W skrócie: Do przejęcia kont reklamowych nie dochodzi przez odgadnięcie hasła. Udokumentowane metody ataku to skradziona sesja przeglądarki, phishingowy serwer proxy przekazujący hasło i kod jednorazowy, fałszywe zaproszenie do połączenia z kontem menedżera lub prośba od partnera, skradziony token API oraz dostęp, którego nikt nie odebrał. Dlatego w Lynt uruchamiamy kontrolę co 30 minut na każdym koncie Google Ads i Meta klienta. Sprawdzamy, czy konto jest nadal aktywne oraz czy zmieniła się metoda płatności lub limit wydatków. Kontrolujemy też, czy reklamy nadal prowadzą do domeny klienta i czy ktoś nowy uzyskał dostęp. Każda zmiana trafia na Slacka i na wewnętrzną stronę. Odpowiedzialna osoba zatwierdza ją lub odrzuca. Możesz też pobrać brief wdrożeniowy.
Atakujący nie zgadują haseł do kont Google Ads ani kont reklamowych na Facebooku. Raporty bezpieczeństwa z lat 2025 i 2026 opisują pięć sposobów przejęcia takich kont. W żadnym z nich słabym punktem nie jest hasło.
- Skradziona sesja przeglądarki. Złośliwe oprogramowanie typu infostealer kopiuje pliki cookie z zalogowanej przeglądarki. W 2025 roku firma Recorded Future zindeksowała 276 milionów zestawów danych logowania zawierających aktywny plik cookie sesji. Do użycia takiego pliku cookie nie potrzeba hasła ani drugiego składnika (Recorded Future). Atakujący rozsyłają Ducktail pod pozorem ofert pracy w marketingu. To rodzina złośliwego oprogramowania stworzona z myślą o kontach firmowych na Facebooku (WithSecure).
- Phishingowy serwer proxy obchodzący weryfikację dwuetapową. Ofiara wpisuje poprawne hasło na stronie, która wygląda jak prawdziwa, i zatwierdza monit. Serwer proxy przejmuje wtedy sesję utworzoną przez prawdziwy serwis. Do połowy 2025 roku jeden wynajmowany zestaw phishingowy odpowiadał za 62% prób phishingu zablokowanych przez Microsoft (Microsoft). Przestępcy kupowali w Google reklamy wyświetlane na zapytanie „Google Ads”, aby kierować ofiary na taki serwer proxy (Malwarebytes).
- Fałszywe zaproszenie. Na platformie Meta atakujący składa prośbę o dostęp partnerski. Przynęta znajduje się w nazwie firmy, a sam e-mail to autentyczna wiadomość od Meta (Huntress). W Google atakujący wysyła fałszywe zaproszenie do połączenia z kontem menedżera, które kieruje ofiarę na stronę logowania imitującą Google. W ten sposób napastnicy przejmowali całe konta menedżera agencji mimo włączonej weryfikacji dwuetapowej (Search Engine Land).
- Skradziony token API lub uprawnienie aplikacji. Uprawnienia OAuth i tokeny użytkowników systemowych Meta działają nadal po zresetowaniu hasła, dopóki administrator ich nie cofnie.
- Dostęp, którego nikt nie odebrał. Nadal może go mieć freelancer sprzed dwóch lat, poprzednia agencja albo były menedżer marketingu klienta.
Po przejęciu konta napastnik dodaje administratora i łączy przejęte konto z kontem nadrzędnym. Następnie zmienia metodę płatności lub limit wydatków. Uruchamia kampanie i kieruje reklamy na domenę nienależącą do klienta. Firma Mimecast odnotowała 1,86 miliona wykryć kradzieży kont reklamowych w samej drugiej połowie 2025 roku. Skradzione konto sprzedaje się za kilkaset dolarów (Mimecast). W przypadkach opisanych w publicznych źródłach poszkodowane agencje same wykrywały kradzież, często następnego ranka.
Dlaczego uruchomiliśmy kontrolę co 30 minut
Zarządzamy kontami klientów w Google Ads i Meta. Nasza wcześniejsza kontrola działała co 2,5 godziny i obejmowała tylko dostęp użytkowników. W przypadkach opisanych w publicznych źródłach pieniądze znikały w ciągu jednego dnia. Przejęcie konta wiąże się jednak nie tylko ze zmianami w dostępie użytkowników. Obecna kontrola działa co 30 minut i obejmuje status konta, metodę płatności, limit wydatków, miejsca docelowe reklam oraz dostęp użytkowników.
Tę wersję uruchomiliśmy we wrześniu 2026 roku. System co 30 minut odczytuje dane każdego konta, którym zarządzamy na obu platformach. Listę osób z dostępem w Google odczytuje jeszcze częściej, co 18 minut. Raz dziennie monitor wykonuje też pełny odczyt każdego konta. Obejmuje on dane, których nie sprawdzają kontrole co 30 minut. Oprogramowanie niczego nie zmienia na żadnej z platform. Decyzje podejmuje człowiek.
Co sprawdza system
| Kontrola | Google Ads | Meta |
|---|---|---|
| Czy konto jest aktywne? | Status konta odczytujemy przez nasze konto menedżera. Konto może być zawieszone, anulowane lub zamknięte. API nie podaje powodu zawieszenia, a alert wyraźnie wskazuje to ograniczenie. | Odczytujemy status konta i powód jego wyłączenia. Wśród danych jest też oznaczenie konta przez Meta jako przejętego. |
| Czy występuje problem z płatnością? | Wykrywamy wyczerpanie budżetu na kontach rozliczanych na podstawie faktury. API nie udostępnia informacji o odrzuconej płatności kartą ani o saldzie przedpłaconym. Alert wyraźnie informuje o tym ograniczeniu. | Wykrywamy zmianę źródła finansowania oraz zmianę lub zresetowanie limitu wydatków. Odczytujemy też oznaczenie konta jako nierozliczonego z powodu zaległości w płatnościach. |
| Czy reklamy nadal kierują na domenę klienta? | Co 30 minut odczytujemy zdarzenia zmian i raport stron docelowych z bieżącego dnia. System ponownie odczytuje zmienione elementy. Raz dziennie sprawdzamy skonfigurowane adresy URL i szablony śledzenia na każdym poziomie. | Co 30 minut sprawdzamy linki w każdej aktywnej kreacji. Pełny audyt wykonujemy codziennie. Wykrywa on każdą zmianę parametrów URL. |
| Czy ktoś nowy uzyskał dostęp? | Odczytujemy każdego użytkownika, jego rolę, datę utworzenia oraz osobę, która go zaprosiła. Sprawdzamy oczekujące zaproszenia i połączenia z kontami menedżera niezależnie od ich statusu. Widzimy oczekującą prośbę, zanim klient ją zaakceptuje. W ten sam sposób sprawdzamy własne konta menedżera. | Dziennik aktywności pokazuje użytkowników dodanych do konta i z niego usuniętych. Odczytujemy też dodane i usunięte firmy partnerskie. Codziennie sprawdzamy własnych użytkowników Business Managera, użytkowników systemowych i ustawienia weryfikacji dwuetapowej. |
| Czy straciliśmy własny dostęp? | Konto, które przestaje odpowiadać, oznaczamy jako nieodczytywalne, aż znów zacznie odpowiadać. | Utrata uprawnienia uruchamia alert. Nieprawidłowy token przerywa cały przebieg i powoduje zgłoszenie błędu. |
System porównuje każdy odczyt z poprzednią migawką. Każdy dodany, usunięty lub zmieniony wiersz zapisuje jako wykrytą zmianę. Błąd uprawnień zapisujemy jako osobny stan danego konta, nigdy jako pusty wynik. Dzienne podsumowanie zmienia kolor na czerwony, jeśli kontrola nie została wykonana zgodnie z harmonogramem.
Jak korzysta z niego zespół
- Powiązane zmiany wykryte na jednym koncie łączą się w jeden incydent. System wysyła informację o incydencie na Slacku w wiadomości prywatnej do osoby weryfikującej i publikuje ją jako jeden wpis na kanale zespołu. Wiadomość i wpis podają nazwę klienta oraz specjalistę opiekującego się kontem. Powiadomienia nie są ponawiane, dopóki incydent nie zostanie eskalowany.
- Link otwiera wewnętrzną stronę dostępną tylko w naszej sieci. Pokazuje ona konto, co się zmieniło, poprzedni i nowy stan, czas wykrycia oraz elementy do sprawdzenia.
- Gdy zatwierdzasz zdarzenie, system zapisuje jego dokładny zakres. Zatwierdzenie dokładnie określa, na co zezwolono. Może to być na przykład konkretny użytkownik z konkretną rolą albo konkretna domena na danym koncie. Późniejsza zmiana wymaga nowej weryfikacji. Po odrzuceniu zdarzenia incydent pozostaje otwarty i oznaczony jako nieautoryzowany. Gdy nowy odczyt nie może potwierdzić ani odrzucić zdarzenia, weryfikator zamyka je z notatką.
- Człowiek naprawia problem w Google Ads lub Meta. Incydent zamyka się, gdy kolejny pełny odczyt potwierdzi, że nieautoryzowany stan został usunięty.
- Strona statusu wskazuje specjalistę przypisanego do każdego konta. Pokazuje ostatni udany odczyt, oczekujące decyzje oraz dane, których system nie może odczytać. O 07:00 na Slacka trafia jedno dwuwierszowe podsumowanie dla obu platform.
Dlaczego takie wybory
- Co 30 minut. Ten interwał wyznacza limit API. Każdy odczyt i operacje naszych pozostałych narzędzi obciążają ten sam limit. Monitor wlicza własne operacje do tego limitu i zgłasza opóźnione przebiegi.
- Tylko odczyt, a decyzja należy do człowieka. Nowy użytkownik lub nowa domena często są skutkiem zmiany wprowadzonej przez specjalistę albo pojawienia się nowej agencji klienta. Mogą równie dobrze oznaczać przejęcie konta. Monitor nie rozpozna, czy zmiana jest prawidłowa, czy wynika z przejęcia. Odpowiedzialna osoba zazwyczaj potrafi to ocenić w ciągu godziny.
- Błędy nigdy nie są ukrywane. Monitor, który przestaje działać bez żadnego sygnału, jest gorszy niż jego brak, ponieważ zespół przestaje wtedy samodzielnie szukać problemów. Wygasły token przerywa przebieg i powoduje zgłoszenie błędu. Błąd uprawnień zapisujemy jako osobny stan, nigdy jako pusty wynik. Konto, którego nie można odczytać, codziennie oznaczamy jako nieodczytane.
- Każdy alert pokazuje ograniczenia. Zielony status nigdy nie może oznaczać, że nie widzimy danych. Adresy URL produktów w kampaniach Shopping są zapisane w Merchant Center, nie w Ads API. W kampaniach Dynamic Search Ads (DSA) strona docelowa jest wybierana dopiero podczas emisji reklamy. Podczas własnego skanowania stwierdziliśmy, że w czterech z dziesięciu aktywnych reklam Meta link był zapisany w poście opublikowanym przez stronę na Facebooku, a w reklamach katalogowych był zapisany w katalogu. Odczyt linku z posta na stronie lub katalogu wymaga uprawnień, których nasza aplikacja nie ma. Google nie udostępnia danych o odrzuconych płatnościach kartą. Status weryfikacji dwuetapowej użytkowników klienta pozostaje niedostępny na obu platformach. Zamiast tego wymuszamy weryfikację dwuetapową w ustawieniach konta.
Pobierz listę kontrolną i brief wdrożeniowy
Plik zawiera listę kontrolną bezpieczeństwa, którą możesz omówić z administratorami swoich kont Google Ads i Meta. Znajdziesz w nim także brief wdrożeniowy dla opisanego wyżej monitora. W briefie są przykładowe zapytania do Google Ads API w wersji 23, odczyty z Meta API w wersji 24, proponowane reguły wykrywania oraz opis znanych obszarów, których monitor nie obejmuje. Osoba wdrażająca monitor musi dostosować go do twoich kont i na nich przetestować. Zostaw adres e-mail, aby pobrać plik.
Jeden plik, jedna lista. Piszę tylko wtedy, gdy jest co czytać.
Ktoś przejął moje konto Google Ads. Co zrobić najpierw?
Użyj zaufanego urządzenia i odizoluj każdy komputer, który może być zainfekowany. Od razu zgłoś przejęcie konta Google Ads przez formularz dla przejętych kont. Jeśli nadal masz dostęp do konta, wstrzymaj nieautoryzowane kampanie. Zachowaj jako dowody historię zmian oraz strony z danymi rozliczeniowymi. W sekcji Dostęp i bezpieczeństwo usuń użytkowników oraz połączenia z kontami menedżera, jeśli masz pewność, że nie zostały autoryzowane. Jeśli nie możesz się zalogować, rozpocznij odzyskiwanie konta Google. Zresetuj hasło, przejrzyj zalogowane urządzenia i cofnij dostęp aplikacjom zewnętrznym, których nie rozpoznajesz. Sprawdź adres e-mail i numer telefonu do odzyskiwania konta oraz metody płatności. Zgłoś nieautoryzowane obciążenia wydawcy karty.
Jak rozpoznać przejęcie konta reklamowego na Facebooku lub Business Managera?
Sprawdź każdego nieznanego użytkownika lub partnera, każde niezlecone przez ciebie usunięcie administratora, każdą zmianę źródła finansowania oraz każdą kampanię, której nie autoryzowałeś. Już jeden z tych sygnałów wystarczy, by zacząć działać. Nie czekaj na cały ciąg podejrzanych zdarzeń ani na oznaczenie konta jako przejętego przez Meta. Skorzystaj z procedury odzyskiwania zhakowanego konta na Facebooku i zabezpiecz przejęte konto. Skontaktuj się z pomocą dla firm Meta w sprawie zasobów firmy objętych atakiem. Jeśli nadal masz dostęp, wstrzymaj nieautoryzowane reklamy i usuń dostępy, co do których masz pewność, że nie zostały autoryzowane. Poproś administratora firmy, aby sprawdził integracje i unieważnił tokeny użytkowników systemowych powiązane z incydentem.
Dlaczego uwierzytelnianie dwuskładnikowe nie zatrzymało ataku?
Skradziona sesja pozwala atakującemu działać bez ponownego logowania, więc serwis nie prosi o drugi składnik. Phishingowy serwer proxy przekazuje twoje hasło i kod jednorazowy do prawdziwego serwisu, a potem zachowuje utworzoną przez niego sesję. Klucze dostępu i sprzętowe klucze bezpieczeństwa chronią przed taką formą phishingu, ale nie zabezpieczą sesji, która została już skradziona z zainfekowanego urządzenia. Osobnym błędem jest zatwierdzenie prośby atakującego o dostęp, bo w ten sposób to ty udzielasz mu dostępu.
Czy przez API Google Ads i Meta można sprawdzić status uwierzytelniania dwuskładnikowego użytkowników?
Google Ads API w wersji 23 nie udostępnia ani statusu weryfikacji dwuetapowej poszczególnych użytkowników, ani informacji, czy jest ona wymagana na poziomie konta. Meta udostępnia pola dotyczące uwierzytelniania dwuskładnikowego dla firmy, którą możesz administrować. Podczas testu dostępu partnerskiego odpowiedź API dla firmy klienta nie zawierała tych pól, a lista użytkowników była pusta. Brak pola traktuj jako informację, że status jest nieznany, a nie że funkcja jest wyłączona. To, czy na koncie klienta jest wymagana weryfikacja dwuetapowa, sprawdzaj w ustawieniach.
Jak często agencja powinna sprawdzać, kto ma dostęp do kont reklamowych klientów?
Wybierz częstotliwość kontroli na podstawie potencjalnych wydatków, ryzyka związanego z dostępem oraz czasu potrzebnego zespołowi na reakcję. W przypadkach opisanych w publicznych źródłach napastnicy wydali dziesiątki tysięcy dolarów w ciągu jednego dnia. Kontrola wykonywana tylko nocą zostawia więc długie okno na koncie z wysokimi wydatkami. Każde konto klienta odpytujemy co 30 minut. Cotygodniowy lub kwartalny przegląd dostępu pozwala wykryć uprawnienia, których nie odebrano po zakończeniu współpracy. Taki przegląd nie wykryje trwającego przejęcia. Używaj więc powiadomień platform o bezpieczeństwie i płatnościach pomiędzy przeglądami.
Czy odpytywanie co 30 minut wyczerpuje limit Google Ads API?
Małe portfolio nawet nie zbliża się do limitu. Poniższe obliczenia zakładają, że każdy odczyt działa co 30 minut. Przy odpytywaniu co 30 minut system wykonuje każdy z czterech odczytów dostępu 48 razy dziennie. Do tego dochodzi siedem odczytów miejsc docelowych dziennie i odczyt zdarzeń zmian co 30 minut. Łącznie daje to 247 operacji na konto dziennie przed dodatkowymi odczytami konkretnych danych, ponownymi próbami i operacjami innych narzędzi. Dostęp podstawowy pozwala wykonać 15 000 operacji w ciągu dowolnych kolejnych 24 godzin. Przy 247 operacjach na konto limit wystarcza najwyżej na 60 kont. Większe portfolio wymaga rzadszego odpytywania lub dostępu standardowego. Sprawdź poziom dostępu przyznany twojemu projektowi Google Cloud i uwzględnij całe obciążenie przy planowaniu wykorzystania limitu.
Zacznij od jednego konta. Ręcznie zweryfikuj listę użytkowników i zatwierdzone miejsca docelowe. Przetestuj wykrywanie zmian, obsługę nieudanego odczytu i wysłanie alertu. Dopiero potem rozszerz monitor na resztę kont.
