Stručně: Reklamní účty se nehackují uhodnutím hesla. Mezi doložené způsoby napadení patří krádež relace prohlížeče, phishingová proxy, která předá heslo i jednorázový kód, falešná žádost o propojení s účtem správce nebo o partnerský přístup, krádež API tokenu a přístup, který nikdo neodebral. V Lynt proto každých 30 minut kontrolujeme každý Google Ads a Meta účet klienta. Zjišťujeme, zda je účet stále aktivní. Sledujeme změny platební metody a limitu útraty. Kontrolujeme, zda reklamy stále míří na doménu klienta a zda někdo nový nezískal přístup. Každou změnu posíláme do Slacku a na interní stránku, kde ji odpovědná osoba schválí nebo zamítne. Implementační zadání si můžeš stáhnout.
Útočníci nehádají hesla k účtům Google Ads ani k reklamním účtům na Facebooku. Bezpečnostní zprávy z let 2025 a 2026 popisují pět způsobů, jak se do nich útočníci dostávají. Ani jeden z nich nestojí na slabém hesle.
- Ukradená relace prohlížeče. Malware typu infostealer zkopíruje cookies z prohlížeče, ve kterém je uživatel přihlášený. Společnost Recorded Future v roce 2025 indexovala 276 milionů přihlašovacích údajů, ke kterým patřila i aktivní cookie relace. S takovou cookie útočník nepotřebuje heslo ani druhý faktor (Recorded Future). Ducktail je rodina malwaru vytvořená pro účty Facebook Business. Útočníci ji šíří v podobě falešných nabídek práce v marketingu (WithSecure).
- Phishingová proxy, která projde dvoufázovým ověřením. Oběť přes proxy zadá své pravé heslo do stránky, která vypadá jako skutečná, a potvrdí výzvu k ověření. Proxy si pak ponechá relaci, kterou web vytvoří. Do poloviny roku 2025 měla jediná pronajímaná phishingová sada na svědomí 62 procent pokusů o phishing, které Microsoft zablokoval (Microsoft). Zločinci nakoupili reklamy ve výsledcích vyhledávání Google pro dotaz „Google Ads“, aby oběti poslali na takovou proxy (Malwarebytes).
- Falešná pozvánka. Na platformě Meta útočník pošle žádost o partnerský přístup. Návnada se skrývá v názvu firmy, zatímco samotný e-mail je pravá zpráva od Mety (Huntress). Na Googlu útočník pošle falešnou pozvánku k propojení s účtem správce, která oběť zavede na napodobeninu přihlašovací stránky. Agentury takto přišly o celé účty správce, na kterých bylo zapnuté dvoufázové ověření (Search Engine Land).
- Ukradený API token nebo oprávnění aplikace. Přístupy udělené přes OAuth a tokeny systémových uživatelů Meta zůstávají platné i po změně hesla. Přestanou fungovat, až když je administrátor zruší.
- Přístup, který nikdo neodebral. Může jít o freelancera, který účet spravoval před dvěma lety, předchozí agenturu nebo bývalého marketingového manažera klienta.
Jakmile se útočník dostane dovnitř, přidá administrátora a připojí napadený účet k nadřazenému účtu. Potom změní platební metodu nebo limit útraty. Spustí kampaně a nasměruje reklamy na doménu, která nepatří klientovi. Mimecast zaznamenal 1,86 milionu detekcí krádeží reklamních účtů jen ve druhé polovině roku 2025. Ukradený účet se prodává za několik set dolarů (Mimecast). V popsaných případech odhalily agentury krádež samy, často až druhý den ráno.
Proč jsme vytvořili třicetiminutovou kontrolu
Spravujeme klientské účty v Google Ads a na platformě Meta. Naše původní kontrola běžela každé 2,5 hodiny a sledovala jen přístupy uživatelů. V popsaných případech ale peníze zmizely během jediného dne. Při převzetí účtu se navíc nemění jen přístupy. Kontrola proto nyní běží každých 30 minut a sleduje stav účtu, platební metodu, limit útraty, cílové adresy reklam i přístupy uživatelů.
Tuto verzi jsme nasadili v září 2026. Každý spravovaný účet na obou platformách kontrolujeme každých 30 minut. Seznam lidí s přístupem k účtu Google Ads kontrolujeme ještě častěji, každých 18 minut. Jednou denně navíc monitor kompletně načte každý účet. Pokryje tak data, kterých se třicetiminutové běhy nedotknou. Software na žádné z platforem nic nemění. Rozhodnutí dělá člověk.
Co systém kontroluje
| Kontrola | Google Ads | Meta |
|---|---|---|
| Je účet aktivní? | Stav účtu zjišťujeme přes náš účet správce. Účet může být pozastavený, zrušený nebo uzavřený. API neuvádí důvod pozastavení a upozornění toto omezení výslovně zmiňuje. | Meta vrací stav účtu a důvod deaktivace včetně vlastního příznaku napadení. |
| Je problém s platbou? | U fakturovaných účtů zjistíme, zda je rozpočet účtu vyčerpaný. API neukáže zamítnutí karty ani zůstatek kreditu. V upozornění toto omezení uvádíme. | Zjistíme změnu zdroje financování i změnu nebo reset limitu útraty. Vidíme také, zda je účet kvůli nezaplacenému zůstatku označený jako neuhrazený. |
| Míří reklamy stále na doménu klienta? | Každých 30 minut čteme události změn a přehled vstupních stránek za dnešní den. Kontrola potom znovu načte upravené položky. Denní průchod pokrývá nastavené URL adresy a měřicí šablony na všech úrovních. | Každých 30 minut čteme odkazy ze všech aktivních kreativ. Kompletní audit běží jednou denně a zachytí každou změnu parametrů v URL. |
| Získal někdo nový přístup? | U každého uživatele čteme jeho roli, datum vytvoření a jméno člověka, který ho pozval. Kontrolujeme čekající pozvánky a propojení s účty správce ve všech stavech. Čekající žádost vidíme dříve, než ji klient přijme. Stejným způsobem kontrolujeme i vlastní účty správce. | Protokol aktivit ukazuje, kteří uživatelé byli do účtu přidáni nebo z něj odebráni. Kontrolujeme také přidané a odebrané partnerské firmy. Denní kontrola zahrnuje vlastní uživatele v Business Manageru, systémové uživatele a nastavení dvoufázového ověření. |
| Ztratili jsme vlastní přístup? | Pokud účet přestane odpovídat, označíme ho jako nenačtený, dokud opět nezačne odpovídat. | Ztráta oprávnění spustí upozornění. Neplatný token způsobí chybu celého běhu, kterou systém nahlásí. |
Systém porovnává každé čtení s předchozím snímkem. Z každého přidaného, odebraného nebo změněného řádku vytvoří nález. Chybu oprávnění ukládá jako samostatný stav daného účtu, nikdy jako prázdný výsledek. Denní souhrn zčervená, pokud některá kontrola neproběhne v naplánovaném intervalu.
Jak s tím tým pracuje
- Související nálezy na jednom účtu se spojí do jednoho incidentu. Incident pošleme odpovědnému člověku přímou zprávou ve Slacku a zároveň ho zveřejníme jako jeden záznam v týmovém kanálu. Zpráva i záznam mají dva řádky, odkaz a jméno klienta i specialisty, který se o účet stará. Upozornění se zopakuje jen tehdy, když incident eskaluje.
- Odkaz otevře interní stránku dostupnou pouze v naší síti. Stránka ukazuje účet, provedenou změnu, předchozí a nový stav, čas zjištění i to, co je potřeba ověřit.
- Schválení přesně pojmenuje, co jsme povolili. Jde například o konkrétního uživatele s konkrétní rolí, nebo konkrétní doménu na konkrétním účtu. Každá pozdější změna musí projít novou kontrolou. Když událost zamítneme, incident zůstane otevřený a událost označená jako neoprávněná. Když nové načtení nedokáže událost potvrdit ani vyvrátit, recenzent ji uzavře možností Vyřešit s poznámkou.
- Člověk opraví problém v Google Ads nebo na platformě Meta. Incident se uzavře, jakmile další kompletní čtení potvrdí, že neoprávněný stav zmizel.
- Stavová stránka uvádí specialistu u každého účtu. Ukazuje poslední úspěšné čtení, nevyřízená rozhodnutí a údaje, které nemůžeme načíst. V 07:00 odchází do Slacku jeden dvouřádkový souhrn pro obě platformy.
Proč jsme zvolili toto řešení
- Každých 30 minut. Tento interval určuje kvóta API. Každé čtení a spotřeba našich dalších nástrojů se započítávají do stejné kvóty. Monitor do limitu započítá vlastní operace a nahlásí každý zpožděný běh.
- Jen čtení a schválení člověkem. Nového uživatele nebo novou doménu často přidá specialista či nová agentura klienta. Může jít ale také o převzetí účtu. Monitor tyto příčiny nerozliší. Odpovědný člověk je obvykle rozezná do hodiny.
- Chyby se neschovávají. Monitor, který tiše zemře, je horší než žádný monitor. Tým kvůli němu přestane dávat pozor. Běh kvůli vypršenému tokenu selže a systém to nahlásí. Chybu oprávnění ukládáme jako samostatný stav, nikdy jako prázdný výsledek. Účet, který nelze přečíst, dostane každý den příznak, že se jeho data nepodařilo načíst.
- U každého upozornění uvádíme omezení. Zelená nesmí nikdy znamenat „nevidíme to“. URL adresy produktů v kampaních v Nákupech jsou uložené v Merchant Center, ne v Ads API. Dynamické reklamy ve vyhledávání volí vstupní stránku až při zobrazení. Při našem vlastním skenování měly čtyři z deseti aktivních reklam na platformě Meta odkaz uložený v příspěvku na Stránce a katalogové reklamy ho ukládají do katalogu. Ke čtení odkazů z příspěvků i katalogů potřebujeme oprávnění, které naše aplikace nemá. Google nezpřístupňuje informace o zamítnutí karty. Ani jedna platforma nám nezpřístupňuje stav dvoufázového ověření klientských uživatelů. Místo toho dvoufázové ověření vynucujeme v nastavení účtu.
Stáhni si checklist a implementační zadání
V jednom souboru dostaneš bezpečnostní checklist, který můžeš projít s lidmi spravujícími tvé Google Ads a Meta účty. Najdeš v něm i implementační zadání pro monitor popsaný výše. Obsahuje ukázkové dotazy pro Google Ads API v23, čtení z Meta API v24, navrhovaná pravidla detekce a známé mezery v pokrytí. Vývojář musí zadání přizpůsobit tvým účtům a řešení na nich otestovat. Zadej svůj e-mail a soubor je tvůj.
Jeden soubor, jeden seznam. Píšu, jen když je co číst.
Můj Google Ads účet byl hacknut. Co mám dělat nejdřív?
Použij důvěryhodné zařízení a izoluj každý počítač, u kterého máš podezření na infekci. Napadení okamžitě nahlas podpoře Google Ads přes formulář pro napadený účet. Pokud se do účtu stále dostaneš, pozastav kampaně, které jsi neschválil. Historii změn a fakturační stránky si ponech jako důkaz. V sekci Přístup a zabezpečení odstraň potvrzené neoprávněné uživatele a propojení s účty správce. Pokud se do účtu nedostaneš, spusť obnovení účtu Google. Nastav nové heslo, zkontroluj přihlášená zařízení a zruš přístup třetích stran, které nepoznáváš. Zkontroluj také e-mail a telefon pro obnovení účtu i platební metody. Platby, které jsi neschválil, nahlas vydavateli karty.
Jak poznám, že byl můj reklamní účet na Facebooku nebo Business Manager hacknut?
Prověř každého neznámého uživatele nebo partnera. Zjisti, zda bez tvého pokynu nezmizel některý administrátor. Zkontroluj každou změnu způsobu financování a každou kampaň, kterou jsi neschválil. K zásahu stačí jediný takový signál. Nečekej na další signály ani na to, až Meta označí účet za napadený. Spusť obnovu napadeného účtu na Facebooku a kvůli dotčeným assetům kontaktuj firemní podporu Mety. Pokud máš stále přístup, pozastav neschválené reklamy a odstraň potvrzené neoprávněné přístupy. Požádej administrátora firmy, aby zkontroloval integrace a zrušil tokeny dotčených systémových uživatelů.
Proč to dvoufázové ověření nezastavilo?
S ukradenou relací může útočník jednat bez dalšího přihlášení, takže web druhý faktor vůbec nevyžádá. Phishingová proxy předá tvé heslo a jednorázový kód skutečnému webu a ponechá si relaci, kterou web vytvoří. Přístupové klíče (passkeys) a hardwarové bezpečnostní klíče tomuto typu phishingu odolávají. Neochrání ale relaci, kterou už útočník ukradl z infikovaného zařízení. Schválit útočníkovu žádost o přístup je jiný typ chyby. Přístup jsi mu udělil sám.
Mohou Google Ads a Meta API hlásit stav dvoufázového ověření uživatelů?
Google Ads API v23 nezpřístupňuje stav dvoufázového ověření jednotlivých uživatelů ani požadavek na jeho zapnutí pro celý účet. Meta zpřístupňuje údaje o dvoufázovém ověření u firem, které smíš spravovat. Když jsme ale k firmě klienta přistupovali jako partner, API tato pole vynechalo a vrátilo prázdný seznam uživatelů. Chybějící pole považuj za neznámý stav, nikoli za vypnuté ověření. Požadavek na dvoufázové ověření u klienta proto kontroluj přímo v nastavení.
Jak často by měla agentura kontrolovat, kdo má přístup ke klientským reklamním účtům?
Interval zvol podle možné útraty, rizika spojeného s přístupy a toho, jak rychle dokáže někdo zareagovat. V popsaných případech útočníci utratili desítky tisíc dolarů během jediného dne. Noční kontrola proto u účtu s vysokou útratou nechává dlouhé rizikové okno. Každý klientský účet kontrolujeme každých 30 minut. Týdenní nebo čtvrtletní revize přístupů slouží ke kontrole při ukončení spolupráce. Probíhající převzetí nezachytí, proto mezi revizemi sleduj bezpečnostní upozornění platforem a upozornění na platby.
Nevyčerpá kontrola každých 30 minut kvótu Google Ads API?
Malé portfolio se k limitu ani nepřiblíží. Níže uvedené součty předpokládají, že každé čtení probíhá každých 30 minut. Při třicetiminutovém intervalu proběhne každá ze čtyř kontrol přístupů 48krát denně. Se sedmi denními kontrolami cílových adres a kontrolou událostí změn každých 30 minut je to 247 operací na účet a den. V tomto součtu ještě nejsou cílená opakovaná čtení, další pokusy ani operace ostatních nástrojů. Úroveň Basic access umožňuje 15 000 operací za posledních 24 hodin. Při 247 operacích na účet to stačí maximálně pro 60 účtů. Větší portfolio potřebuje delší interval nebo úroveň Standard access. Zkontroluj úroveň přístupu svého projektu v Google Cloud a rezervuj kapacitu pro celou zátěž.
Začni s jedním účtem. Ručně ověř jeho seznam uživatelů a schválené cílové adresy. Potom otestuj detekci, neúspěšné čtení a doručení upozornění, než monitor rozšíříš na ostatní účty.
