Seguridad de la cuenta publicitaria: 2FA y control de accesos

La seguridad de la cuenta publicitaria es la disciplina que protege sus activos de publicidad en plataformas como Meta Ads y Google Ads frente al secuestro de cuenta, el acceso no autorizado y el fraude de facturación. En la práctica deciden tres palancas: autenticación resistente al phishing, roles y accesos ajustados al mínimo, y una monitorización que detecte anomalías de gasto en minutos. El cambio clave de 2026 es que la vía de entrada más habitual ya no es adivinar contraseñas, sino reutilizar una cookie de sesión robada para saltarse por completo la verificación en dos pasos.

¿Qué abarca exactamente la seguridad de la cuenta publicitaria?

La seguridad de la cuenta publicitaria no es un ajuste único, sino una pila de capas superpuestas. Abajo está la autenticación de la cuenta personal, encima la asignación de roles a nivel de empresa en Meta Business Suite o en la cuenta de administrador de Google Ads, y arriba el método de pago y la vigilancia del gasto. Una capa débil no la salvan las demás: un solo usuario comprometido con permisos de administrador ve y gasta en todas las cuentas que dependen de él.

• Capa de identidad: calidad de la contraseña, segundo factor, duración de sesión, confianza del dispositivo y dónde se guardan los códigos de recuperación.
• Capa de permisos: quién es administrador y quién solo analista, además de los enlaces de socio y el alcance de los usuarios de sistema y los tokens de API.
• Capa de pago: tarjetas guardadas, límite de gasto de la cuenta, umbrales de facturación y avisos ante cambios de método de pago.
• Capa de monitorización: creación inesperada de campañas, picos de gasto por hora, invitaciones nuevas y cambios en el píxel o en las conversiones.
• Capa de recuperación: al menos dos administradores independientes, un dominio de correo corporativo y un registro de propiedad documentado para el soporte de la plataforma.

¿Cómo entran los atacantes en una cuenta publicitaria?

El ataque típico no apunta a la cuenta, sino a una persona con acceso a ella. Cuatro patrones dominan los informes del sector en 2026: phishing con falsa solicitud de socio, malware ladrón de información que recolecta cookies del navegador, extensiones de navegador con permisos excesivos y accesos antiguos de personas que ya no están. Todos comparten un rasgo: el objetivo es la identidad, no la cuenta.

1. El objetivo recibe un correo que imita con precisión el estilo de las notificaciones de la plataforma; los asuntos más frecuentes son una solicitud de socio comercial o un aviso de infracción de políticas.
2. La víctima introduce credenciales en una página de acceso clonada, o el dispositivo se infecta con malware ladrón de información; en el segundo caso no hace falta contraseña alguna.
3. El atacante reutiliza la cookie de sesión robada en su propio navegador; para el servidor parece una sesión ya autenticada, así que no se pide segundo factor.
4. Una vez dentro se establece persistencia silenciosa: se añade un administrador nuevo, se vincula otro método de pago y el gasto suele arrancar fuera del horario laboral.

¿Basta con el 2FA y qué cambia el robo de cookies?

El 2FA clásico por SMS o aplicación sigue siendo una base obligatoria, pero no es suficiente por sí solo. Cuando el malware exporta todo el almacén de cookies del navegador, el atacante no inicia sesión: hereda una sesión ya abierta, de modo que el segundo factor nunca se solicita. La respuesta correcta tiene tres partes: un método resistente al phishing (clave de acceso o llave de seguridad física), una duración de sesión corta y la capacidad de cerrar todas las sesiones a la vez ante cualquier sospecha. El orden de los métodos es claro: llaves físicas y claves de acceso son lo más fuerte, las aplicaciones de autenticación van después y el SMS sigue siendo el eslabón débil por su exposición al intercambio de SIM. Las plataformas también aprietan: Google Ads ha hecho obligatoria la verificación en dos pasos e incorporó un flujo de aprobación en el que los cambios de alto riesgo en cuentas de administrador requieren la confirmación de un segundo administrador. Ninguna de las dos cosas viene activada por defecto, así que conviene revisar los ajustes a mano.

¿Cómo se construye la higiene de roles y accesos?

La higiene de accesos determina hasta dónde se propaga el daño cuando alguien entra. El objetivo es que cada persona trabaje con el permiso más pequeño que le permita hacer su trabajo y que cada acceso tenga un responsable y una fecha de fin. El error más caro en la práctica es dar permisos de administrador a una agencia mediante un acceso compartido; lo correcto es que cada persona se conecte con su propia identidad corporativa. Hay dos superficies que se olvidan casi siempre: los usuarios de sistema con acceso a la API y las integraciones de herramientas de terceros. Ninguna se cierra sola cuando alguien deja la empresa, ambas siguen ejecutándose en segundo plano y rara vez aparecen en las listas de revisión.

• Limite el número de administradores: más de tres administradores totales en un portafolio comercial amplía la superficie de ataque sin ganancia operativa.
• Nada de accesos compartidos: invite a cada persona con su correo corporativo; un buzón común de tipo 'agencia@' destruye la trazabilidad.
• Conecte agencias como socios: el acceso de socio se concede sin transferir la propiedad y se revoca en un solo paso.
• Active la restricción de dominios: en la cuenta de administrador de Google Ads, incluya en lista blanca los dominios de correo que pueden ser invitados.
• Haga una revisión trimestral: cada 90 días repase la lista de usuarios y elimine a quien no haya iniciado sesión en 60 días.

¿Cómo detectar pronto el fraude de facturación?

El fraude de facturación consiste en que una cuenta comprometida publica anuncios de terceros con su método de pago guardado. El daño rara vez aparece primero en el informe de gasto: aparece antes en los cambios de configuración. La secuencia típica es predecible: se añade un método de pago, se sube o se elimina el límite de gasto y después se lanzan campañas con creatividades de baja calidad, a menudo en un idioma inesperado. En un escenario ilustrativo, una cuenta con una tarjeta corporativa sin límite puede acumular un gasto de cinco cifras en las primeras horas tras el secuestro, porque el objetivo del atacante no es conseguir conversiones sino quemar el presupuesto lo más rápido posible.

• Avisos de cambio de método de pago: envíe por correo a al menos dos personas los eventos de alta y baja de tarjetas.
• Límite de gasto de la cuenta: fije un techo algo por encima del presupuesto mensual para que actúe como freno automático durante un secuestro.
• Vigilancia fuera de horario: las campañas que arrancan entre la medianoche y la madrugada son una señal fuerte por sí solas.
• Conciliación con el extracto: compare cada mes la factura de la plataforma con el extracto de la tarjeta; la diferencia suele ser la primera prueba sólida.

¿Qué hacer en los primeros 60 minutos tras un incidente?

El orden de las acciones en la primera hora determina en gran medida la pérdida. El error habitual es cambiar primero la contraseña: si el atacante tiene una cookie de sesión válida, el cambio de contraseña no lo expulsa. Cierre por tanto todas las sesiones primero y renueve la identidad después. Luego limpie permisos, detenga el dinero y documente el incidente.

1. En los ajustes de seguridad de la plataforma, cierre todas las sesiones activas; este paso invalida la cookie robada.
2. Cambie la contraseña, pase el 2FA a un método resistente al phishing y anule los códigos de recuperación antiguos.
3. Abra la lista de usuarios y elimine a todo administrador, socio o usuario de sistema desconocido, empezando por el nivel de permiso más alto.
4. Pause las campañas activas y desvincule el método de pago guardado; baje temporalmente el límite de gasto a un valor reducido.
5. Capture el historial de cambios, abra un caso con el soporte de la plataforma y ejecute un análisis de malware en todos los dispositivos usados.

¿Qué aporta Ads Sensor en el plano de la seguridad?

Ads Sensor es una plataforma de análisis publicitario, no un producto de seguridad, pero como accede a sus datos de publicidad mantiene su propio lado estricto y genera avisos tempranos en el suyo. El acceso exige verificación en dos pasos obligatoria, sus claves de API se guardan cifradas con AES-256 y las cuentas conectadas se vigilan con monitorización de anomalías 24/7. Cualquier movimiento inusual en gasto, conversiones o estructura de campañas se convierte en una notificación. Como los datos de Meta Ads, Google Ads, TikTok Ads y GA4 conviven en un mismo panel, también resulta más fácil contrastar una curva de gasto anómala en una cuenta con el comportamiento normal del resto. Siendo honestos con los límites: esto no impide el phishing. Lo que acorta es el tiempo de detección, de horas a minutos, y en la práctica ese intervalo es el que determina el tamaño de la pérdida.

El coste real de un incidente de seguridad no es el presupuesto robado: es la fase de aprendizaje interrumpida, el historial de conversiones contaminado y la confianza de la cuenta que hay que reconstruir.Equipo Ads Sensor

Una vez reforzada la seguridad, el paso natural es revisar la salud estructural de la cuenta, que es lo que cubre nuestra lista de auditoría de cuenta publicitaria. Si la cuenta se inhabilitó por motivos de políticas el proceso es distinto y lo tratamos aparte en cuenta publicitaria inhabilitada: las primeras 48 horas. Para probar la monitorización de anomalías en sus cuentas, empiece por el registro a la beta de Ads Sensor.