広告アカウントのセキュリティで気をつけること【インハウス運用向け】

広告アカウントは「お金が直接動く」アカウント

広告アカウントの被害は、不正に使われた広告費だけではありません。その間に配信や数値の確認ができず、業務が止まることまで含めて考えます。

広告アカウントには、クレジットカードなどの支払い情報が紐づいています。第三者に不正にアクセスされると、身に覚えのない広告が配信され、その費用がそのまま自社の広告費として使われてしまいます。

また、不審な動きが検知された場合には、アカウントに制限がかかることがあります。制限がかかっている間は、自社の広告の配信も、数値の確認もできなくなります。広告から問い合わせや売上を得ている事業であれば、その期間の機会もあわせて失われます。

社内で使っている他のアカウントにも不正アクセスのリスクはありますが、広告アカウントは被害が金額として即座に表れる点が異なります。インハウス運用（広告運用を自社内で行う体制）では、こうした管理も社内の担当者が担うことになります。

この記事では、インハウスで運用している場合に確認しておきたい項目を、次の4つの観点で整理します。

• 権限：誰に、どの範囲の操作を許可しているか（共有の有無、権限の種類、定期的な整理、外部への委託）
• 認証：ログインの際に、本人であることをどう確認しているか
• 外部連携：外部のツールやサービスに、どの範囲の権限を渡しているか
• 連絡：媒体を名乗る連絡に、どう対応するか

あわせて、被害が出た場合に金額を抑えるための支払いの設定にも触れます。

アカウントの共有をしない

1つのログイン情報を複数人で共有すると、誰が何をしたかを追えなくなり、ログイン情報が流出したときの影響範囲も広がります。

広告の管理画面に入るためのメールアドレスとパスワードを、担当者の間で共有して使っているケースがあります。手軽な方法ですが、セキュリティの面では次のような問題があります。

• 操作を追跡できない：不正な操作や想定外の設定変更があっても、誰が行ったかを特定できない
• 流出時の影響範囲が広い：共有している人が1人でもパスワードを流出させれば、全員分の入口が開く
• 退職時に閉じられない：共有パスワードを変更して全員に再共有する手間が発生し、変更漏れが起きやすい

必要なのはアカウントを共有することではなく、それぞれが自分のアカウントを持ったうえで、広告アカウントへの権限を付与されている状態です。媒体のビジネス管理の設定から、人単位で権限を割り当てます。こうしておくと、変更履歴にも操作した人が記録され、担当から外れた人の権限だけを個別に削除できます。

なお、Meta広告は、実名の個人アカウントを1人1つ持つことを前提とした設計になっており、アカウントの共有はポリシー上認められていません。セキュリティの面だけでなく、規約の面からも共有は避けます。

権限の種類を理解して、必要な範囲だけ付与する

広告アカウントに関わる全員に管理者権限を付与する必要はありません。役割ごとに、必要な範囲の権限を割り当てます。

Google広告では、ユーザーごとに付与できる権限（アクセスレベル）が5種類あります。

※ 権限の名称や内容は変更されることがあります。付与する際は、管理画面上の説明もあわせて確認してください。

配り方の一例は次のとおりです。

• 管理者：1〜2名に限定する
• 運用担当者：標準
• 数値を見たいだけの関係者、閲覧のみで足りる外部の委託先：読み取り専用
• 経理担当者：お支払いとご請求（支払い設定のみ）

権限を付与するときに、迷ったら管理者を選ぶという運用になっていないかを確認します。結果を見るだけなら読み取り専用、経理の処理だけなら支払い関連の権限で足ります。

管理者を1〜2名に絞ると、権限の付与や削除が誰の判断で行われたかを把握しやすくなります。ただし1名だけにすると、その人が不在のときに権限の操作ができなくなるため、2名程度を確保しておくと運用が止まりません。

Meta広告の場合も同様に、ビジネスの設定画面で、人単位・アセット（広告アカウントやFacebookページなど、ビジネスで管理する対象）単位に権限を割り当てる仕組みがあります。誰に、どの広告アカウントへの、どの範囲の権限を渡すかを、同じ考え方で整理できます。

権限を持つ人を把握し、定期的に整理する

権限を持つ人が増えるほど、不正アクセスの入口も増えます。付与したあとも、時期を決めて一覧を見直します。

確認したい項目は次のとおりです。

• 管理者権限を持つ人数が、必要以上に増えていないか
• 退職した社員、契約の終わった業務委託先、担当から外れた人の権限が残っていないか
• 使っていない広告アカウントやビジネスアカウントが、開いたままになっていないか

権限は付与する場面では意識されますが、削除は忘れられやすいものです。人の異動や契約の終了は、広告の担当者が把握していないところで起きることもあります。四半期ごとなど時期を決めて、現在権限を持っている人の一覧を確認する運用にしておくと、見落としを減らせます。

一覧の確認とあわせて、管理画面の変更履歴（いつ、誰が、どの設定を変えたかの記録）にも目を通しておくと、見覚えのない操作に気づきやすくなります。運用の一部を外部に任せている場合は、変更履歴の確認を委託先に依頼することもできます。変更履歴と数値の動きを突き合わせる見方は、リスティング広告のCPAが上がったときに確認することの記事でも触れています。

外部ツールやAIツールに渡す権限を限定する

外部ツールとの連携そのものを避けるのではなく、渡す権限の範囲と、連携してよいかの判断の仕方を決めておきます。

広告アカウントと連携できるツールは、レポートの作成、入稿や調整の自動化、データの分析など多数あります。AIを使ったツールも増えています。便利な一方で、連携した時点で、そのツールに広告アカウントへの権限が渡ります。

• 社内で許可制にする：誰でも自由に連携できる状態にせず、連携の可否を判断する人を決めておく
• まず閲覧権限で運用する：レポートや分析が目的なら、閲覧権限で足りることが多い。操作権限は必要になった時点で検討する
• 発行元が確認できないものは使わない：提供元の会社情報やサポート窓口が確認できないプラグイン（ブラウザなどに機能を追加する小さなプログラム）やツールには、権限を渡さない
• 定期的に棚卸しする：連携済みのサービスの一覧を確認し、使っていないものは解除する

補足として、外部のアプリに渡される権限は、連携を承認した人が持っている権限の範囲に左右されます。閲覧権限しか持たない人が連携すれば、アプリに渡るのも閲覧の範囲に留まります。反対に、管理者権限を持つ人が連携を承認すると、アプリに広い範囲の操作が許可されることがあります。誰が連携の操作を行うかも含めて、社内で決めておきます。

認証を強くする

認証の設定は、一部の人だけが行っていても、設定していない人が入口になります。権限を持つ全員で設定をそろえます。

確認したい項目は次のとおりです。

• 二段階認証を設定する：二段階認証（パスワードに加えて別の方法でも本人確認を行う仕組み）を、広告アカウントに関わる全員に設定する
• 端末の生体認証を利用する：スマートフォンやパソコンの指紋などによるロック解除を有効にし、端末側でも本人確認を行う
• ログイン情報を使い回さない：広告の管理画面に入るためのパスワードを、他のサービスと同じものにしない

二段階認証は、自分だけ設定していても効果が限られます。広告アカウントへの権限を持つ人のうち1人でも未設定であれば、その人のアカウントが入口になり得るためです。権限を持つ人全員が設定している状態にすることが前提になります。

パスワードの使い回しも、同じ考え方で見直します。別のサービスから流出したメールアドレスとパスワードの組み合わせが、そのまま広告の管理画面へのログインに試されることがあります。

被害が出たときの金額を抑える

支払い方法の設定によって、被害が出たときの金額に上限を作っておけます。

広告費の支払いに、利用上限を設定したクレジットカードを使うと、仮に不正に利用されても、使われる金額に上限がかかります。上限の金額は、月々の広告予算に一定の余裕を持たせた水準にしておくと、通常の配信に影響を与えずに設定できます。

これは不正アクセスを防ぐ対策ではなく、起きた場合の被害を限定する対策です。ここまでに挙げた権限の管理や認証の設定といった、防ぐ側の対策と組み合わせて考えます。

媒体を装った連絡に応じない

媒体からの連絡かどうかは、届いたメッセージのリンクからではなく、管理画面内の通知で確認します。

媒体のスタッフを名乗るメッセージやメールが届くことがあります。アカウントに問題があるという内容で、ログイン情報の入力を求めたり、リンク先での手続きを促したりするものです。

• 不審な連絡は開かない、リンクを踏まない
• ログイン情報や認証コード（ログインの際に届く確認用の番号）を入力しない
• 媒体からの連絡かどうかは、管理画面内の通知で確認する

急を要する内容に見えても、届いたリンクを使わずに管理画面を開いて確認すれば、本当に対応が必要な状態かどうかを判断できます。社内で「こうした連絡が来たら誰に相談するか」を決めておくと、個人の判断で対応してしまう状況を避けられます。

外部に運用を任せる場合の権限の考え方

外部に運用を任せる場合も、広告アカウントの所有は自社に置き、委託先には必要な権限を付与する形にします。

インハウスから外注に切り替える場合も、その逆の場合も、考え方は同じです。広告アカウントそのものは自社で保有し、代理店や業務委託先には業務に必要な権限を付与します。この形であれば、契約が終了した際の権限の削除も自社側で行えます。

委託先の名義で開設されたアカウントで運用している場合は、契約が終わったあとのアカウントの取り扱いや、過去の配信データの引き継ぎが、契約の条件に左右されます。インハウスに移る際に確認したい名義や管理権限の項目は広告運用のインハウス化の記事で、委託先を切り替える際の引き継ぎ範囲の確認は代理店を変えたいときに先に確認したいことの記事で整理しています。

この記事で挙げた項目は、いずれも社内で確認を始められるものです。まずは、現在権限を持っている人の一覧と、それぞれの二段階認証の設定状況から確認すると、全体の状態をつかみやすくなります。

よくある質問

まとめ

• 広告アカウントは支払い情報が紐づいているため、被害は使われた金額だけでなく、業務が止まることまで含めて考える。
• ログイン情報は共有せず、それぞれが自分のアカウントを持ったうえで、人単位で権限を付与する。
• 管理者は1〜2名に絞って役割ごとに必要な範囲の権限を割り当て、権限を持つ人の一覧は時期を決めて見直す。
• 外部ツールとの連携は許可制にしてまず閲覧権限で運用し、連携済みのサービスも定期的に棚卸しする。
• 二段階認証は権限を持つ全員で設定し、利用上限のあるカードで被害額に上限を作る。媒体を名乗る連絡は管理画面の通知で確認する。