Bezpieczeństwo konta Google Ads - jak chronić się przed przejęciem

Bezpieczeństwo konta Google Ads to zestaw zabezpieczeń chroniących trzy warstwy dostępu: konto Google używane do logowania, uprawnienia nadane w samym koncie reklamowym oraz profil płatności odpowiadający za rozliczenia. Przejęcie konta Google Ads polega na uzyskaniu przez osobę nieuprawnioną kontroli nad którąkolwiek z tych warstw, najczęściej przez phishing, kradzież sesji przeglądarki lub nieodwołany dostęp zewnętrznego użytkownika. Skutkiem bywa obcy wydatek reklamowy, uruchomienie kampanii łamiących polityki i zawieszenie konta.

Przejęte konto reklamowe rzadko wygląda jak włamanie z filmu. Wygląda jak nowa kampania, której nikt w firmie nie pamięta, i jak wiadomość od Google o zmianie ustawień płatności o trzeciej w nocy. Przez lata audytowania kont Google Ads widziałem oba scenariusze: konta odzyskane w kilka godzin i konta, w których właściciel zorientował się dopiero po trzech dniach, gdy dzienne budżety wyczerpywały się w kilka godzin na reklamach produktów, których nigdy nie sprzedawał. Różnica między tymi dwoma przypadkami prawie nigdy nie leży w sprycie atakującego. Leży w tym, czy ktoś wcześniej poświęcił godzinę na ustawienia dostępów.

Czym jest bezpieczeństwo konta Google Ads?

Bezpieczeństwo konta Google Ads to kontrola nad tym, kto może się zalogować, co może zmienić i czyimi pieniędzmi płaci.

Te trzy pytania odpowiadają trzem warstwom, które atakujący traktuje osobno, a większość reklamodawców traktuje jako jedną całość. To rozjechanie się modelu jest źródłem problemu.

W praktyce oznacza to, że konto z bardzo mocnym hasłem może być całkowicie odsłonięte, jeśli sześć miesięcy temu ktoś nadał dostęp administratora freelancerowi, z którym firma dawno się rozstała. Odwrotnie: perfekcyjnie posprzątana lista użytkowników nic nie da, gdy właściciel loguje się z komputera z zainfekowaną przeglądarką. Bezpieczeństwo konta reklamowego jest tak mocne, jak jego najsłabsza warstwa.

• Warstwa konta Google: Adres e-mail i metoda logowania. Odpowiada za to, kto w ogóle dostanie się do panelu. Zabezpieczenia: weryfikacja dwuetapowa, passkey, klucz sprzętowy, kontrola aktywnych sesji.
• Warstwa konta reklamowego: Lista użytkowników i poziomy dostępu w Google Ads, w tym powiązania z kontem menedżera (MCC). Odpowiada za to, co dana osoba może zrobić po zalogowaniu.
• Warstwa rozliczeń: Profil płatności, metoda płatności, dane do faktur i limity. Odpowiada za to, kto realnie finansuje kliknięcia i kto dostanie wezwanie do zapłaty.

Jeśli dopiero układasz podstawy pracy z systemem reklamowym, warstwę operacyjną opisuję szerzej w poradniku Google Ads dla początkujących. Ten artykuł zajmuje się wyłącznie warstwą ochrony konta.

Jak wygląda przejęcie konta Google Ads krok po kroku?

Przejęcie konta Google Ads przebiega w czterech etapach: kontakt podszywający się pod Google, przechwycenie danych logowania lub aktywnej sesji, utrwalenie dostępu przez dodanie własnego użytkownika i dopiero na końcu wykorzystanie budżetu.

Między pierwszym a ostatnim etapem mijają zwykle godziny, nie tygodnie.

1. Zaczepka - wiadomość e-mail lub powiadomienie o odrzuconej reklamie, zaległej płatności albo weryfikacji reklamodawcy, z linkiem do panelu łudząco podobnego do prawdziwego.
2. Przechwycenie - ofiara wpisuje hasło, a fałszywy panel przekazuje je natychmiast dalej i prosi o kod weryfikacyjny, który również trafia do atakującego. Alternatywna ścieżka to złośliwe rozszerzenie przeglądarki wykradające ciasteczka sesji, przy której hasło nie jest w ogóle potrzebne.
3. Utrwalenie - w koncie pojawia się nowy użytkownik z poziomem administratora albo powiązanie z obcym kontem menedżera. Ten krok jest kluczowy, bo pozwala wrócić nawet po zmianie hasła przez właściciela.
4. Monetyzacja - uruchomienie kampanii kierujących na cudze witryny, oszustwa lub podrabiane produkty, z maksymalnie agresywnymi stawkami, bo rachunek płaci ktoś inny.

Najbardziej niedoceniany jest etap trzeci. Wielokrotnie obserwowałem sytuację, w której właściciel zmieniał hasło, uznawał sprawę za zamkniętą i dwa dni później znowu widział obce kampanie, bo dodany przez atakującego użytkownik nadal figurował na liście dostępów.

Po czym poznać, że konto Google Ads zostało przejęte?

Przejęcie konta Google Ads zdradza pięć sygnałów: nowe kampanie i grupy reklam, których nikt nie tworzył, zmiana ustawień płatności, nieznany użytkownik na liście dostępów, nagły skok wydatków oraz powiadomienia o naruszeniu polityk reklamowych.

Wystarczy jeden z nich, żeby potraktować konto jako podejrzane.

• Obce kampanie: Najczęściej z nazwami w innym języku, kierowaniem na kraje, w których nie sprzedajesz, i strategią maksymalizacji liczby kliknięć.
• Zmiana w rozliczeniach: Dodana nowa metoda płatności, zmieniony próg rozliczeniowy albo nowe dane do faktury. To sygnał, że atakujący przygotowuje konto pod dłuższe wykorzystanie.
• Nowy użytkownik lub zaproszenie: Adres w domenie darmowej poczty z poziomem administratora, którego nikt w firmie nie rozpoznaje.
• Skok wydatków poza wzorcem: Wydatek rosnący nocą, w weekend albo kilkukrotnie szybciej niż zwykle w tej samej porze dnia.
• Kaskada odrzuceń i ostrzeżeń: Seria powiadomień o naruszeniu polityk, po której często następuje zawieszenie konta Google Ads za treści dodane przez intruza.

Weryfikację zacznij od dziennika zmian, nie od kampanii. Dziennik pokazuje adres e-mail sprawcy przy każdej modyfikacji, więc w kilka minut ustalisz, czy problem to atak z zewnątrz, czy pomyłka kogoś z uprawnionych użytkowników. Rekomenduję podejście, w którym filtrujesz dziennik po użytkowniku, a nie po typie zmiany: obcy adres wyskakuje wtedy natychmiast.

Które ustawienia konta Google Ads sprawdzić w pierwszej kolejności?

Priorytet ma pięć ustawień: lista użytkowników i oczekujących zaproszeń, poziomy dostępu, powiązania z kontami menedżera, metoda logowania właściciela oraz adres e-mail odbierający powiadomienia o zmianach. Każde z nich sprawdzisz w kilka minut, a razem zamykają większość realnych ścieżek ataku.

Z mojego doświadczenia jako specjalisty Google Ads wynika, że najgorzej wypada punkt drugi. Poziom administratora jest nadawany odruchowo, bo „tak jest wygodniej”, i po roku okazuje się, że pełne prawa do konta ma pięć osób z trzech różnych firm. Uważam, że to najczęściej lekceważony błąd konfiguracyjny w całym systemie reklamowym Google.

Oczekujące zaproszenia to osobna pułapka. Zaproszenie wysłane rok temu i nigdy nieprzyjęte wciąż czeka na akceptację, więc przejęcie skrzynki adresata daje dostęp do konta reklamowego bez dotykania Twojego hasła. Odwołanie takiego zaproszenia zajmuje kilkanaście sekund.

Która metoda logowania najlepiej chroni konto Google Ads?

Najskuteczniejszą ochroną logowania do konta Google powiązanego z Google Ads jest klucz sprzętowy lub passkey w standardzie FIDO2, ponieważ weryfikuje domenę strony logowania i nie da się go przekazać przez fałszywy formularz. Kod SMS jest najsłabszym z powszechnie stosowanych wariantów.

Różnica jest praktyczna, nie teoretyczna. Kod z SMS-a i kod z aplikacji uwierzytelniającej są zwykłymi ciągami znaków: ofiara może je wpisać na stronie atakującego, który przekaże je dalej w czasie rzeczywistym. Klucz sprzętowy takiej operacji nie wykona, bo podpisuje wyzwanie kryptograficzne powiązane z konkretną domeną. Fałszywa domena nie dostanie podpisu. CISA podaje, że włączenie uwierzytelniania wieloskładnikowego czyni użytkownika ponad 99% mniej podatnym na skuteczne włamanie na konto, a raporty o naruszeniach danych publikowane przez Verizon konsekwentnie wskazują kradzież danych logowania i phishing wśród najczęstszych wektorów ataku.

Rekomenduję układ mieszany: passkey lub klucz sprzętowy dla osoby będącej właścicielem konta i aplikacja uwierzytelniająca dla pozostałych użytkowników. Kod SMS zostaw wyłącznie jako awaryjną metodę zapasową, nigdy jako podstawową. Konfiguracja drugiego składnika odbywa się po stronie konta Google, nie w panelu Google Ads, i to częste źródło nieporozumień w firmach, w których konto reklamowe zakładał ktoś inny niż osoba zarządzająca skrzynką.

Jak nadawać uprawnienia w koncie Google Ads, żeby ograniczyć ryzyko?

Zasada jest jedna: każdy użytkownik dostaje najniższy poziom dostępu, który pozwala mu wykonać jego pracę, a poziom administratora zostaje przy maksymalnie dwóch osobach z firmy.

Google Ads rozróżnia dostęp administratora, standardowy, tylko do odczytu, dostęp wyłącznie do e-maili oraz osobne uprawnienia do rozliczeń.

• Administrator: Pełne prawa, w tym dodawanie i usuwanie użytkowników. Dwie osoby z firmy, nigdy podmiot zewnętrzny jako jedyny administrator.
• Standardowy: Edycja kampanii, budżetów i stawek bez zarządzania dostępami. To właściwy poziom dla agencji i freelancera prowadzącego kampanie.
• Tylko do odczytu: Podgląd danych i raportów. Poziom dla analityka, kontrolera finansowego albo osoby weryfikującej wyniki.
• Tylko e-mail: Odbiór raportów i powiadomień bez wejścia do panelu. Rzadko używany, a bywa wystarczający dla zarządu.
• Dostęp do rozliczeń: Uprawnienie nadawane niezależnie od poziomu w koncie. Trzymaj je w księgowości, a nie u osoby operacyjnie prowadzącej kampanie.

Osobnym tematem jest powiązanie z kontem menedżera. Konto menedżera z uprawnieniami administracyjnymi realnie zarządza Twoim kontem reklamowym, więc lista aktywnych powiązań to element, który sprawdzam w każdym audycie. Cały proces porządkowania dostępów przy rozstaniu z wykonawcą opisuję w tekście o tym, jak wygląda przekazanie konta Google Ads przy zmianie agencji. Jeśli właśnie kończysz współpracę z zewnętrznym wykonawcą, uporządkowaną listę kroków znajdziesz w checkliście przejęcia konta Google Ads.

Przy przejmowaniu konta listę użytkowników sprawdzam jako pierwszą, przed kampaniami. Zwykle znajduję na niej adres poprzedniej agencji, byłego pracownika i jedno konto techniczne, o którym nikt w firmie już nie pamięta. Każdy z tych dostępów żyje tak długo, aż ktoś świadomie go odbierze, bo Google sam ich nie wygasza.

Jak zabezpieczyć profil płatności i budżet przed nadużyciem?

Warstwę rozliczeń chronisz przez rozdzielenie uprawnień, kontrolę metody płatności i alerty budżetowe. Profil płatności ma własną listę użytkowników, niezależną od listy dostępów do konta reklamowego, i to właśnie ta różnica bywa źródłem luki: osoba usunięta z konta Google Ads potrafi nadal figurować w profilu płatności.

1. Przejrzyj użytkowników profilu płatności i zostaw wyłącznie osoby, które realnie odpowiadają za finanse.
2. Ustaw regułę automatyczną powiadamiającą o przekroczeniu progu dziennego kosztu na koncie. Nietypowy wydatek zgłosi się sam.
3. Włącz limit budżetu konta, jeśli Twój sposób rozliczeń go obsługuje. Limit nie zatrzyma ataku, ale wyznaczy sufit strat.
4. Weryfikuj faktury miesiąc do miesiąca, zamiast akceptować je automatycznie. Skokowa zmiana w rozliczeniu bywa pierwszym twardym dowodem nadużycia.

Nadużycie budżetu ma zresztą dwa źródła i warto je rozróżniać. Pierwsze to obcy użytkownik wewnątrz konta, o którym jest ten artykuł. Drugie to sztuczne klikanie w Twoje reklamy z zewnątrz, czyli osobne zjawisko, które opisuję w materiale o tym, jak działa click fraud w Google Ads. Mechanizmy obrony są różne, choć objaw w raporcie kosztów bywa podobny.

Co zrobić w pierwszej godzinie po przejęciu konta Google Ads?

Kolejność działań ma większe znaczenie niż ich szybkość. Zacznij od odcięcia dostępu, dopiero potem sprzątaj kampanie, bo odwrotna kolejność oznacza, że atakujący cofnie Twoje zmiany w czasie rzeczywistym.

1. Zmień hasło do konta Google i wyloguj wszystkie aktywne sesje z poziomu ustawień bezpieczeństwa konta Google.
2. Włącz lub przeinstaluj drugi składnik logowania i usuń nieznane metody odzyskiwania konta, w tym obce numery telefonu i adresy zapasowe.
3. Usuń nieznanych użytkowników z konta Google Ads i odwołaj wszystkie oczekujące zaproszenia.
4. Zerwij powiązania z nierozpoznanymi kontami menedżera.
5. Wstrzymaj obce kampanie zamiast je usuwać. Wstrzymana kampania zachowuje dowody, usunięta utrudnia późniejsze zgłoszenie.
6. Sprawdź profil płatności, usuń obcą metodę płatności i zabezpiecz kartę po stronie banku, jeśli została dodana bez Twojej wiedzy.
7. Wyeksportuj dziennik zmian z pełnym zakresem dat i zapisz zrzuty ekranu. To materiał dowodowy do zgłoszenia.

Praktyczna uwaga z prowadzonych przeze mnie przypadków: sprawdź też skrzynkę pocztową powiązaną z kontem. Atakujący często zakłada w niej regułę przenoszącą wiadomości od Google do kosza, żeby powiadomienia o zmianach nie trafiły przed oczy właściciela. Usunięcie tej reguły bywa jedynym powodem, dla którego kolejna próba zostaje wykryta w kilkanaście minut zamiast po kilku dniach.

Jak zgłosić nadużycie i odzyskać środki wydane przez intruza?

Zgłoszenie kierujesz do pomocy technicznej Google Ads z poziomu zalogowanego konta, dołączając dziennik zmian, daty obcych logowań i listę kampanii, których nie utworzyłeś.

Google rozpatruje takie sprawy indywidualnie i może przyznać korektę rozliczeniową za wydatek wygenerowany bez zgody właściciela, ale nie jest to procedura automatyczna ani gwarantowana.

Realistyczne oczekiwania są tu ważniejsze niż optymizm. Szansa na korektę rośnie, gdy zgłoszenie jest szybkie, udokumentowane i spójne: konkretne przedziały czasowe, konkretne identyfikatory kampanii, konkretny moment odzyskania kontroli nad kontem. Zgłoszenie w stylu „ktoś włamał się na moje konto, proszę o zwrot” bez materiału dowodowego wydłuża proces i zwykle kończy się gorzej.

• Materiał dowodowy: Eksport dziennika zmian, historia logowań z konta Google, zrzuty obcych kampanii i ustawień płatności.
• Oś czasu: Data pierwszego podejrzanego zdarzenia, data wykrycia, data odcięcia dostępu i zabezpieczenia konta.
• Zakres szkody: Lista kampanii utworzonych przez intruza wraz z okresem ich działania.
• Stan po incydencie: Potwierdzenie, że konto jest już zabezpieczone, czyli lista użytkowników posprzątana, drugi składnik włączony, powiązania menedżerskie zweryfikowane.

Jakie błędy najczęściej otwierają drogę do przejęcia konta Google Ads?

Cztery błędy wracają w audytach częściej niż wszystkie pozostałe razem: nieodwołane dostępy zewnętrzne, wspólne hasło dla kilku osób, brak drugiego składnika przy logowaniu i traktowanie każdej wiadomości od „Google” jako autentycznej.

Żaden z nich nie wymaga wiedzy technicznej, żeby go naprawić.

Na 100 kolejnych audytów kont Google Ads, które przeprowadziłem w ciągu ostatnich dwóch lat, w 38 znalazłem co najmniej jeden aktywny dostęp zewnętrzny, którego firma nie potrafiła przypisać do żadnego trwającego projektu. To moja własna obserwacja z konkretnej próby, nie dana rynkowa, ale skala jest na tyle powtarzalna, że traktuję ten punkt jako pierwszy krok każdego przeglądu bezpieczeństwa.

• Dostęp bezterminowy: Uprawnienia nadawane na czas współpracy, ale nigdy nieodbierane po jej zakończeniu.
• Jedno konto dla wszystkich: Wspólny login zamiast osobnych użytkowników, przez co dziennik zmian traci wartość dowodową, a odejście jednej osoby wymusza zmianę hasła u wszystkich.
• Powiadomienia na martwą skrzynkę: Alerty o zmianach kierowane na adres, którego nikt nie czyta od miesięcy.
• Zaufanie do linku w mailu: Logowanie z linku w wiadomości zamiast z własnej zakładki lub bezpośredniego adresu panelu.
• Rozszerzenia przeglądarki bez kontroli: Wtyczki „usprawniające” pracę z reklamami, mające dostęp do zawartości wszystkich odwiedzanych stron.

Kiedyś uważałem, że wystarczy raz posprzątać dostępy i temat jest zamknięty. Dziś wiem, że to błąd: lista użytkowników rozjeżdża się w każdej firmie, w której zmieniają się ludzie i wykonawcy, więc jedynym działającym rozwiązaniem jest cykliczny przegląd, na przykład raz na kwartał. Jeśli chcesz przejść taki przegląd samodzielnie, punkty kontrolne mam zebrane w checkliście audytu konta Google Ads.

Podsumowanie

Przestań traktować bezpieczeństwo konta Google Ads jak zadanie informatyczne. Zacznij postrzegać je jako element zarządzania budżetem, bo skutkiem zaniedbania nie jest awaria systemu, tylko wydatek, którego nikt nie zaplanował, i kampanie, których nikt nie zamawiał.

Trzy rzeczy dają największy efekt przy najmniejszym nakładzie: klucz sprzętowy lub passkey dla właściciela konta, kwartalny przegląd listy użytkowników wraz z oczekującymi zaproszeniami oraz alert o nietypowym wzroście kosztu dziennego. To razem mniej niż dwie godziny pracy w skali roku i realna różnica między incydentem wykrytym w kwadrans a incydentem wykrytym po trzech dniach.

Ostatnia rzecz, o której warto pamiętać: konto reklamowe jest tak samo firmowym zasobem jak domena i dostęp do bankowości. Zasługuje na taki sam poziom kontroli i taką samą procedurę przy rozstaniu z pracownikiem lub wykonawcą. Jeśli jeszcze nikt w Twojej firmie nie odpowiada za tę listę, wskazanie takiej osoby jest lepszym pierwszym krokiem niż jakiekolwiek narzędzie.

Jeśli podejrzewasz, że ktoś miał dostęp do Twojego konta, kolejność działań ma znaczenie krytyczne. Warto ją ustalić na konsultacji.

Ten wpis należy do obszaru Konto i rozliczenia - zobacz pozostałe teksty z tego obszaru albo wróć do bazy wiedzy Google Ads.

Samodzielny Specjalista Google Ads

Artur Smolicki

Od ponad 15 lat specjalizuję się w przygotowaniu, wdrożeniu i optymalizacji kampanii Google Ads. W 2024 roku uzyskałem status Google Premier Partner dla 3% najlepszych specjalistów i agencji w Polsce. Prowadzę kampanie reklamowe na 29 rynkach zagranicznych, tak dla segmentu e-commerce jak i B2B.

Współpraca →Poznaj mnie →