimes de ce type de fraude est qu’ils disposent tous d’une longue liste au sein de leur fichier ads.txt. Or, plus la liste ads.txt est longue, plus il devient difficile de vérifier si des vendeurs non autorisés y sont présents. Pour contrer cette technique de fraude, les éditeurs doivent donc vérifier et mettre à jour leur fichier en permanence, comme recommandé par IAS.

Stéphanie (source : Digiday)