Na kratko: Napadalci v oglasne račune ne vdrejo z ugibanjem gesla. Dokumentirani načini vdora so ukradena seja brskalnika, posrednik za lažno predstavljanje, ki posreduje geslo in enkratno kodo, lažna zahteva za povezavo z računom upravitelja ali za partnerstvo, ukraden žeton API in dostop, ki ni bil nikoli preklican. V Lyntu zato vse račune naših strank v Google Ads in Meti preverimo vsakih 30 minut. Preverjamo, ali je račun še aktiven, ali se je spremenilo plačilno sredstvo, ali se je spremenila omejitev porabe, ali oglasi še kažejo na domeno stranke in ali je kdo dobil nov dostop. O vsaki spremembi obvestimo ekipo na Slacku in jo zabeležimo na interni strani. Tam jo odgovorna oseba odobri ali zavrne. Dokument z navodili za izvedbo je na voljo za prenos.
Napadalci v račune Google Ads in Facebookove oglasne račune ne vdrejo z ugibanjem gesel. Varnostna poročila iz let 2025 in 2026 opisujejo pet načinov vdora. Pri nobenem od njih geslo ni šibka točka.
- Ukradena seja brskalnika. Zlonamerna programska oprema, ki krade podatke, kopira piškote iz brskalnika, v katerega je uporabnik prijavljen. Podjetje Recorded Future je leta 2025 indeksiralo 276 milijonov poverilnic z aktivnim sejnim piškotkom. Za uporabo piškotka napadalec ne potrebuje niti gesla niti drugega faktorja. Napadalci z lažnimi ponudbami za delo v marketingu širijo zlonamerno programsko opremo Ducktail (WithSecure). Ducktail je namenjen Facebookovim poslovnim računom.
- Posredniški strežnik za lažno predstavljanje, ki zaobide dvostopenjsko preverjanje. Žrtev vpiše pravo geslo na stran, ki je videti kot prava. Nato odobri poziv. Posrednik nato obdrži sejo, ki jo ustvari dejansko spletno mesto. Do sredine leta 2025 je Microsoft 62 % blokiranih poskusov lažnega predstavljanja pripisal enemu samemu najetemu kompletu za lažno predstavljanje (Microsoft). Kriminalci so kupili oglase v Iskanju Google, ki so se prikazovali ob poizvedbi »Google Ads«, in žrtve prek njih usmerjali na tak posredniški strežnik (Malwarebytes).
- Lažno povabilo. Na Meti napadalec pošlje zahtevo za partnerstvo. Vaba se skriva v imenu podjetja, e-poštno sporočilo pa je v resnici poslala Meta (Huntress). V Google Ads napadalec pošlje lažno povabilo za povezavo z računom upravitelja, ki žrtev usmeri na lažno prijavno stran, podobno Googlovi. Agencije so tako izgubile celotne račune upraviteljev, čeprav so imele vklopljeno dvostopenjsko avtentikacijo (Search Engine Land).
- Ukraden žeton API ali pooblastilo aplikacije. Pooblastila OAuth in žetoni Metinih sistemskih uporabnikov ostanejo veljavni tudi po ponastavitvi gesla, dokler jih skrbnik ne prekliče.
- Dostop, ki ga ni nihče preklical. Dostop ima lahko še vedno zunanji sodelavec, s katerim si delal pred dvema letoma, prejšnja agencija ali nekdanji vodja marketinga pri stranki.
Ko napadalec dobi dostop do računa, doda skrbnika in poveže nadrejeni račun. Nato spremeni plačilno sredstvo ali omejitev porabe. Zažene kampanje in oglase usmeri na domeno, ki ne pripada stranki. Samo v drugi polovici leta 2025 je Mimecast zabeležil 1,86 milijona zaznav kraje oglasnih računov. Ukradeni računi se prodajajo za nekaj sto dolarjev (Mimecast). V objavljenih primerih so agencije krajo odkrile same, pogosto šele naslednje jutro.
Zakaj smo uvedli 30-minutno preverjanje
Upravljamo račune strank na platformah Google Ads in Meta. Prejšnje preverjanje smo izvajali vsake 2,5 ure in z njim spremljali le dostop uporabnikov. V objavljenih primerih je denar izginil v enem dnevu. Dostop uporabnikov je le eno od področij, ki se ob prevzemu računa spremenijo. Preverjanje zdaj izvajamo vsakih 30 minut. Poleg dostopa uporabnikov preverjamo še status računa, plačilno sredstvo, omejitev porabe in ciljne URL-je oglasov.
Ta različica je zaživela septembra 2026. Program na obeh platformah vsakih 30 minut prebere podatke iz vsakega računa, ki ga upravljamo. Seznam oseb z dostopom do računov Google Ads prebere še pogosteje, vsakih 18 minut. Enkrat na dan nadzornik vsak račun znova prebere v celoti. Tako zajame podatke, ki se jih 30-minutna izvajanja ne dotaknejo. Programska oprema na nobeni platformi ničesar ne spreminja. Odločitve sprejema človek.
Kaj preverja nadzornik
| Preverjanje | Google Ads | Meta |
|---|---|---|
| Ali je račun aktiven? | Status računa preveri prek našega računa upravitelja. Račun je lahko med drugim suspendiran, preklican ali zaprt. API ne navede razloga za suspenz, zato opozorilo to omejitev izrecno navede. | Preveri status računa in razlog za onemogočitev. Med podatki je tudi Metina lastna oznaka o vdoru. |
| Ali obstaja težava s plačilom? | Pri računih z izdajanjem računov preveri, ali je proračun računa izčrpan. API ne razkriva niti zavrnjene kartice niti stanja predplačniškega dobroimetja. Opozorilo to omejitev izrecno navede. | Preveri spremembo vira financiranja ter spremembo ali ponastavitev omejitve porabe. Pokaže tudi, ali je račun zaradi neplačanega zneska označen kot neporavnan. |
| Ali oglasi še vedno kažejo na domeno stranke? | Vsakih 30 minut prebere dogodke sprememb in poročilo o ciljnih straneh za tekoči dan. Nato znova prebere spremenjene elemente. Dnevni pregled zajema konfigurirane URL-je in predloge za sledenje na vseh ravneh. | Vsakih 30 minut prebere povezave v vseh aktivnih oglasih. Celotno revizijo izvede enkrat na dan. Zazna vsako spremembo parametrov URL. |
| Ali je kdo nov dobil dostop? | Za vsakega uporabnika prebere njegovo vlogo, datum ustvarjanja in osebo, ki ga je povabila. Prebere tudi čakajoča povabila in povezave z računi upraviteljev ne glede na njihov status. Čakajočo zahtevo zazna, preden jo stranka sprejme. Na enak način pregleda tudi naše račune upraviteljev. | Dnevnik dejavnosti pokaže, kateri uporabniki so bili dodani v račun ali odstranjeni iz njega. Dnevnik pokaže tudi dodana ali odstranjena partnerska podjetja. Dnevna preverjanja zajemajo uporabnike našega Business Managerja, sistemske uporabnike in nastavitve dvostopenjske avtentikacije. |
| Ali smo izgubili svoj dostop? | Račun, ki se neha odzivati, je označen kot neberljiv, dokler se znova ne odzove. | Izguba pooblastila sproži opozorilo. Zaradi neveljavnega žetona izvajanje spodleti, sistem pa prijavi napako. |
Sistem primerja vsako branje s prejšnjim posnetkom stanja. Vsako dodano, odstranjeno ali spremenjeno vrstico zabeleži kot ugotovitev. Napako zaradi manjkajočega dovoljenja za posamezen račun shrani kot samostojno stanje. Nikoli je ne shrani kot prazen rezultat. Dnevni povzetek se obarva rdeče, če od zadnjega preverjanja mine več kot načrtovani interval.
Kako to uporablja ekipa
- Povezane ugotovitve za isti račun se združijo v en incident. Pregledovalec prejme incident v neposrednem sporočilu na Slacku, hkrati pa se en zapis objavi v kanalu ekipe. Sporočilo in zapis navedeta stranko in specialista, ki skrbi za račun. Oba vsebujeta tudi povezavo. Opozorila se ne ponovijo, dokler incident ne eskalira.
- Povezava odpre interno stran, ki je dosegljiva samo znotraj našega omrežja. Stran prikaže račun, spremembo, prejšnje in novo stanje, čas zaznave ter navodila za preverjanje.
- Ko pregledovalec dogodek odobri, sistem zabeleži natančen obseg odobritve. V zapisu je natančno navedeno, kaj je bilo dovoljeno, na primer določen uporabnik z določeno vlogo ali določena domena na določenem računu. Kasnejša sprememba zahteva nov pregled. Če pregledovalec dogodek zavrne, incident ostane odprt in označen kot nepooblaščen. Če dogodka ni mogoče niti potrditi niti ovreči z novim branjem, pregledovalec incident zapre z možnostjo »Razreši z opombo«.
- Človek odpravi težavo v Google Ads ali Meti. Incident se zapre, ko naslednje celotno branje potrdi, da nepooblaščenega stanja ni več.
- Stran s statusom pri vsakem računu navede odgovornega specialista. Prikazuje zadnje uspešno branje, odločitve, ki še čakajo, in podatke, ki jih ne moremo prebrati. Ob 07:00 na Slack pošljemo dvovrstični povzetek za obe platformi.
Zakaj smo se tako odločili
- Vsakih 30 minut. Ta interval določa kvota API-ja. Vsa branja in naša druga orodja porabljajo isto kvoto. Nadzornik svoje operacije všteva v kvoto in opozori, če katero izvajanje zamuja.
- Nadzornik samo bere, človek pa odloča. Nov uporabnik ali nova domena sta pogosto posledica spremembe, ki jo je opravil specialist, ali vključitve nove agencije stranke. Lahko pa sta tudi znak prevzema računa. Nadzornik ne more ugotoviti, za kateri primer gre. Odgovorna oseba to običajno ugotovi v eni uri.
- Napake niso prikrite. Nadzornik, ki preneha delovati brez opozorila, je slabši, kot če ga sploh ne bi bilo, saj ekipa zato neha preverjati. Zaradi pretečenega žetona izvajanje spodleti, sistem pa napako sporoči. Sistem napako zaradi manjkajočega dovoljenja shrani kot samostojno stanje, nikoli kot prazen rezultat. Sistem vsak dan označi, da računa ni bilo mogoče prebrati.
- Pri vsakem opozorilu prikažemo omejitve. Zelena oznaka ne sme nikoli pomeniti, da nečesa ne vidimo. URL-ji izdelkov v Shopping kampanjah so shranjeni v Merchant Centru, ne v Ads API-ju. Oglasi Dynamic Search Ads izberejo ciljno stran šele ob prikazu. Naš pregled je pokazal, da so štirje od desetih aktivnih oglasov v Meti imeli povezavo shranjeno v objavi strani. Pri kataloških oglasih je povezava shranjena v katalogu. Za branje objav strani ali kataloga potrebujemo dovoljenja, ki jih naša aplikacija nima. Google ne razkriva zavrnitev plačil s kartico. Na nobeni od platform tudi ne moremo prebrati, ali imajo uporabniki strank vklopljeno dvostopenjsko avtentikacijo. Zato jo uveljavljamo v nastavitvah računa.
Prenesi kontrolni seznam in navodila za postavitev
V eni datoteki dobiš varnostni kontrolni seznam in navodila za postavitev opisanega nadzornika. Kontrolni seznam pregledaš z osebami, ki upravljajo tvoje račune Google Ads in Meta. Navodila vključujejo vzorčne poizvedbe za Google Ads API v23, branja prek Meta API-ja v24, predlagana pravila za zaznavanje in znane vrzeli v pokritosti. Izvajalec mora rešitev prilagoditi tvojim računom in jo preizkusiti. Vnesi e-naslov in datoteka je tvoja.
Ena datoteka, en seznam. Pišem samo, kadar je kaj vrednega branja.
Nekdo mi je vdrl v račun Google Ads. Kaj naj najprej storim?
Uporabi napravo, ki ji zaupaš, in izoliraj vsak računalnik, za katerega sumiš, da je okužen. Vdor takoj prijavi Googlu prek obrazca za kompromitirane račune. Če imaš še vedno dostop do računa, zaustavi nepooblaščene kampanje. Zgodovino sprememb in strani z obračuni shrani kot dokaze. Pod Dostop in varnost odstrani potrjene nepooblaščene uporabnike in povezave z računi upraviteljev. Če nimaš dostopa, začni postopek obnovitve računa Google. Ponastavi geslo, preglej prijavljene naprave in prekliči dostop tretjih oseb, ki ga ne prepoznaš. Preveri e-naslov in telefonsko številko za obnovitev računa ter plačilna sredstva. Nepooblaščene bremenitve prijavi izdajatelju kartice.
Kako ugotovim, ali je nekdo vdrl v moj Facebookov oglasni račun ali Business Manager?
Preveri vsakega neznanega uporabnika ali partnerja. Preveri vsako odstranitev skrbnika, ki je nisi zahteval. Preveri vsako spremembo vira financiranja in vsako kampanjo, ki je nisi odobril. Eden od teh znakov je dovolj za ukrepanje. Ne čakaj, da se pojavi več znakov ali da Meta račun označi kot ogrožen. Zaščiti ogroženi Facebookov račun s Facebookovim postopkom obnovitve vdrtega računa. Glede prizadetih sredstev se obrni na Metino poslovno podporo. Če imaš še vedno dostop, zaustavi nepooblaščene oglase. Ukini dostop, za katerega si potrdil, da je nepooblaščen. Prosi poslovnega skrbnika, naj pregleda integracije in prekliče prizadete žetone sistemskih uporabnikov.
Zakaj dvostopenjska avtentikacija ni preprečila vdora?
Ukradena seja napadalcu omogoča, da deluje brez ponovne prijave, zato sistem ne zahteva drugega faktorja. Posrednik za lažno predstavljanje posreduje tvoje geslo in enkratno kodo pravemu spletnemu mestu. Nato obdrži sejo, ki jo ustvari dejansko spletno mesto. Ključi za dostop in strojni varnostni ključi so odporni proti tej obliki lažnega predstavljanja. Ne morejo pa zaščititi seje, ki jo je napadalec že ukradel iz okužene naprave. Ločena napaka je, če odobriš napadalčevo zahtevo za dostop. V tem primeru si mu dostop odobril sam.
Ali lahko prek API-jev Google Ads in Meta preverim, ali imajo uporabniki vklopljeno dvostopenjsko avtentikacijo?
Google Ads API v23 ne razkriva niti statusa preverjanja v dveh korakih za posameznega uporabnika niti zahteve na ravni računa. Meta vrne polja za dvostopenjsko avtentikacijo za podjetje, ki ga smeš upravljati. Pri našem preizkusu partnerskega dostopa odgovor API-ja za podjetje stranke ni vseboval teh polj, seznam uporabnikov pa je bil prazen. Če polje manjka, status obravnavaj kot neznan, ne kot izklopljen. Za vsak račun stranke v nastavitvah preveri zahtevo po dvostopenjski avtentikaciji.
Kako pogosto naj agencija preverja, kdo ima dostop do oglasnih računov strank?
Interval izberi glede na možno porabo, tveganje, ki ga prinašajo dostopi, in čas, v katerem se lahko nekdo odzove. V objavljenih primerih so napadalci v enem samem dnevu porabili več deset tisoč dolarjev. Nočno preverjanje zato pri računu z visoko porabo pušča predolgo obdobje brez nadzora. Vsak račun preverimo vsakih 30 minut. Tedenski ali četrtletni pregled dostopa je namenjen preverjanju ob prenehanju sodelovanja. Tak pregled ne zazna prevzema, ki je že v teku. Med posameznimi pregledi zato uporabljaj varnostna in obračunska obvestila platform.
Ali preverjanje vsakih 30 minut preseže kvoto za Google Ads API?
Majhen portfelj se kvoti niti ne približa. Spodnji izračuni predvidevajo, da se vsako branje izvede vsakih 30 minut. Pri 30-minutnem intervalu se vsako od štirih branj podatkov o dostopu izvede 48-krat na dan. Če temu prištejemo sedem dnevnih branj ciljnih URL-jev in branje dogodkov sprememb vsakih 30 minut, dobimo 247 operacij na račun na dan. Ta seštevek še ne vključuje ciljno usmerjenih ponovnih branj, ponovnih poskusov in drugih orodij. Osnovni dostop omogoča 15.000 operacij v katerem koli zaporednem 24-urnem obdobju. Pri 247 operacijah na račun to zadošča za največ 60 računov. Večji portfelj potrebuje daljši interval ali standardni dostop. Preveri raven dostopa za svoj projekt Google Cloud in v kvoti pusti prostor za celotno delovno obremenitev.
Začni z enim računom. Ročno preveri njegov seznam uporabnikov in odobrene ciljne URL-je. Nato preizkusi zaznavanje, neuspešno branje in dostavo opozoril. Šele nato razširi nadzornik na druge račune.
