広告アカウントのセキュリティとは、Meta広告やGoogle 広告などのプラットフォーム上の広告資産を、アカウント乗っ取り・不正アクセス・請求不正から守る取り組みです。実務では3つのレバーが結果を決めます。フィッシング耐性のある認証、必要最小限に絞った権限設計、そして支出異常を数分で捉える監視です。2026年の最大の変化は、最も多い侵入経路がパスワードの推測ではなく、盗まれたセッションcookieの再利用によって二段階認証が丸ごと迂回される点にあります。
広告アカウントのセキュリティは何を含みますか?
広告アカウントのセキュリティは単一の設定ではなく、積み重なった層の集合です。最下層に個人アカウントの認証があり、その上にMeta Business SuiteやGoogle 広告の管理者アカウントにおける権限付与、最上層に支払い方法と支出監視が位置します。弱い層を他の層が救うことはありません。管理者権限を持つ利用者が1人でも侵害されれば、その配下のすべての広告アカウントが閲覧され、支出も可能になります。
- 認証層: パスワード強度、第2要素の方式、セッション有効期間、端末の信頼、回復コードの保管場所。
- 権限層: 誰が管理者で誰が閲覧者か。加えてパートナー連携、システムユーザーとAPIトークンの権限範囲。
- 支払い層: 登録カード、アカウント支出上限、請求しきい値、支払い方法変更時の通知。
- 監視層: 想定外のキャンペーン作成、時間単位の支出急増、新規ユーザー招待、ピクセルやコンバージョン設定の変更。
- 復旧層: 独立した管理者を2名以上、法人ドメインのメール、プラットフォーム窓口に示せる所有権の記録。
攻撃者はどのように広告アカウントへ侵入しますか?
典型的な攻撃は広告アカウントそのものではなく、そこにアクセスできる人を狙います。2026年の業界レポートで目立つ型は4つです。精巧なパートナー申請フィッシング、ブラウザのcookieを収集する情報窃取マルウェア、過剰な権限を要求する拡張機能、そして退職者に残ったままの古いアクセス権です。いずれも標的はアカウントではなくIDです。
- 標的にプラットフォーム通知の体裁を精密に模倣したメールが届きます。件名で最も多いのはビジネスパートナー申請、またはポリシー違反の警告です。
- 偽のログインページで認証情報を入力するか、端末が情報窃取マルウェアに感染します。後者の場合、パスワードは一切不要です。
- 攻撃者は盗んだセッションcookieを自分のブラウザで再利用します。サーバー側からは認証済みセッションに見えるため、第2要素は要求されません。
- 侵入後は静かに永続化します。新しい管理者が追加され、新しい支払い方法が紐づけられ、支出は多くの場合、業務時間外に始まります。
二段階認証だけで十分ですか?
SMSやアプリによる従来型の二段階認証は必須の土台ですが、それだけでは足りません。情報窃取マルウェアがブラウザのcookieストア全体を持ち出すと、攻撃者はログインせずに、既に開いているセッションを引き継ぎます。そのため第2要素は一度も要求されません。正しい対策は3点です。フィッシング耐性のある方式(パスキーまたはハードウェアキー)、短いセッション有効期間、そして疑わしいときに全セッションを一括終了できる体制です。方式の序列は明確で、ハードウェアキーとパスキーが最も強く、認証アプリが次点、SMSはSIMスワップに晒されるため最も弱い環となります。プラットフォーム側も締めています。Google 広告では二段階認証が必須化され、管理者アカウントでの高リスクな変更を第2の管理者が承認する多者承認の仕組みも導入されました。いずれも既定で有効にはならないため、設定を手動で確認する必要があります。
異常な支出を数時間ではなく数分で把握
Ads SensorはMeta広告とGoogle 広告のアカウントを24時間365日の異常検知で監視し、通常と異なる支出やキャンペーン変更を早期に通知します。
権限とアクセスの衛生はどう整えますか?
アクセス衛生は、侵入された後に被害がどこまで広がるかを決めます。目標は、各人が業務を遂行できる最小の権限で作業し、すべてのアクセス権に責任者と終了日があることです。実務で最も高くつく誤りは、共有ログインを通じて代理店に管理者権限を渡すことです。正しい形は、各担当者が自社ドメインの個別IDで接続することです。ほぼ必ず見落とされる面が2つあります。API権限を持つシステムユーザーと、外部ツール連携です。どちらも担当者の退職では自動的に閉じず、背後で動き続け、点検リストにもめったに現れません。
- 管理者数を制限する: 1つのビジネスポートフォリオにフル管理者が4名以上いると、運用上の利点なく攻撃面が広がります。
- 共有ログインを使わない: 各人を個別の法人メールで招待します。共通の 'agency@' 箱は監査証跡を消してしまいます。
- 代理店はパートナーで接続: パートナー権限は所有権の移転なしに付与でき、1ステップで取り消せます。
- ドメイン制限を有効化: Google 広告の管理者アカウントで、招待可能なメールドメインを許可リスト化します。
- 四半期ごとの権限棚卸し: 90日ごとに利用者一覧を確認し、60日間ログインのない人物を削除します。
請求不正はどうすれば早く気づけますか?
請求不正とは、侵害されたアカウントがあなたの登録済み支払い方法で第三者の広告を配信することです。被害は支出レポートより先に、設定変更として現れることがほとんどです。典型的な順序は予測可能です。新しい支払い方法が追加され、支出上限が引き上げまたは解除され、その後に低品質なクリエイティブの新規キャンペーンが、多くの場合予想外の言語で開始されます。参考となる想定では、上限のない法人カードが紐づいたアカウントは、乗っ取り後の数時間で5桁規模の支出に達し得ます。攻撃者の目的はコンバージョンの獲得ではなく、予算をできるだけ速く消費することだからです。
- 支払い方法変更の通知: カードの追加と削除のイベントを、少なくとも2名にメールで届くよう設定します。
- アカウント支出上限: 月次予算のやや上に上限を設定し、乗っ取り時に自動ブレーキとして働かせます。
- 業務時間外の支出監視: 深夜から早朝に開始される新規キャンペーンは、それ自体が強い警告信号です。
- 明細の突合: プラットフォームの請求書とカード明細を毎月照合します。その差額が最初の確かな証拠になることが多いです。
侵害された場合、最初の60分で何をすべきですか?
最初の1時間の手順の順序が、損失の大きさをほぼ決めます。よくある誤りは先にパスワードを変更することです。攻撃者が有効なセッションcookieを保持していれば、パスワード変更では追い出せません。まず全セッションを終了し、その後にIDを更新してください。続いて権限を整理し、資金を止め、事象を記録します。
- プラットフォームのセキュリティ設定からすべての有効なセッションを終了します。この手順が盗まれたcookieを無効化します。
- パスワードを変更し、2FAをフィッシング耐性のある方式へ切り替え、古い回復コードを失効させます。
- 利用者一覧を開き、心当たりのない管理者・パートナー・システムユーザーを権限の高い順に削除します。
- 配信中のキャンペーンを停止し、登録済みの支払い方法を解除します。支出上限は一時的に低い値へ下げます。
- 変更履歴のスクリーンショットを保存し、プラットフォームのサポートへ申告し、使用した全端末でマルウェアスキャンを実行します。
Ads Sensorはセキュリティ面で何をしていますか?
Ads Sensorはセキュリティ製品ではなく広告分析プラットフォームですが、広告データに触れる以上、自社側を厳格に保ち、利用者側には早期警告を出します。ログインには二段階認証が必須で、プラットフォームのAPIキーはAES-256で暗号化して保管し、連携アカウントは24時間365日の異常検知下で稼働します。支出、コンバージョン、キャンペーン構造の異常な動きは通知になります。Meta広告、Google 広告、TikTok広告、GA4のデータが1つのパネルにそろうため、あるアカウントの異常な支出曲線を他チャネルの平常時の推移と突き合わせる作業も容易になります。限界について正直に言えば、これはフィッシングを防ぐものではありません。短縮できるのは発見までの時間で、数時間を数分に変えます。実務では、この間隔こそが損失の大きさを決めます。
セキュリティ事故の本当のコストは盗まれた予算ではありません。中断された学習期間、汚れたコンバージョン履歴、そして再構築が必要になるアカウントの信頼です。Ads Sensor チーム
セキュリティを固めた次の自然な一歩は、アカウントの構造的な健全性の点検です。詳しくは広告アカウント監査チェックリストをご覧ください。ポリシー上の理由で停止された場合は手順が異なるため、Meta広告アカウント停止: 最初の48時間で別途扱っています。ご自身のアカウントで異常検知を試すには、Ads Sensorのベータ登録から始めてください。