Esta semana leí una historia que me dejó con una mala espalda que no se me ha quitado: un desarrollador independiente construyó RACE, un multiplexor de terminales nativo para macOS escrito en Rust, firmado y notarizado como corresponde. Le puso una página web limpia, estática, sin rastreadores raros, alojada en Cloudflare. Y decidió promocionarla con una campaña de Google Ads.
El resultado: gastó USD 500 y al poco rato Google le suspendió la cuenta por «Malicious software» y «Compromised Site». Acusaciones graves si son ciertas. El problema es que no eran ciertas.
El desarrollo de los hechos es casi de comedia negra
El tipo hizo lo que cualquiera de nosotros haría: revisó su sitio de arriba a abajo buscando qué habría podido disparar la alerta. Firmas válidas, bundles revisados, cero JavaScript de terceros sospechoso. Nada. Luego apeló.
La apelación fue rechazada. Apeló de nuevo con más evidencia, incluyendo un reporte de revisión de seguridad independiente que declaraba el DMG, las firmas y todos los assets limpios. Rechazada otra vez. Google ni siquiera le dijo qué era malicioso, qué estaba comprometido, ni por qué su evidencia no bastaba. En cambio, le sugirió que si no tenía información nueva, mejor borrara su cuenta. Y le señaló sus opciones de reclamo ante la UE, lo cual es casi un chiste considerando que es polaco, no ciudadano de la UE.
Ahí viene el remate: después de que la historia subió a Hacker News y se hizo visible, la cuenta fue reinstalada «por la mágia aparente de Hacker News», según escribió el propio afectado. Sin explicación de qué disparó la suspensión. Sin disculpa. Sin cambiar nada del sitio, que siempre fue el mismo.
Por qué esto me importa como alguien que estudia seguridad
Trabajo con detección de amenazas todos los días en mi pega, y entiendo la necesidad de filtros automáticos. Google revisa millones de anuncios y URLs; escanear a mano es imposible. El problema no es el falso positivo — los falsos positivos existen en cualquier sistema de detección. El problema es el proceso, o mejor dicho, la ausencia de uno.
Piensa en la asimetría: un sistema automatizado acusa, dos apelaciones con evidencia técnica sólida son rechazadas por el mismo sistema, y ninguna respuesta humana explica nada. Eso no es una revisión de seguridad, es una patada al arco sin videoarbitraje. Y el único mecanismo que funcionó fue el escándalo público — o sea, la apelación real es hacer ruido en redes. Si no tienes la suerte de que tu caso llegue a la portada de Hacker News, tu software legítimo queda marcado como malware para siempre y no existe canal alguno para revertirlo.
Esto tiene consecuencias concretas para la seguridad del ecosistema entero. Cuando los desarrolladores honestos aprenden que publicar software legítimo te puede dejar clasificado como distribuidor de malware sin remedio, y que la única defensa es la viralidad, la confianza en los canales oficiales se erosiona. Es literalmente lo contrario de lo que un sistema antimalware debería lograr.
Lo que me quedo de esto
Primero: si vas a usar Google Ads para promover un producto, asume que la cuenta es desechable. No metas ahí tu presupuesto completo ni tu único canal de distribución. Segundo: documenta todo desde el día uno — firmas, VirusTotal, Search Console — porque cuando llegue el falso positivo, esa evidencia es lo único que tendrás, aunque igual no sirva de mucho si nadie la lee. Y tercero, y más incómodo: como usuarios, deberíamos exigir que las decisiones automatizadas de esta magnitud — acusar a alguien de distribuir malware, con impacto directo en su reputación y su negocio — tengan al menos un nivel de revisión humana explicable. No estamos pidiendo luna.
El desarrollador terminó con su cuenta restaurada y su software intacto, pero sin una sola respuesta de por qué. Para mí ese es el verdadero fail del asunto. No fue el clasificador que se equivocó — eso pasa — fue todo lo que vino después. O mejor dicho, lo que no vino: nada.
Fuente de inspiración: How I advertise malicious software on Google Ads
