Pushpaganda : Google Discover détourné par IA

Les faits

Le 17 avril 2026, l'équipe Satori Threat Intelligence de HUMAN a publié une analyse détaillée d'une vaste opération de fraude publicitaire baptisée Pushpaganda. Le mécanisme pushpaganda google discover scareware repose sur l'empoisonnement méthodique du flux de recommandations de Google Discover : les opérateurs publient en volume des articles générés par intelligence artificielle, calibrés pour imiter le ton et la mise en page de médias grand public, puis les optimisent afin de remonter dans les suggestions personnalisées affichées sur mobile. L'internaute qui consulte l'un de ces contenus est ensuite redirigé vers des pages piégées : fausses alertes de sécurité, invitations à activer les notifications push du navigateur, ou écrans de vérification imitant un contrôle antibot. Une fois l'abonnement push obtenu, les attaquants disposent d'un canal durable pour diffuser scareware, arnaques et publicités frauduleuses, bien au-delà de la visite initiale.

Une fois que l'utilisateur clique sur un article piégé, il est redirigé vers un domaine contrôlé par l'attaquant. La page incite à accepter les notifications push du navigateur. Dès l'autorisation accordée, les notifications diffusent de fausses alertes légales, des menaces de poursuites fictives et des messages scareware poussant à installer de faux antivirus, à appeler un support technique frauduleux ou à payer pour résoudre un problème inexistant. La persistance de ces notifications, même après fermeture du navigateur, rend la désinstallation difficile pour les utilisateurs non techniques.

Impact et exposition

Pushpaganda illustre une évolution significative de la fraude à la notification : la combinaison d'IA générative pour produire du contenu crédible à l'échelle, de SEO black-hat pour apparaître dans des flux éditorialisés comme Discover, et d'un vecteur web natif (les notifications) qui contourne les protections anti-malware classiques. Les cibles sont principalement des utilisateurs mobiles grand public, mais les mêmes techniques peuvent viser des collaborateurs d'entreprise consultant des actualités professionnelles sur leur téléphone personnel. Le risque collatéral : phishing vocal, installation de logiciels indésirables, vol de données bancaires via faux support.

Recommandations

• Sensibiliser les collaborateurs à ne jamais accepter de notifications push depuis des sites d'actualité ou des recommandations Discover.
• Configurer les navigateurs d'entreprise pour bloquer par défaut les demandes de notification (chrome://settings/content/notifications).
• Auditer régulièrement la liste des sites autorisés à envoyer des notifications sur les postes gérés.
• Déployer un filtrage DNS (type Quad9, NextDNS, solution entreprise) pour bloquer les domaines de scareware identifiés.
• Intégrer un module "reconnaître les faux supports techniques" dans le programme de sensibilisation.

Sur les techniques de social engineering émergentes, consultez notre article sur la campagne PHANTOMPULSE via Obsidian et notre dossier sur le démantèlement du kit phishing W3LL.

Contexte : une escalade de la fraude aux notifications navigateur

Le vecteur exploité par Pushpaganda n'est pas nouveau : l'abus des notifications push web (une fonctionnalité standard des navigateurs Chrome, Edge et Firefox depuis 2015) alimente depuis 2019 un écosystème entier de fraude publicitaire à bas coût. Des campagnes comme celles documentées par plusieurs éditeurs de sécurité entre 2020 et 2023 utilisaient déjà de faux CAPTCHA ("cliquez pour prouver que vous n'êtes pas un robot") pour piéger l'utilisateur à accepter des notifications, avant de les monétiser via des liens d'affiliation frauduleux ou des redirections vers de fausses alertes de sécurité. Ce qui distingue Pushpaganda, selon l'analyse de l'équipe Satori, c'est l'industrialisation du volet amont de la chaîne : au lieu de dépendre de campagnes publicitaires malveillantes (malvertising) coûteuses et rapidement bloquées par les filtres des régies, les opérateurs ont choisi de détourner un canal de distribution éditorial gratuit et massif — Google Discover, qui alimente le fil d'actualités personnalisé sur des centaines de millions de terminaux Android et l'application Google.

La génération d'articles par IA change également l'échelle du problème. Là où le SEO black-hat classique nécessitait des rédacteurs humains pour produire du contenu crédible en volume, les modèles de langage permettent de générer des centaines, voire des milliers de faux articles d'actualité par jour, chacun optimisé pour un mot-clé ou une actualité tendance différente, rendant la détection automatisée par les filtres anti-spam de Google plus difficile. Cette dynamique rejoint une tendance de fond observée par plusieurs chercheurs en 2025-2026 : l'IA générative abaisse le coût marginal de production de contenu de phishing et de désinformation à un niveau proche de zéro, ce qui déplace l'avantage compétitif des attaquants du volume vers la qualité du ciblage et la vitesse d'itération face aux contre-mesures.

Sur le plan sectoriel, le marché de la fraude à la notification reste difficile à chiffrer précisément, mais les acteurs spécialisés en fraude publicitaire (ad fraud) estiment que les campagnes de ce type génèrent des revenus via trois canaux principaux : la publicité programmatique (impressions frauduleuses facturées aux annonceurs légitimes), les schémas d'affiliation frauduleux (paiement au clic ou à l'installation), et l'escroquerie directe (faux support technique, fausses amendes, abonnements cachés). HUMAN Security, dont l'équipe Satori a publié l'analyse, est un acteur reconnu de la lutte anti-fraude publicitaire, notamment via son partenariat avec plusieurs grandes régies et éditeurs pour le blocage de trafic invalide (invalid traffic, IVT) ; ses publications font régulièrement référence dans l'industrie, aux côtés de celles de Group-IB, Recorded Future ou de l'Anti-Phishing Working Group (APWG).

Pour les entreprises, l'enjeu dépasse le seul utilisateur grand public : un smartphone personnel compromis par des notifications malveillantes persistantes peut servir de point d'entrée à de l'ingénierie sociale plus ciblée (faux support technique demandant un accès distant, collecte de données personnelles réutilisables pour du phishing ultérieur en contexte professionnel). Les équipes de sensibilisation à la sécurité gagnent donc à intégrer ce type de scénario — au-delà du seul e-mail de phishing — dans leurs campagnes de formation, en particulier pour les collaborateurs en BYOD ou disposant d'un accès mail professionnel sur mobile personnel.