ガイド　白書「7. 起きたときの初動」より

広告アカウントが乗っ取られたら

心当たりのない通知が届いた、不正な広告が出ている、ログインできない。まず、下の順で止めてください。

通知のメールで気づいたときの、最初の5分

心当たりのない通知が届いたら、まず次の操作で、攻撃の前半で止めます。どれも「管理者」→「アクセスとセキュリティ」の画面で行えます。

最初の1時間

1. 動いている不正なキャンペーンを止める。自動ルールも止める（止めても再開した事例がある）
2. 不正なユーザーと、見覚えのないパスキーを削除する。正規の管理者の権限を取り戻す
3. 支払い方法を確認し、必要ならカードを一時停止する
4. 社内と、影響を受けた顧客に第一報を入れる

Google への報告

「不正使用されたアカウントを Google 広告に報告」のフォームから報告します。報告の前に、次の証拠をそろえてください（Google 広告ヘルプ）。 - 変更の履歴の時刻 - 不正な MCC の ID - 予算の増額や自動ルールの証拠

送った後は内容を変えられません。払い戻しは、復旧と2段階認証の有効化の後に申請します。上位の MCC で起きた場合は、上位の管理者だけが修復を承認できます。

Meta への報告

個人のアカウントは、以前使った端末から facebook.com/hacked で手続きします（Meta ヘルプ）。ビジネスアカウントや広告アカウントは、Business Suite のサポートから報告します。

顧客への連絡の文例

本日〇時ごろ、弊社が管理する広告アカウントへの不正なアクセスを確認しました。現在、不正な配信の停止と媒体社への報告を進めています。貴社のアカウントで発生した可能性のある費用と影響を確認のうえ、〇時までに改めてご報告します。ご不便とご心配をおかけし申し訳ございません。

記録を残す

どの事件でも、復旧と返金の手続きには、時刻つきの記録が求められます。普段から、権限の一覧と変更の履歴を残しておくことが、事故のときの最大の助けになります。