広告アカウントの乗っ取りに気づく監視設計｜Google・Meta・Yahoo!広告の差分監視・自動停止・初動対応

認証を強くしても、乗っ取りは起こりうる

2026年10月、Google広告のMCC（マネージャーアカウント）が乗っ取られた事例が公開されました。被害企業は、パスキーとセキュリティキーを設定していたそうです。外部のユーザーが追加され、オンラインカジノの広告が配信されるところまで進んだと報告されています。

2段階認証やパスキーは、パスワードの盗難には強い対策です。一方、ログイン後に発行されるセッション情報（Cookie）が盗まれると、ログイン時の確認を経ずに操作できてしまいます。Googleも、情報窃取型のマルウェアによるCookieの盗難を、2段階認証を回避する手口として説明しています。上記の事例の侵入経路は公表されていませんが、認証の強さだけでは防ぎきれない場合があることは押さえておく必要があります。

盗まれたセッションでの操作は、管理画面に本物の担当者の名前で記録されます。「知らない人が操作した」という見分け方は通用しません。そのため、防ぐ対策と並行して、異変に早く気づいて対応する仕組みが必要になります。

本記事では、Google広告・Meta広告・Yahoo!広告を対象に、乗っ取りに気づくための監視の考え方を整理します。APIを使った仕組みだけでなく、コードを書かずに始められる方法も紹介します。

監視の3つの原則

1. 承認済みの状態との差分で見る

監視の出発点は、正しい状態を記録しておくことです。ユーザーの一覧、各ユーザーの権限、配下のアカウントの構成などを「承認済み」として保存します。以後は定期的に今の状態と見比べ、差があれば通知します。

この方式なら、ユーザーの追加・削除・権限の変更を同じ仕組みで拾えます。正当な変更をしたときは、承認済みの記録を更新すれば、同じ通知が鳴り続けることもありません。正当な変更のあとで、誰が記録を更新するかを決めておくと運用が安定します。

2. 担当者本人の名前でも、知らせる操作を決めておく

盗まれたセッションでの操作は、担当者本人の名前で記録されます。「承認済みのユーザーによる操作なら問題なし」とすると、この種類の乗っ取りを見逃します。

そこで、誰が操作したかに関係なく通知する操作を決めておきます。候補は次のとおりです。

• キャンペーンの新規作成
• 支払い方法や利用上限の変更
• ユーザーの追加・削除、権限の変更
• アカウント全体にかかるトラッキング設定の変更

キャンペーンの新規作成は日常の運用でも発生するため、通知は増えます。それでも、不正な配信の起点になりうる操作なので、対象に含める価値があると筆者は考えています。

あわせて、配信中の広告の中身も点検します。広告のリンク先が自社のドメインか、トラッキング用のURLが外部を向いていないかを確認します。費用が過去の実績と比べて急に増えていないかも、乗っ取りの兆候として見ておきます。

3. 監視が止まったことに気づけるようにする

監視の仕組み自体が止まると、異常があっても通知は届きません。通知が来ないことを「異常なし」と受け取ると、監視の停止に気づけなくなります。認証の期限切れや権限の変更でも、監視は止まりえます。

対策として、異常がなくても定期的に稼働報告を送るようにします。報告には、直近の実行回数、失敗の有無、未承認の差の残りを載せます。この報告が届かなければ、監視が止まっていると判断できます。

媒体ごとにAPIで見えるもの

3媒体とも同じ考え方で監視できますが、APIで取得できる情報は媒体ごとに違います。以下は2026年10月時点で公式ドキュメントから確認した内容です。

Google広告

Google Ads APIでは、保留中の招待や、アカウントにアクセスできるユーザーの情報を扱えます。変更履歴（Change Event）には、変更したユーザーのメールアドレスが記録されます。ただし変更履歴は直近の一定期間しか遡れないため、定期的に取得して記録しておく必要があります。

Meta広告

Marketing APIでは、広告アカウントのアクティビティ（操作履歴）を取得できます。アクティビティには、ユーザーの追加・削除や支払い方法の追加・削除といった操作の種類が記録されます。広告アカウントに割り当てられたユーザーや、ビジネスポートフォリオのパートナーも確認できます。

Yahoo!広告

検索広告APIでは、操作履歴をレポートとして取得できます。一方、アカウントにアクセスできるユーザーの一覧のように、APIでは扱いにくい情報もあります。APIで取りきれない項目は、管理画面での定期的な確認を併用してください。

実装の選択肢

監視は、手間と自由度の違ういくつかの方法で実現できます。

コードを書かずに始める

まずは、管理画面の機能と運用ルールだけで始められます。

• ユーザー一覧の定期確認： 担当者を決め、各媒体のユーザーと権限の一覧を定期的に確認します。前回の一覧を保存しておき、差を見る形にすると見落としが減ります
• 媒体からの通知メール： ユーザーの追加や支払い設定の変更などの通知が、管理者に確実に届くよう宛先を見直します
• 利用上限と支払い方法の限度額： 乗っ取られても被害額に上限がかかるようにします

広告スクリプトや自動ルールを使う

Google広告スクリプトは、MCCから配下のアカウントを扱え、広告のリンク先の取得やキャンペーンの停止もできます。追加の認証情報を管理しなくてよい点が利点です。一方で、スクリプトは承認したユーザーの代理として動きます。そのユーザーがアカウントへのアクセスを失うと止まる点に注意が必要です。

各媒体の自動ルールは、管理画面だけで設定できます。ただし条件は成果の数値が中心で、リンク先のドメインを条件にするのは難しいのが現状です。費用の歯止めとして使うのが向いています。

APIとクラウドの定期実行

APIを使えば、3媒体をまとめて監視でき、承認済みとの差分や稼働報告も自由に作れます。その分、認証情報の管理と、監視の仕組み自体の保守が必要になります。

どの方法でも、監視を動かすアカウントや認証情報は、攻撃の対象になりえます。監視の仕組みも、守る対象の1つとして扱ってください。

不正な広告の自動停止と、権限の扱い

自動停止は時間稼ぎの手段

監視に加えて、不正な広告を見つけたときにキャンペーンを自動で止める仕組みも考えられます。夜間や休日でも、人が気づくまでの被害を抑えられます。

ただし、自動停止は乗っ取りそのものを防ぐものではありません。管理者の権限を奪われれば、止めたキャンペーンは再開できます。監視用のユーザーを外されることもあります。得られるのは、人が対応するまでの時間です。

また、正規のキャンペーンを誤って止める危険もあります。導入するなら、次の点をセットで設計します。

• 本番の前に試運転の期間を設け、判定の誤りがないか確認する
• 想定外の規模で停止の対象が出たときは、人の確認に切り替える
• 止めたキャンペーンを再開するかどうかは、人が判断する
• いつ、何を、なぜ止めたかを、通知と記録の両方に残す

書き込みの権限が、新しい入口にならないようにする

自動停止には、キャンペーンを操作できる権限が必要です。その認証情報が漏れれば、同じ認証情報で広告を作れてしまいます。権限の絞り方は、媒体ごとに異なります。

Google広告のAPIでは、権限の範囲（スコープ）は1種類で、読み取りだけに限定できません。権限を絞るなら、認可に使うユーザーのアクセスレベルで調整します。ただし、監視したい情報によっては、強いアクセスレベルが必要になる場合があります。どのユーザーで認可しているかを把握し、そのユーザーのアカウントを特に厳重に守ってください。

Meta広告では、読み取りの権限（ads_read）と広告を管理する権限（ads_management）が別です。監視には読み取りの権限だけを使い、停止には別のシステムユーザーを用意する構成が安全です。停止用のシステムユーザーには、対象の広告アカウントだけを割り当てます。そうすれば、漏れたときの影響をその広告アカウントに限れます。不要になれば、そのユーザーを削除するだけで権限を消せます。

Yahoo!広告も、APIでキャンペーンの状態を変更できます。権限が広告アカウントではなく、管理アカウントの側で付与されている場合もあります。どの階層の、どの権限で操作しているかを確認しておいてください。

認証情報は、ソースコードやスプレッドシートに直接書かないでください。アクセスできる人を絞れる保管場所に置きます。Metaのビジネスポートフォリオでは、トークンの発行に別の管理者の承認を求める設定にできる場合があります。1人のアカウントが乗っ取られても、認証情報を勝手に作られにくくなります。

異常を検知したときの初動

通知を受けてから慌てないよう、初動の手順を事前に決めておきます。基本の流れは次のとおりです。

1. 事実を確認する： 通知の内容が、社内の誰かによる正当な変更でないかを確認します
2. 配信を止める： 不正な広告やキャンペーンを停止します。被害が広がっている場合は、アカウント単位の停止も検討します
3. 不審なユーザーと権限を外す： 追加された覚えのないユーザーやパートナーを削除し、保留中の招待も取り消します
4. セッションと認証情報をリセットする： 関係者のアカウントで、ほかの端末のログインを解除し、パスワードを変更します。APIの認証情報も再発行します
5. 支払いを確認する： 支払い方法の追加や変更がないかを確認し、必要ならカード会社に連絡します
6. 媒体に連絡する： 不正な請求の扱いやアカウントの復旧について、各媒体のサポートに相談します

管理者が1人しかいないと、そのアカウントが乗っ取られた時点で手順2以降に進めなくなります。管理者を2人以上置き、連絡先を共有しておくことも初動の準備に含まれます。

あわせて見直したい予防策

監視は、防ぐ対策の代わりにはなりません。次の設定と運用もあわせて見直します。

• ビジネスポートフォリオなどの組織単位で、2段階認証を全員に必須にする
• 管理者の権限を持つ人を棚卸しし、必要な人だけに絞る
• 退職者や契約が終わった外部パートナーの権限を外す
• 広告の管理に使う端末のマルウェア対策と、OS・ブラウザの更新を徹底する
• ブラウザの拡張機能を必要なものだけに絞る
• 広告の管理画面は、私用と分けたブラウザのプロファイルで開く
• 媒体の利用上限を設定する

まとめ

広告アカウントの乗っ取りは、認証を強くしても完全には防げない場合があります。防ぐ対策に、気づく仕組みと、検知後の初動の準備を組み合わせることが大切です。

監視を設計するときは、次の3点を押さえてください。

• 承認済みの状態との差分で見る
• 担当者本人の名前でも、危険な操作は通知の対象に含める
• 監視自体が止まったことに気づけるようにする

まず取り組むなら、ユーザー一覧の定期確認と、初動手順の文書化から始めるのがよいでしょう。どちらもコードを書かずに始められ、乗っ取りに気づいてから対応するまでの迷いを減らせます。

関連記事

• Metaビジネスポートフォリオ完全ガイド｜旧ビジネスマネージャーの構造・権限設計・代理店運用
• 広告アカウント監査の進め方｜チェックリストと改善提案の組み立て方
• Google広告スクリプト入門｜自動化できること・導入手順・実用テンプレート
• 広告アカウント停止・制限からの復旧ガイド｜原因特定と再審査の手順