Google広告は2026年7月15日から、一部の機密性の高い操作にパスキーを必須化しました。対象は新規ユーザーの追加、請求情報の変更、アカウントリンクの更新などです。すべてのログインにパスキーが必要になるわけではなく、あくまで特定の重要操作に限定されます。背景には2025年から続くアカウント乗っ取り被害の急増があります。本記事では対象操作、確認用の新タブ、そして今すぐやるべき保護策を整理します。
パスキー必須化の内容｜対象となる機密操作
今回のアップデートで、パスキーが必須になるのは特定の機密操作を完了するタイミングです。Google広告ヘルプでは対象操作の例として、新規ユーザーの追加、請求情報の変更、アカウントリンクの更新、ユーザーのアクセス権変更が挙げられています。
パスキーは、端末の生体認証（指紋・顔）または端末のPINで認証する仕組みです。パスワードのように盗まれて再利用される性質がなく、フィッシング耐性が高い点が特徴とされています。ログインの方法そのものが変わるわけではなく、上記のような重要操作の直前に確認が入る形です。
新規に作成したパスキーは、Google広告側との紐付けに1〜2日かかる場合があるとされています。操作の直前に慌てて登録すると、その場では認証が通らない可能性があります。事前の設定が重要になります。
セキュリティタスクの概要タブ｜完了状況を一覧できる
2026年6月17日には、管理画面の「アクセスとセキュリティ」に「セキュリティタスクの概要」タブが追加されました。このタブでは、パスキー作成・ドメイン確認・ユーザー確認などのタスクの完了/未完了を一覧で確認できます。
自分のアカウントで何が完了していて、何が残っているのかを可視化できる点が実務上のメリットです。パスキー必須化への対応漏れを防ぐためにも、まずこのタブで現状を把握することをおすすめします。
| タスク項目 | 内容 | 確認できること |
|---|---|---|
| パスキー作成 | 機密操作用の認証手段を登録 | 登録済みか未登録か |
| ドメイン確認 | 広告アカウントに紐づくドメインの検証 | 確認済みか未確認か |
| ユーザー確認 | アクセス権を持つユーザーの本人確認 | 完了済みか未完了か |
背景にある乗っ取り急増｜代理店を狙う手口も
今回のパスキー必須化の背景には、2025年から2026年初頭にかけてのアカウント乗っ取り被害の急増があります。2026年4月には、広告代理店を標的とし、アカウントリンクのプロセス自体を悪用する組織的な詐欺の手口が確認されています。
注意したいのは、二要素認証を有効にしていたアカウントでも突破された事例が報告されている点です。偽の招待メールや、通信を中継する中間者フィッシングによって認証が回避されるケースがあります。パスキーは、こうしたフィッシング型の攻撃に対する耐性を高める狙いがあると考えられます。
Googleは、この変更について通知メールを広告主に送付しています。届いたメールに心当たりがあるかどうかも、対応の起点になります。
今すぐやるべき対策チェックリスト
Google広告ヘルプ「Google 広告アカウントを保護する: おすすめの方法」で示されている推奨事項を、実行しやすいチェックリストに整理しました。パスキーの設定とあわせて、権限まわりの見直しを進めることをおすすめします。
- パスキーを事前に登録する（紐付けに1〜2日かかるため余裕を持つ）
- ユーザー名とパスワードを複数人で共有しない（各ユーザーに個別のGoogleアカウントでアクセス権を付与する）
- 必要最小限の権限を付与する（管理者／標準／読み取り専用を使い分ける）
- 退職者・担当を外れたユーザーのアクセス権を速やかに削除する
- 不審な広告・予算変更や請求明細を定期的に確認する
- 管理するアカウント数が多い場合はMCC経由の管理に整理する（1つのGoogleアカウントから直接アクセスできるのは最大20アカウントという仕様のため）
- 「セキュリティタスクの概要」タブで完了状況を確認する
まとめ
Google広告のパスキー必須化について、要点を整理します。
| 項目 | 内容 | 運用上の注意点 |
|---|---|---|
| 開始時期 | 2026年7月15日から | 対象は特定の機密操作のみ |
| 対象操作 | ユーザー追加・請求変更・リンク更新・権限変更 | ログイン全般が変わるわけではない |
| パスキー紐付け | 登録後1〜2日かかる場合あり | 操作予定日の数日前に設定する |
| 確認タブ | セキュリティタスクの概要（6月17日追加） | 完了状況を一覧で把握できる |
| 背景 | 乗っ取り被害の急増・代理店標的の手口 | 2段階認証済みでも突破例あり |
まず試すべき1アクション： 管理画面の「アクセスとセキュリティ」から「セキュリティタスクの概要」タブを開き、パスキーが登録済みかどうかを確認してください。未登録であれば、機密操作の予定がなくても今のうちに登録を済ませておくのが安全です。