Zhakowane konto MCC Google Ads: procedura zabezpieczenia i odzyskania dostępu

Podejrzenie przejęcia MCC uzasadnia każda zmiana dostępu, kampanii lub płatności, której nie potwierdza uprawniony administrator. MCC, czyli konto menedżera Google Ads, pozwala zarządzać połączonymi kontami z jednego panelu, więc incydent może dotyczyć menedżera, konta klienta albo konta Google administratora.

Sprawdź sygnały alarmowe:

• Nieznany użytkownik, nieoczekiwana zmiana roli albo nowe zaproszenie.
• Nieznane konto menedżera w hierarchii lub zmiana połączenia z kontem klienta.
• Kampania, reklama, budżet, adres docelowy albo reguła, której nikt z zespołu nie utworzył.
• Zmiana profilu płatności, obciążenie lub alert Google, którego zespół nie rozpoznaje.
• Powiadomienie o zmianie zabezpieczeń konta Google, której administrator nie zlecał.

Historia zmian Google Ads pokazuje zmiany kampanii i działania związane z kontem. Na dotkniętym koncie ustaw zakres czasu obejmujący incydent i zapisz datę, godzinę, typ zmiany oraz widocznego użytkownika. Po procedurze zabezpieczenia Google może dostarczyć osobny, szczegółowy dziennik zmian do decyzji administratora; nie zakładaj, że standardowa historia w panelu zawiera cały materiał potrzebny do rozstrzygnięcia incydentu.

Zapisz identyfikator konta menedżera, identyfikatory dotkniętych kont klientów, czas wykrycia i nazwę administratora prowadzącego zgłoszenie. Jeśli nie masz dostępu do panelu, nie otwieraj podejrzanych linków z wiadomości; zachowaj wiadomości i przejdź do odzyskiwania konta Google.

W pierwszych minutach zachowaj dowody, zabezpiecz konta administratorów z czystego urządzenia i zgłoś przejęcie do Google Ads. Google może tymczasowo zawiesić konto, wstrzymać działania uznane za nieautoryzowane i przeprowadzić własne czyszczenie, dlatego ręczne zmiany mogą wejść w konflikt z procedurą.

Wykonaj działania w tej kolejności:

1. Zapisz identyfikatory MCC i kont klientów, czas wykrycia, alerty, wiadomości oraz widoczne zmiany.
2. Przeskanuj urządzenia używane do logowania do Google Ads. Usuń złośliwe oprogramowanie przed zmianą haseł, aby nowe dane nie zostały przechwycone.
3. Zabezpiecz skrzynkę pocztową i konto Google administratora z czystego urządzenia. Sprawdź metody odzyskiwania, aktywne sesje, reguły przekazywania poczty i weryfikację dwuetapową.
4. Zgłoś incydent przez oficjalny formularz Google Ads dotyczący przejętego konta. Podaj chronologię nieautoryzowanych zmian i informacje o danych logowania, które mogły zostać przejęte.
5. Jeśli nadal masz dostęp, zachowaj widoczne ustawienia kampanii. Wstrzymaj podejrzaną emisję tylko wtedy, gdy masz uprawnienia i ręczne działanie nie koliduje z komunikatem Google o trwającym zabezpieczeniu.

Google opisuje, że po potwierdzeniu przejęcia może zawiesić konto, wstrzymać kampanie utworzone lub zmienione przez nieautoryzowanego użytkownika, usunąć podejrzane dostępy i odłączyć nieautoryzowane konta menedżera. Zakres działań zależy od incydentu. Oficjalna procedura obejmuje także przegląd dziennika zmian i wybór sposobu czyszczenia; sprawdziliśmy ją w październiku 2026 roku w pomocy Google Ads dotyczącej przejętego konta.

Jeśli incydent dotyczy także bieżącej obsługi kampanii po odzyskaniu dostępu, prowadzenie kampanii Google Ads może objąć przegląd konfiguracji i dalsze działania reklamowe. Zmiany podejmuj po zabezpieczeniu dostępu i sprawdzeniu instrukcji otrzymanych od Google.

Każdy administrator z dostępem do MCC powinien osobno zabezpieczyć konto Google, skrzynkę pocztową i urządzenia używane do pracy. Zabezpieczenie samego menedżera nie wystarczy, jeśli napastnik nadal kontroluje konto e-mail służące do resetowania dostępu.

Dla każdego administratora sprawdź:

• Ostatnią aktywność konta Google oraz urządzenia i sesje, których osoba nie rozpoznaje.
• Adresy i numery odzyskiwania, które mogą przejąć proces resetowania dostępu.
• Aplikacje zewnętrzne mające dostęp do danych Google oraz nieznane reguły przekazywania wiadomości.
• Weryfikację dwuetapową lub klucz dostępu oraz bezpiecznie przechowywaną metodę zapasową.
• Dostęp do urządzeń i skrzynek współdzielonych, z których administratorzy logują się do MCC.

W koncie Google ścieżka przeglądu urządzeń prowadzi przez "Konto Google" > "Bezpieczeństwo" > "Twoje urządzenia" > "Zarządzaj urządzeniami". W sekcji ostatnich zdarzeń bezpieczeństwa sprawdź aktywność, której nie rozpoznajesz, i wykonaj wskazane kroki zabezpieczające. Nazwy elementów mogą różnić się zależnie od języka interfejsu; opis sprawdziliśmy w październiku 2026 roku w pomocy Google dotyczącej przejętego konta.

Hasło zmień po sprawdzeniu urządzenia i usunięciu złośliwego oprogramowania. Google ostrzega, że zmiana hasła na zainfekowanym urządzeniu może narazić nowe dane logowania. Po zmianie wyloguj nieznane sesje, sprawdź metody odzyskiwania i upewnij się, że administrator kontroluje właściwą skrzynkę.

Weryfikację dwuetapową włącz dla każdego osobistego konta Google z dostępem do MCC. Google wskazuje klucze bezpieczeństwa i klucze dostępu jako mocniejsze metody ochrony przed phishingiem niż kody SMS. Agencja powinna przypisywać osobne konto każdemu pracownikowi zamiast współdzielić jedno konto Google.

Podejrzany dostęp odłącz po zapisaniu jego danych, potwierdzeniu dostępu zaufanego administratora i sprawdzeniu, czy Google nie prowadzi czyszczenia konta. Usunięcie połączenia bez przygotowania może utrudnić dostęp do konta klienta albo zmienić działanie płatności i pomiaru.

Najpierw ustal, czy podejrzany wpis jest użytkownikiem MCC, połączeniem z kontem klienta, oczekującym zaproszeniem czy elementem profilu płatności. Porównaj go z listą osób i relacji zatwierdzonych przez właściciela konta.

Wniosek: przed usunięciem dostępu trzeba rozpoznać, jaki typ relacji kontrolujesz i jakie skutki przyniesie jej odłączenie.

Google podaje, że odłączenie konta wymaga dostępu administracyjnego do konta menedżera lub klienta. W MCC ścieżka prowadzi przez "Konta" > "Ustawienia kont podrzędnych", wybór konta, menu "Edytuj" i opcję "Odłącz". Przed zatwierdzeniem Google pokazuje podgląd skutków; ścieżkę sprawdziliśmy w październiku 2026 roku w instrukcji odłączania konta menedżera.

Odłączenie konta może pozbawić je dostępu do współdzielonych list remarketingowych lub śledzenia konwersji między kontami. Przy miesięcznym fakturowaniu odłączenie płacącego menedżera może zatrzymać emisję, jeśli wcześniej nie zmieniono konfiguracji płatności. Gdy Google prowadzi procedurę odzyskiwania, nie odłączaj relacji samodzielnie bez sprawdzenia otrzymanych instrukcji.

Ogranicz wydatki przez zgłoszenie do Google, kontrolę aktywnych kampanii i sprawdzenie profilu płatności, a ręczne wstrzymanie stosuj tylko wtedy, gdy zachowujesz dostęp i nie koliduje ono z procedurą Google. Zawieszenie całego MCC nie jest równoznaczne z zatrzymaniem każdej kampanii w każdym koncie klienta.

Dla każdego konta podrzędnego sprawdź aktywne kampanie, budżety, stawki, reguły automatyczne, harmonogramy oraz adresy docelowe. Zapisz zmiany i czas ich wprowadzenia przed korektą. Sprawdź również powiadomienia o płatnościach, aktualne metody płatności i konta, którym przypisano rozliczenia.

Google opisuje różne działania zależnie od ustaleń: może wstrzymać kampanie utworzone lub zmodyfikowane przez intruza, pozostawiając nietknięte kampanie aktywne, a w nowych nieautoryzowanych kontach podrzędnych ustawić limit wydatków na zero. Nie traktuj tych działań jako gwarancji dla każdej sprawy; kontroluj status widoczny w koncie i komunikację Google.

Zachowaj chronologię obejmującą godzinę wykrycia, pierwszą podejrzaną zmianę, budżet przed incydentem, widoczne wydatki po incydencie i podjęte działania. Rozdziel wydatki rozpoznane od zakwestionowanych. Taka dokumentacja ułatwia przekazanie sprawy do Google i późniejszą weryfikację rozliczeń.

Zgłoszenie powinno zawierać chronologię zdarzeń, identyfikatory nieautoryzowanych kont menedżera i przykłady zmian, których zespół nie rozpoznaje. Google prosi także o informacje o danych logowania, które mogły zostać przejęte, oraz bieżący adres IP do weryfikacji.

Przed wysłaniem zgłoszenia zbierz:

• Identyfikator MCC i identyfikatory dotkniętych kont klientów.
• Daty i godziny zmian w historii konta, wraz z typem zmiany i widocznym użytkownikiem.
• Nieautoryzowane identyfikatory kont menedżera połączonych z hierarchią.
• Powiadomienia o użytkownikach, budżetach, regułach lub płatnościach.
• Informację o przejętych lub podejrzanych danych logowania oraz kontakt do zaufanego administratora.

Zrzuty zapisuj z widoczną datą i nazwą konta, ale nie edytuj oryginałów. Zachowaj kopię powiadomień i korespondencji w kontrolowanym miejscu, z ograniczonym dostępem zespołu. Nie przesyłaj haseł, kodów weryfikacyjnych ani pełnych danych płatniczych w treści zgłoszenia.

Google zaleca podanie konkretnych znaczników czasu, nieautoryzowanych identyfikatorów MCC, przykładów zmian budżetu lub reguł oraz adresu IP. Formularz zgłoszeniowy znajduje się w artykule pomocy o przejętym koncie; treść wymagań sprawdziliśmy w październiku 2026 roku w oficjalnej procedurze Google Ads.

Prowadź chronologię incydentu jako tabelę roboczą: czas, konto, zdarzenie, źródło dowodu, działanie zespołu i status odpowiedzi Google. Oddzielaj fakty widoczne w panelu od przypuszczeń dotyczących sposobu przejęcia. Nie wpisuj do raportu hasła ani kodów jednorazowych.

Po zabezpieczeniu MCC sprawdź każde konto podrzędne, bo atakujący mógł zmienić dostęp lub ustawienia tylko w części hierarchii. Kontrola powinna objąć stan bieżący i zmiany z okresu incydentu.

Tabela pomaga przypisać kontrolę do każdego konta klienta. Ustal osobę odpowiedzialną za wynik i oznacz konto jako sprawdzone dopiero po porównaniu z zatwierdzoną konfiguracją.

Wniosek: wynik audytu każdego konta powinien wskazywać właściciela kontroli i nierozstrzygnięte wyjątki, a nie tylko potwierdzać sprawdzenie MCC.

Porównaj każdą pozycję z listą dostępu i konfiguracją zatwierdzoną przez właściciela konta. Nie usuwaj prawidłowych elementów tylko dlatego, że są nieznane osobie prowadzącej incydent; potwierdź je z właścicielem lub administratorem klienta. Zapisz osobno zmiany wymagające decyzji Google i działania, które zespół może bezpiecznie wykonać po odzyskaniu kontroli.

Ryzyko ponownego przejęcia ogranicza osobny dostęp dla każdego pracownika, weryfikacja dwuetapowa, kontrola zmian i szybkie odbieranie dostępów, które nie są już potrzebne. Procedura powinna obejmować zarówno konto Google, jak i relacje w MCC.

Ustal stałe zasady dostępu:

• Każdy pracownik używa własnego konta Google, a uprawnienie odpowiada jego zadaniom.
• Administratorzy włączają weryfikację dwuetapową lub klucz dostępu i utrzymują aktualne metody odzyskiwania.
• Zespół zgłasza zmianę użytkownika, menedżera, płatności lub budżetu, której nie zlecał.
• Właściciel MCC regularnie porównuje użytkowników i połączenia z zatwierdzoną listą.
• Po odejściu pracownika lub zmianie agencji administrator odbiera zbędne dostępy i weryfikuje relacje kont.

Google zaleca ochronę konta, stosowanie unikalnych haseł, włączenie weryfikacji dwuetapowej i ograniczenie niepotrzebnych aplikacji oraz rozszerzeń. Dla Google Ads sprawdzaj także listę użytkowników i ustawienia bezpieczeństwa. Praktyki konta Google sprawdziliśmy w październiku 2026 roku w pomocy Google dotyczącej bezpieczeństwa konta.

Perspektywa KC Mobile: przy obsłudze wielu kont najtrudniej odtworzyć, czy nietypowa zmiana była błędem, planowaną pracą czy działaniem osoby nieuprawnionej. Pomaga rejestr dostępu z właścicielem konta, zakresem uprawnień i datą ostatniego potwierdzenia. Po incydencie warto też przejrzeć konfigurację kampanii i proces zarządzania dostępem w ramach obsługi Google Ads dla firm.

• Google PPC: jak wyłączyć kampanię Google Ads i co sprawdzić przed jej zatrzymaniem
• Podobni odbiorcy w Google Ads: co działa i czym ich zastąpić
• Dodawanie konta Google Analytics i konfiguracja usługi GA4
• SEO abonament - jak go wyłączyć i bezpiecznie zakończyć współpracę