Хакнат Meta Business Suite или акаунт в Google Ads: Спиране на неоторизирани рекламни разходи и измамни администратори¶

Откриване, че заплаха е проникнал във вашия Meta Business Suite (business.facebook.com) или Google Ads (ads.google.com) акаунт, повиши дневния ви праг за фактуриране и в момента харчи $1000 до $10 000 на час за насърчаване на изтегляния на злонамерен софтуер, фалшиви луксозни дрехи или чуждестранни уебсайтове за хазарт във вашата свързана корпоративна кредитна карта или акаунт в PayPal е спешна ситуация във връзка с финансовата и киберсигурността с висока скорост. Ако сте изправени пред незабавна финансова кражба или неразрешени банкови дебити, обадете се незабавно на отдела за измами на вашата банка или се консултирайте с нашия номера за спешни случаи директория, заедно с нашите ръководства за превземане и хакване на акаунт в социални медии, сторнирания на кредитни карти и неупълномощени спорове за ACH, и канал на създател, отвлечен от предавания на живо с крипто измама.

За разлика от обикновените пробиви на пароли за лични профили, повече от 85 процента от съвременните кражби на Meta Business Portfolio и Google Ads се случват чрез безшумна кражба на бисквитки за сесия на браузъра (Lumma Stealer, RedLine, StealC, Raccoon, или злонамерени разширения на Chrome) или фишинг на OAuth токен, насочен към служител, мениджър на социални медии или външна маркетингова агенция. След като атакуващият импортира удостоверена бисквитка за сесия във виртуален браузър за антиоткриване, той не просто пуска реклами от основния ви профил. Вместо това те изграждат многопластова задна вратичка за постоянство: генерират невидими Мета системни потребители, свързват външен Партньорски бизнес идентификатор или създават автоматизиран Google Ads скрипт/мениджърски акаунт (MCC) връзка, която безшумно пресъздава измамни кампании и повторно активира таксуването дори след като промените личната си парола. Това ръководство ви превежда през спирането на финансовия кръвоизлив във вашата банка за минути, прекъсването на скрити административни задни вратички, без да унищожава историческата ви одитна пътека за възстановяване на суми, и подаването на точната съдебномедицинска документация, изисквана от Meta Advertising Support и Google Ads Compromised Account Investigations, за да отмените хиляди долари измамни такси.

Направете това сега¶

1. ПЪРВО замразете вашата свързана кредитна карта, дебитна карта, банкова ACH сметка и автоматични плащания в PayPal на ниво финансова институция (не чакайте поддръжката на Meta или Google). Докато хакер активно провежда кампании за автоматично таксуване с висок праг, Meta и Google таксуват картата ви всеки път, когато балансът достигне платежния ви праг (често $500, $900, или $2,000 на всеки 15 минути). Отворете приложението си за банкиране веднага, за да заключите физическата/виртуалната карта, влезте в PayPal -> Настройки -> Плащания -> Автоматични плащания и анулирайте "Meta Platforms, Inc.", "Facebook" и "Google LLC" и се обадете на отдела за търговски измами на вашата банка, за да блокирате временно дескриптора за таксуване на търговеца.
2. Изключете незабавно заразения компютър от Wi-Fi и Ethernet и извършете всички възстановяване от чист смартфон или некомпрометиран лаптоп. Ако вие или ваш служител наскоро сте изтеглили фалшиво „Известие за нарушаване на авторски права“ .zip файл, PDF изпълним файл „Meta Verified Policy Appeal“ или пиратски инструмент за проектиране на Windows PC или Mac, активен infostealer или Hidden VNC (HVNC) trojan работи на тази машина в момента. Влизането във вашата банка или повторното задаване на пароли от този компютър предава новите ви токени за сесия направо обратно на нападателя.
3. Поставете на пауза всички активни рекламни кампании и намалете лимита на разходите на вашия акаунт до $0.01 (или $1.00) в Meta Ads Manager и Google Ads. Ако все още имате достъп до рекламния акаунт, не изтривайте измамните кампании (изтриването на кампании унищожава криминалистичния рекламен журнал, който Meta и Google изискват, за да обработят вашето възстановяване). Вместо това превключете кампаниите на Изключени / На пауза, отидете до Мета настройки за таксуване и плащане -> Лимит на разходите на акаунта и задайте твърдата граница на най-ниския разрешен десетичен знак ($0.01 или $1.00).
4. Запишете своя 15- до 16-цифрен идентификатор на мета рекламен акаунт (act_XXXXXXXXXXXXXXX), ID на бизнес портфолио и 10-цифрен идентификатор на клиент в Google Ads (XXX-XXX-XXXX) преди хакерът да ви изгони. Ако нападателят понижи личния ви акаунт от Пълен контрол/администриране на Без достъп, рекламният ви акаунт ще изчезне от таблото ви за управление в рамките на секунди. Копирайте точния URL адрес на вашата страница с бизнес настройки, екранна снимка на История на транзакциите за таксуване, показваща FBADS или GOOGLE*ADS идентификационни номера на фактури и екранна снимка на списъка с измамни администратори в момента.
5. Проверете и изчистете всичките четири нива на устойчивост: Хора, Партньори, Системни потребители и Свързани приложения. Хакерите знаят, че жертвите гледат първо основния списък Хора, така че крият задни вратички в Мета бизнес настройки -> Потребители -> Системни потребители, Партньори (Business Asset Sharing) и Интеграции -> Свързани приложения или вътре в Google Ads -> Инструменти и настройки -> Достъп и сигурност -> Мениджъри (MCC) и Групови действия -> Скриптове.
6. Подайте официален билет за „Компрометиран рекламен акаунт / Неоторизирани такси“ с Meta и Google ПРЕДИ да финализирате твърдо връщане на плащане по кредитна карта. Ако инструктирате издателя на вашата кредитна карта да принуди постоянно връщане на плащане срещу Meta Platforms или Google LLC, без първо да позволи на техния вътрешен екип за отвлечен рекламен акаунт да анулира и кредитира измамните фактури, автоматизираните ботове за борба с измамите ще забранят завинаги вашето бизнес портфолио, Facebook Страница, бизнес акаунт в Instagram и Google Merchant Center за „Подозрителна платежна дейност/неплатено салдо.“ Помолете банката си незабавно да блокира новите такси, докато поставя съществуващите висящи/публикувани такси под временно разследване за измама, докато изпращате своя доклад за компрометиране на платформата.

Дърво на вземане на решения: Сортиране за хакнати Meta Business Suite срещу акаунти в Google Ads¶

Следвайте този незабавен оперативен клон в зависимост от това коя рекламна платформа е компрометирана и дали атакуващият вече е отменил вашата администраторска роля.

flowchart TD
    Start["Неупълномощени рекламни разходи или открит измамен администратор"] --> BankFreeze["СТЪПКА 1: Заключете кредитна/дебитна карта в приложението за банкиране + Отменете Meta/Google в PayPal Autopay"]
    BankFreeze --> IsolatePC["СТЪПКА 2: Изключете предполагаемия заразен компютър от Wi-Fi/Ethernet; Преминете към чист телефон/таблет"]
    IsolatePC --> PlatformCheck{"Коя рекламна платформа е компрометирана?"}
    PlatformCheck -->|"Meta Business Suite / Facebook реклами"| MetaAccess{"Все още ли имате администраторски достъп до бизнес портфолиото/рекламния акаунт?"}
    MetaAccess -->|"ДА: Все още администратор"| MetaLive["Поставяне на пауза на измамни кампании (не изтривайте) -> Задайте лимит на разходите на акаунта на $0,01 -> Изчистване на измамници, партньори и потребители на системата"]
    MetaAccess -->|"НЕ: Понижен до служител или изгонен"| MetaLocked["Съберете идентификатор на рекламен акаунт (act_...), бизнес идентификатор, URL адрес на страница и идентификатори на банкови фактури -> Изпратете мета „Хакнат бизнес акаунт“ и „Оспорване на плащане“ Ескалация"]
    PlatformCheck -->|"Google Ads (Търсене/YouTube/Дисплейна мрежа)"| GoogleAccess{"Все още имате ли достъп до идентификационния номер на клиента в Google Ads (XXX-XXX-XXXX)?"}
    GoogleAccess -->|"ДА: Все още администратор"| GoogleLive["Поставяне на пауза на измамни кампании -> Прекратяване на връзката с акаунти на Rogue Manager (MCC) -> Изтриване на неоторизирани Google Ads скриптове и автоматизирани правила"]
    GoogleAccess -->|"НЕ: Премахнато от акаунта в Google Ads"| GoogleLocked["Защитено основно Google Workspace/Gmail -> Изпратете Google Ads формуляр „Неупълномощена дейност в акаунта“ с 10-цифрен идентификатор на клиента"]
    MetaLive --> RefundFlow["Първо изпратете билет за фактуриране с компрометирана платформа + Поставете банково задържане на чакащи такси"]
    MetaLocked --> RefundFlow
    GoogleLive --> RefundFlow
    GoogleLocked --> RefundFlow

Част 1: Спиране на финансовото кървене през първите 10 минути (протоколи за банка, карта и PayPal)¶

Похитителите на рекламни акаунти осигуряват приходи от откраднати акаунти с помощта на Threshold Billing Abuse. Законен бизнес, който е похарчил $25,000 над три години във Facebook или Google Ads обикновено натрупва автоматичен платежен праг от $900 на Meta или $500 to $1,000 в Google Ads, плюс ред за месечно фактуриране. Когато нападателят поеме контрола, той стартира 20 до 50 дублиращи се рекламни комплекта $2,000/day бюджети. Механизмът за автоматизирано таксуване на рекламната платформа таксува вашия свързан Visa, Mastercard, American Express или PayPal акаунт на всеки 10 до 20 минути, докато лимитът на вашата карта бъде изчерпан.

1. Как да отрежете релсите за плащане, без да задействате необратима забрана на платформата¶

2. Защо трябва да зададете „Лимит на разходите за сметка“ едновременно в рекламната платформа¶

Ако просто анулирате кредитната си карта, като оставите кампаниите на хакера да работят в Meta Ads Manager или Google Ads, платформата ще продължи да показва рекламите на хакера до текущия ви Платежен праг ($500 към $2,000), в който момент таксата се отказва и вашият рекламен акаунт въвежда „Грешка в акаунта: Неуреден баланс / Деактивиран за неуспешно плащане.“ - В Meta Ads Manager: Отидете на https://business.facebook.com/billing_hub/payment_settings -> изберете вашия рекламен акаунт от падащото меню -> превъртете до Лимит на разходите на акаунта -> щракнете върху Три точки (...) -> Задаване на лимит (или Промяна) -> тип 0.01 (или 1.00, в зависимост от валутните минимуми) -> щракнете върху Запазване. В момента, в който текущите ви разходи надхвърлят $0.01, рекламният сървър на Meta спира показването на всички реклами във всяка кампания в този акаунт, дори ако фалшив скрипт отново включи превключвателя на кампанията. - В Google Ads: Ако акаунтът ви използва ръчни плащания или бюджети на кампании, изберете всички кампании -> щракнете върху Редактиране -> Промяна на бюджетите -> задайте на $0.01/day и поставяне на пауза на всички кампании.

Част 2: Изчистване на скрити задни врати в Meta Business Suite (business.facebook.com)¶

Когато крадец на информация компрометира профил във Facebook, който има административни права върху Meta Business Portfolio (бивш Facebook Business Manager), нападателят изпълнява скриптова книга за постоянство чрез Meta Graph API за по-малко от 15 секунди. Ако проверите само Бизнес настройки -> Хора и премахнете странното име, което виждате, хакерът ще продължи да контролира вашия рекламен акаунт 5 минути по-късно.

Трябва да проверите и почистите всичките шест отделения в Мета бизнес настройките (https://business.facebook.com/settings):

1. Отделение 1: Бизнес портфолио „Потребители -> Хора“ (и чакащи покани)¶

1. Отворете Бизнес настройки -> Потребители -> Хора.
2. Кликнете върху всяко лице в списъка и проверете:
3. Техният имейл адрес: Нападателите често канят подобен имейл (като напр support-meta-verify@hotmail.com или леко неправилна версия на името на ваш колега) с разрешения Пълен контрол (бизнес администратор).
4. Чакащи покани: Щракнете върху раздела за филтър Чакащи в горната част на списъка с хора. Хакерите винаги генерират 2 или 3 резервни връзки за покана (fb.me/...), изпратени до имейли за записване, така че ако изтриете техния активен администраторски акаунт, те просто щракват върху чакащата връзка за покана 2 часа по-късно и се присъединяват отново като пълен администратор. Анулирайте незабавно всяка чакаща покана.
5. Вашата собствена роля: Уверете се, че вашият собствен акаунт все още има включено Пълен контрол -> Управление. Ако хакерът създаде втори легитимен профил и ви понижи до Частичен достъп (основен), няма да видите бутона „Премахване“ до името му, докато Meta Support не възстанови администраторската ви йерархия.

2. Отделение 2: „Потребители -> Системни потребители“ (Невидимата задна вратичка на API №1)¶

Това е най-опасната и пренебрегвана задна врата в Meta Business Suite: - Какво е Meta System User: Meta позволява на фирмите да създават виртуални, нечовешки акаунти, наречени System Users (под Business Settings -> Users -> System Users), за да позволят на сървърите и софтуера да управляват реклами чрез дълготрайни API токени, без да е необходимо лично влизане във Facebook или 2FA. - Как хакерите злоупотребяват с това: Веднага след като атакуващият отвлече сесията на вашия браузър, той създава Администратор на системния потребител (често наричан нещо безобидно като „Shopify Pixel Sync“, „Meta Conversions API“, „Мениджър на каталог“ или „Бизнес интеграция“), присвоява вашия Рекламен акаунт (Full Control: Manage Campaigns & View Performance) и Facebook страница като активи за този системен потребител и щракнете върху Генериране на нов токен. - Защо е смъртоносно: Дори ако премахнете хакера от Хора, промените паролата си във Facebook и включите хардуерен ключ за сигурност, този системен потребителски API токен остава 100% активен на сървъра на хакера и им позволява да създават кампании, да увеличават бюджети и да добавят нови администратори дистанционно чрез Graph API. - Как да го изчистите: 1. Отидете на Бизнес настройки -> Потребители -> Системни потребители. 2. Изберете всеки системен потребител, който не разпознавате изрично -> щракнете върху Отмяна на токени горе вдясно -> премахнете всички Присвоени активи (рекламни акаунти, страници, пиксели) -> изтрийте или премахнете разрешенията от системния потребител.

3. Отделение 3: „Потребители -> Партньори“ (Външно свързване на бизнес портфолио)¶

1. Отидете на Бизнес настройки -> Потребители -> Партньори.
2. Погледнете под „Партньори, с които да споделяте активи.“ Нападателите създават свое собствено бизнес портфолио за еднократна употреба на откраднат акаунт и свързват своя Партньорски бизнес идентификатор с вашето бизнес портфолио, предоставяйки на техния външен бизнес пълен контрол върху вашия рекламен акаунт и страница във Facebook.
3. Щракнете върху който и да е неразпознат партньорски бизнес -> щракнете върху иконата Кошче / Премахване на партньор, за да прекъснете моста на активите незабавно.

4. Отделение 4: „Небизнес“ администратори на директни рекламни акаунти (Accounts -> Ad Accounts)¶

Meta позволява индивидуални лични Facebook профили да бъдат добавяни директно към рекламен акаунт, дори ако не са членове на вашето родителско бизнес портфолио: 1. Отидете на Бизнес настройки -> Акаунти -> Рекламни акаунти -> изберете своя рекламен акаунт. 2. Проверете раздела Хора в десния панел и премахнете всеки неразпознат потребител, който има разрешения Управление на рекламен акаунт или Управление на кампании. 3. Отворете и класическите Настройки на Ads Manager (https://adsmanager.facebook.com/adsmanager/manage/accounts/settings) -> превъртете до Роли на рекламен акаунт, където се появяват лични профили, поканени чрез наследени връзки към приятели във Facebook, и щракнете върху Премахване до всеки непознат.

5. Отделение 5: Автоматизирани правила (Ads Manager -> Automated Rules)¶

Защо поставените на пауза измамни кампании магически се ВКЛЮЧВАТ в 3:00 сутринта? - Нападателите създават Автоматизирано правило в Meta Ads Manager (https://adsmanager.facebook.com/adsmanager/rules/manage), програмиран с условието: - Ако състоянието на кампанията е на пауза -> Действие: Включете кампанията и увеличете дневния бюджет с 50%, стартирайте на всеки 30 минути. - Отворете Автоматизирани правила в Ads Manager и Изтрийте всяко отделно правило, създадено по време на прозореца за компромис.

6. Отделение 6: Личен Facebook профил „Бизнес интеграции“ & Активни сесии¶

Тъй като вашето Meta Business Portfolio е достъпно чрез вашия личен профил във Facebook: 1. Отворете https://www.facebook.com/settings?tab=business_tools (Настройки -> Бизнес интеграции), премахнете всички неразпознати OAuth приложения с manage_ads или business_management разрешения и излезте от всички непознати настолни сесии в Meta Accounts Center (accountscenter.facebook.com/password_and_security/login_activity).

Част 3: Изчистване на скрити задни врати в Google Ads (ads.google.com)¶

Когато заплаха компрометира акаунт в Google Ads (често за пускане на реклами за търсене за фалшиви NordVPN, Ledger Live, Zoom, AnyDesk, или QuickBooks фишинг изтегляния с помощта на вашата значка за потвърден рекламодател), те вграждат постоянство на четири конкретни места в интерфейса на Google Ads:

1. Поставете отметка на „Достъп и сигурност -> Потребители“ И „Мениджъри (MCC)"¶

1. В Google Ads щракнете върху Администриране (или Инструменти и настройки) -> Достъп и сигурност.
2. Раздел 1 (Users): Проверете всеки имейл адрес, посочен под Потребители и маркирайте „Чакащи покани“ в горната част. Незабавно отменете всеки неразпознат потребител или чакаща покана.
3. Раздел 2 (Managers - Задната врата №1 на Google Ads): Кликнете върху раздела Мениджъри точно до Потребители.
4. Нападателите свързват свой собствен Google Ads акаунт на мениджър (MCC - Моят клиентски център) като административен собственик на вашия акаунт в Google Ads.
5. Потребител, който гледа само на Users вижда само собствения си имейл адрес и приема, че акаунтът е чист, докато хакерът контролира целия акаунт от Managers раздел.
6. Щракнете незабавно върху Премахване на достъпа (Прекратяване на връзката) до всеки неразпознат мениджърски акаунт.
7. Раздел 3 (Security -> Разрешени домейни): Проверете дали атакуващият е добавил фалшив домейн (като напр @mail.ru, @proton.me, или домейн за еднократна употреба) към вашия списък с Разрешени домейни.

2. Изтрийте злонамерените „Google Ads Scripts“ и „Automated Rules“¶

Google Ads включва мощна машина за автоматизация на JavaScript, наречена Google Ads Scripts: 1. Отидете на Инструменти и настройки (или групови действия) -> Скриптове. 2. Хакерите поставят 40-редов JavaScript полезен товар в Скриптове, настроени да се изпълняват На час. Този скрипт автоматично премахва паузата на техните фишинг кампании, изтрива вашите отрицателни ключови думи, повишава дневния ви бюджет до $5,000и дори може да използва този на Google UrlFetchApp за сигнализиране на състоянието на вашия акаунт към външен командно-контролен сървър. 3. Деактивирайте и изтрийте всеки неразпознат скрипт, след което отворете Групови действия -> Правила (Автоматизирани правила) и изтрийте всяко правило, насрочено за активиране на кампании или промяна на бюджети.

3. Отметнете „Инструменти за персонализиране на реклами, шаблони за проследяване на ниво акаунт и връзки към Google Merchant Center“¶

Дори ако нападателят не създаде съвсем нова кампания, усъвършенстваните партньори изпълняват "Silent URL Hijack" на вашите съществуващи легитимни кампании: 1. Отидете на Администриране / Настройки -> Настройки на акаунта -> Проследяване и проверете Шаблон за проследяване и Суфикс на крайния URL адрес. Нападателите инжектират тук скрипт за пренасочване, така че щракванията върху легитимните реклами на вашата марка тихо пренасочват потребителите чрез злонамерен партньорски модул или пускане на злонамерен софтуер. 2. Проверете Диспечер на данни / Свързани акаунти (Google Merchant Center, YouTube, Google Analytics 4) и прекратете връзката с всякакви чужди канали на Merchant Center, прикрепени към нападателя, за да пускат измамни реклами за пазаруване.

Част 4: Как да възстановите администраторския достъп и да получите 100% възстановяване от Meta и Google¶

Независимо дали все още сте администратор, който гледа $8,000 при неупълномощени таксувания или сте били напълно изхвърлени от собствения си Meta Business Portfolio/акаунт в Google Ads, одобрението ви за възстановяване зависи изцяло от изпращането на структуриран съдебномедицински пакет, който доказва, че разходите произтичат от компрометирана сесия, а не от грешка на служител.

1. Таблица с необходимите съдебни доказателства (съберете това, преди да изпратите билета си)¶

2. Официален компромис с Meta Business Suite и пътища за ескалация на възстановяване¶

В зависимост от текущото ви ниво на достъп, използвайте тези официални мета ескалационни маршрути (никога не се доверявайте на „хакери за възстановяване“ на трети страни в коментари или DM):

1. Път A (ако все още имате достъп до който и да е мета бизнес акаунт или рекламен акаунт):
2. Отворете Помощния център на Meta Business (https://www.facebook.com/business/help/support), превъртете надолу и щракнете върху Свързване с поддръжката за рекламиране. Изберете своя Рекламен акаунт (act_...), изберете „Рекламният ми акаунт беше хакнат / имам неупълномощени такси“ и отворете Чат с представител или Поддръжка по имейл.
3. Отворете също Meta Billing Hub (https://business.facebook.com/billing_hub/transactions), щракнете върху всеки идентификационен номер на измамна транзакция във фактура и изберете „Докладване за проблем / Оспорване на това таксуване -> Неупълномощена или хакната дейност.“
4. Път B (ако хакерът ви е изхвърлил от вашето бизнес портфолио и Facebook страница):
5. Първо стартирайте работния процес за компрометиране на личния акаунт на https://www.facebook.com/hacked ако личният ви профил е бил нарушен.
6. Второ, отворете Meta Business Support Pro Chat от оцелял акаунт на колега или партньор от агенцията и докладвайте за Административно поемане (ATO) във вашия ID на бизнес портфолио, ID на страница и ID на рекламен акаунт (act_...). Прикачете подписано PDF извлечение на фирмена бланка (с правителствено удостоверение за самоличност и бизнес помощна програма/регистрация, съответстваща на бизнес потвърждение), в което се посочват URL адресът на профила във Facebook и имейлът на законния собственик, който да бъде възстановен като пълен администратор.
7. Път C (Ако вашата кредитна карта е била открадната и използвана в метарекламен акаунт на непознат):
8. Ако видите FACEBK *XXXXXXXXXX такси в извлечението на вашата карта, първо проверете собствения си Meta Ads Manager. Ако вашият собствен рекламен акаунт се показва $0.00 изразходвани, самият номер на вашата карта е бил откраднат и свързан в рекламния акаунт на непознат във Facebook. Оспорете таксите незабавно като Измама с открадната карта с вашата банка и изпратете 10-знаковия FACEBK * код във формуляра за неоторизирани такси на Meta (https://www.facebook.com/help/contact/1937556639801443).

3. Официален компромис на Google Ads и път за ескалиране на възстановяването¶

1. Завършете Проверката за сигурност на акаунта в Google (https://myaccount.google.com/security-checkup), отмени неизвестни устройства под myaccount.google.com/device-activityи заключете потвърждаването в 2 стъпки към вашия чист телефон.
2. Изпратете специалния формуляр за ескалация на компрометиран акаунт в Google Ads на Google (https://support.google.com/google-ads/answer/9355975 -> „Докладване за неупълномощена дейност в акаунта“)).
3. Отворете Администриране -> История на промените (ads.google.com/aw/changehistory), експортирайте CSV файла, показващ точното клеймо за време, когато са добавени неоторизирани кампании, бюджети или потребители, и го прикачете към вашия билет. Екипът за сигурност на акаунта и доверието в таксуването на Google временно ще спре акаунта за защита, ще изчисти кампаниите на нападателя, ще изчисти всички предупреждения за правилата, причинени по време на нарушението, и ще издаде Компрометиран кредит/възстановяване на сметка в рамките на 3 до 10 работни дни.

Част 5: Почистване на работната станция и защита срещу бъдещи поглъщания на рекламни акаунти¶

Маркетинговите агенции и основателите често биват хакнати за втори път 72 часа след възстановяването, защото никога не са изтрили злонамерения софтуер infostealer от Windows PC или Mac, където е открадната сесийната бисквитка.

1. Как работи примамката „Fake Meta Copyright Notice/Policy Violation“.¶

Групи заплахи, насочени към Meta Business Suite (Ducktail, NodeStealer, VietCredCare, Lumma Stealer) изпращане на спешни съобщения, в които се твърди, че вашата страница или рекламен акаунт ще бъдат изтрити след 24 часа за нарушение на интелектуална собственост, свързвайки към защитен с парола архив (Case_ID_883920.zip). Вътре е маскиран изпълним файл (Copyright_Evidence.pdf.exe или .scr) или противник по средата (Evilginx) обратна прокси връзка. Веднъж изпълнен, злонамереният софтуер извлича сесийните бисквитки на Chrome/Edge SQLite и API токените на Facebook Graph (EAAB...), запитване graph.facebook.com/v19.0/me/adaccounts незабавно за източване на корпоративни карти с висок лимит.

2. Архитектурата за изолиране на корпоративен рекламен акаунт с 4 правила¶

1. Преинсталиране на чиста ОС на заразени работни станции: Всеки компютър или Mac, който е отворил подозрителен .zip, .rar, .exe, или .dmg устройството трябва да бъде форматирано и Windows/macOS да бъде преинсталиран от чисто USB устройство, създадено на отделна машина.
2. Специализирани виртуални кредитни карти с твърди ежедневни ограничения: Никога не свързвайте неограничена корпоративна кредитна карта или основна разплащателна сметка директно към Meta или Google Ads. Издайте заключена от търговеца Виртуална кредитна карта (Ramp, Brex, Wise, Amex Virtual, Privacy.com) ограничени до точния ви нормален дневен рекламен разход плюс 20 процента. Ако вашият бизнес харчи $200/day, а $250/day твърди ограничители на капачката на картата a $10,000/hour хакнете $251 автоматично.
3. **Разделение на ролите „Администратор на Vault“ срещу „Купувач на ежедневни медии“: ** Поддържайте Пълен контрол на администратора/финансите на два специални акаунта в Vault, защитени с физически FIDO2 хардуерни ключове за сигурност (YubiKey), които никога не влизат в лаптопи за ежедневна работа. Предоставяйте на ежедневните акаунти на служители само разрешения Управление на кампании (стандартно), така че открадната бисквитка да не може да добавя администратори или да променя таксуването.
4. Специален профил на браузър с нулеви разширения: Достъп до Meta Business Suite и Google Ads в рамките на специален Chrome/Edge профил с нула инсталирани VPN, PDF или AI разширения на трети страни.

Регионални номера за спешни повиквания и протоколи на агенцията¶

Ако неупълномощени такси за реклама са изтощили оперативните ви сметки, докладвайте за киберпрестъплението на вашия национален портал на правоприлагащите органи, за да генерирате официален Референтен номер на полицията/киберпрестъпленията за ескалация на вашата банка и платформа:

• САЩ: Подайте жалба до Центъра за жалби за интернет престъпления на ФБР (ic3.gov) и FTC (ReportFraud.ftc.gov). Позоваване на Разпоредба Е на Федералния резерв (12 CFR § 1005.6) за потребителски дебитни/ACH източвания или Закона за справедливо кредитно таксуване (FCBA, 15 U.S.C. § 1666) за кредитни карти; за корпоративни ACH дебити, поискайте незабавно R29 неоторизирано връщане в рамките на 24 часа съгласно Правилата за работа на NACHA. Номер за спешни случаи: 911.
• Канада: Докладвайте до Канадския център за борба с измамите (antifraudcentre-centreantifraude.ca, 1-888-495-8501) и Канадския център за киберсигурност (cyber.gc.ca). Номер за спешни случаи: 911.
• Обединено кралство: Докладвайте на Action Fraud (actionfraud.police.uk, 0300 123 2040) и следвайте Националния център за киберсигурност (ncsc.gov.uk) насоки. Обърнете се към Разпоредбите за платежни услуги на Обединеното кралство от 2017 г. във вашата банка за незабавно възстановяване на неоторизирана транзакция. Номер за спешни случаи: 999 или 112 (полиция, която не е спешна помощ: 101).
• Европейски съюз: Докладвайте на вашия национален CERT / CSIRT и полицейски отдел за киберпрестъпления и се позовете на Ревизираната директива на ЕС за платежните услуги (PSD2, Директива (EU) 2015/2366, член 73), изискващ доставчиците на платежни услуги да възстановяват сумата по неоторизирани транзакции до края на следващия работен ден (T+1). Спешен номер: 112.
• Австралия и Нова Зеландия: В Австралия докладвайте чрез Австралийския център за киберсигурност (cyber.gov.au / ReportCyber, 1300 292 371). В Нова Зеландия докладвайте на CERT NZ (cert.govt.nz, 0800 237 869) и Netsafe (netsafe.org.nz). Номера за спешни повиквания: 000 (Австралия), 111 (Нова Зеландия).
• Индия и Азиатско-Тихоокеанския регион: В Индия докладвайте незабавно за финансови кибер източвания на cybercrime.gov.in или се обадете 1930 в рамките на 3 работни дни съгласно Циркуляри за нулева отговорност на RBI. В Сингапур се свържете с SPF Anti-Scam Center (1800-722-6688) и SingCERT (csa.gov.sg). Вижте номера за спешни случаи.

Често задавани въпроси¶

Защо трябва да чакам да подам официално връщане на плащане по кредитна карта, ако моят Meta или Google Ads акаунт е активно мой?¶

Когато инструктирате банката си да принуди официално връщане на плащане по кредитна карта срещу Meta Platforms или Google LLC за такси, таксувани във вашето собствено активно бизнес портфолио или акаунт в Google Ads, автоматичният механизъм за риск на платформата третира вашия бизнес обект като риск от връщане на плащане и незабавно деактивира вашия рекламен акаунт, бизнес портфолио, страница във Facebook, магазин в Instagram или Google Merchant Center. Като заключите картата си, за да спрете първо нови такси, като уведомите банката си, че очаквате кредит за измама от търговец, и подадете официален билет за компрометирана рекламна сметка директно в Meta или Google Support, екипът за вътрешна сигурност на платформата анулира неуреденото салдо и възстановява уредените такси, като същевременно поддържа акаунтите ви активни. Ескалирайте до постоянно банково възстановяване само ако платформата отхвърли искането ви за компромис или ако картата ви е била използвана в акаунт на непознат, който не притежавате.

Как нападателят е добавил измамен администратор към моя Meta Business Suite, когато съм включил двуфакторно удостоверяване?¶

В почти всеки съвременен случай нападателят не е влязъл с вашето потребителско име и парола. Вместо това вие или друг администратор на вашето бизнес портфолио сте изпълнили файл за кражба на информация, маскиран като PDF или zip прикачен файл на компютър с Windows или Mac, инсталирали сте компрометирано разширение за Chrome или сте влезли във фишинг връзка за противник по средата. Тъй като вашият браузър съхранява удостоверена бисквитка за сесия, след като преминете 2FA, кражбата на тази бисквитка позволява на атакуващия да се обади на Meta `business_users` или `system_users` крайна точка без задействане на нов 2FA подкана.

Премахнах хакера от „Хора“ в Meta Business Settings, така че защо все още се появяват нови измамни кампании?¶

Премахването на нападателя от раздела Хора изтрива само видимото му място в личния профил. Нападателите поддържат постоянен контрол чрез три скрити задни вратички в Meta Business Settings: първо, **Потребители -> Системни потребители**, където те генерират невидим неизтичащ токен за достъп до API, присвоен на вашия рекламен акаунт; второ, **Потребители -> Партньори**, където споделят активите на вашия рекламен акаунт с външен бизнес идентификатор на партньор, който контролират; и трето, **Акаунти -> Рекламни акаунти -> Хора**, където личен профил може да бъде прикачен директно към рекламния акаунт извън основния списък с бизнес портфолио. Трябва да изчистите и трите местоположения и да изтриете всички автоматизирани правила в Ads Manager.

Рекламите на хакера нарушиха правилата за „заобикалящи системи“ и доведоха до спиране на акаунта ми. Мога ли да получа отмяна на забраната?¶

Да, при условие че обжалвате чрез работния процес за компрометиран акаунт, вместо да подадете общо обжалване относно правилата. Когато нападател пусне реклами с фишинг или злонамерен софтуер на отвлечения ви акаунт, автоматизираните ботове незабавно спират акаунта за нарушения на правилата. Изпращането на формуляра **Неупълномощена дейност в акаунта / Хакнат бизнес акаунт** с точни UTC времеви клейма за влизане насочва вашия билет първо към екипа за сигурност на акаунта; след като сигурността потвърди нарушението, те изчистват спирането на правилата и възстановяват вашия акаунт.

Ами ако видя FACEBK * или GOOGLE *ADS такси в банковото ми извлечение, но нямам рекламна сметка?¶

Това означава, че номерът на вашата физическа или виртуална карта е бил откраднат при външен пробив и свързан от измамник в техния собствен измамен акаунт във Facebook или Google Ads. Тъй като вашият бизнес и личен профил не са прикачени към рекламния акаунт на крадеца, незабавно се обадете на отдела за измами на вашата банка, за да анулирате картата, да подадете незабавно връщане на плащане при неразрешено използване при нулева отговорност и да изпратите кода на транзакцията от 10 знака във формуляра за неразпознати такси на Meta или Google.

Свързани ръководства¶

• Превземане и хакване на акаунт в социални медии
• Канал на създател, отвлечен от предавания на живо с крипто измама
• Фишинг в социалните медии и измами с представяне под чужда самоличност
• Спорове за сторниране на плащане по кредитна карта, неупълномощени ACH дебити и Регламент E
• Спешни номера

Източници и официални указания¶

• Помощен център за Meta Business (Meta Platforms, Inc.): Обезопасете компрометирано Meta Business Portfolio и рекламен акаунт (facebook.com/business/help), Управление на системни потребители и отмяна на токени за достъп в бизнес настройки и Отстраняване на неразпознати проблеми FACEBK Такси.
• Помощ за Google Ads и Google Safety Engineering Center (Google LLC): Пазете профила си в Google Ads защитен: Докладвайте за неоторизирана дейност в акаунта (support.google.com/google-ads/answer/9355975) и Управление на нивата на достъп, мениджърски акаунти (MCC) и Google Ads Scripts.
• Агенция за киберсигурност и сигурност на инфраструктурата (CISA, Съединени щати) и ФБР IC3: Намякчаване на кражбата на сесийни бисквитки, противник по средата (AitM) Фишинг и поглъщане на корпоративни бизнес акаунти.
• Бюро за финансова защита на потребителите (CFPB) и Федерална търговска комисия (FTC, Съединени щати): Закон за истината в кредитирането (Разпоредба Z / Закон за справедливо кредитно таксуване) и Закон за електронни парични преводи (Наредба E) Защити срещу неупълномощено таксуване.
• Национален център за киберсигурност (NCSC, Обединено кралство): Многофакторно удостоверяване, хигиена на OAuth Token и възстановяване на компрометирани акаунти в социални медии и облачен маркетинг.