トップ ＞ テクノロジー

Google広告の代理店管理アカウントに不正アクセス、顧客側でカジノ広告配信

内容

何が起きたのか

愛媛県松山市でネット広告の運用を手掛ける会社が10月6日、Google広告の「マネージャーアカウント」（MCC）が前日の10月5日に第三者から不正アクセスを受けたと発表しました。MCCは、代理店などが顧客ごとの広告アカウントを束ね、一度のログインで広告作成や予算、権限の管理をまとめて行うための上位アカウントです。乗っ取られたMCCにつながっていた顧客アカウントでは、オンラインカジノへ誘導する広告キャンペーンが無断で作られ、配信されました。

なぜ侵入を許したのか

侵入の起点は、同社が管理業務に使っていたGoogleアカウントの1つでした。このアカウントには複雑なパスワードを設定し、さらにパスキーとセキュリティキーによる2段階認証も有効にしていました。それでもなぜ突破されたのか、どこから入られたのかは現時点で明らかになっていません。

侵入から対処までの経緯

5日午後2時2分、同社が許可していないユーザー3件が管理者権限付きでMCCに追加されたという通知が届きました。わずか1分後、そのユーザーによって同社の管理用アドレスの管理者権限が外され、同社は自社のMCCに入れなくなりました。

同社は午後2時15分に異常に気付き、その10分以内にGoogleの代理店担当者へ連絡し、午後2時33分にはGoogleの不正アクセス報告フォームからも申告しました。しかしGoogleから不正ユーザーへの対処と保護措置を終えたとの連絡が届いたのは午後7時11分でした。

その間、攻撃者は午後2時35分〜47分に顧客の広告アカウントを同社のMCCから外し、別のMCCに付け替えました。続いて午後2時44分〜6時12分にかけて不正な新規キャンペーンを作成しました。検索広告やディスプレイ広告のほか、YouTubeやGmailなどGoogleの複数のメディアにまたがって出せるデマンドジェネレーション広告も含まれ、1日あたりの予算は極端に高く設定されていました。一部では既存のキャンペーンも書き換えられていたということです。

どんな被害が出たのか

影響はMCCにつながっていたすべての顧客アカウントに及びました。ただし対象となった顧客の数は公表されていません。連絡が取れた顧客の約半数で広告費の発生が確認されていますが、配信された広告の量や費用の総額は現時点で明らかになっていません。同社はいまもMCCにログインできず顧客情報を確認できないため、すべての顧客には連絡できていない状況です。

また、同社の社名の後ろに数字を付けた名前のMCCからのリンクも見つかっています。同社はこれらを自社のものではないとして、リンクの承認依頼には応じないよう呼びかけています。

現在の対応と顧客がすべきこと

Googleは、不正なアクセスや操作が確認された顧客の広告アカウントを一時的に止めました。同社はGoogleと協力し、不審なユーザーや外部MCCとのつながりの削除、自社MCCとのリンクの付け直し、不正キャンペーンの削除を終えています。自社MCCそのものの回復については、引き続きGoogleと作業を進めています。

広告アカウントの回復や返金には管理者本人の確認などが必要なため、同社が代わりに手続きすることはできません。顧客は自らGoogleの不正アクセス報告フォームで申告し、アカウントを回復して2段階認証を有効にしたうえで、返金を申し込む必要があります。

再発防止策として、同社は管理用アカウントへの追加の認証導入、アクセス権限の最小化、使用端末や利用環境の安全確認、管理体制の見直しを挙げています。認証の設定だけで安全と判断せず、端末や環境も含めた対策を検討するとしています。一方、Google側が今後どのような対策を取るのかは現時点で明らかになっていません。

注目ポイント

パスキーやセキュリティキーといった、強固とされる認証を設定していても乗っ取りを防げなかった点に関心が集まっています。代理店の管理アカウントが1つ奪われるだけで、そこにつながる多数の顧客の広告費や信用に影響が及ぶ仕組みであることも浮き彫りになりました。侵入経路の特定と、顧客ごとの返金がどこまで進むかが今後の焦点です。

ネットでの反応

SNSでは、パスキーがどのように突破されたのかを知りたいという声が上がっています。侵入の手口はまだ特定されておらず、今後の調査結果が注目されています。

参考記事

• Google広告の代理店アカウントに不正アクセス 顧客アカウントからカジノ広告無断配信 パスキー設定も侵入許すITmedia　2026年10月7日 13:35

ランキング登場履歴

この記事の内容に誤りを見つけた方は 情報の誤りを報告 からお知らせください。