Meta Business Suite ou conta de Google Ads pirateadas: deter o gasto publicitario non autorizado e os administradores malintencionados¶

Descubrindo que un actor de ameazas se infiltrou na túa Meta Business Suite (business.facebook.com) ou Google Ads (ads.google.com), aumentou o seu limiar de facturación diaria e actualmente está a gastar entre 1.000 e 10.000 dólares por hora para promover descargas de software malicioso, roupa de luxo falsificada ou sitios web de xogos de azar estranxeiros na súa tarxeta de crédito corporativa ou conta de PayPal vinculada é unha emerxencia financeira e de ciberseguridade de gran velocidade. Se se enfronta a un roubo financeiro inmediato ou a débitos bancarios non autorizados, chame inmediatamente ao departamento de fraude do seu banco ou consulte a nosa números de emerxencia directorio, xunto coas nosas guías sobre Toma de contas de redes sociais e hackeo, devolucións de tarxetas de crédito e disputas ACH non autorizadas, e canle do creador secuestrada por transmisións en directo de estafa criptográfica.

A diferenza das infraccións comúns dos contrasinais do perfil persoal, máis do 85 por cento dos secuestros modernos de Meta Business Portfolio e Google Ads ocorren mediante o roubo silencioso de cookies de sesión do navegador (Lumma Stealer, RedLine, StealC, Raccoon, ou extensións maliciosas de Chrome) ou phishing con token OAuth dirixido a un empregado, un xestor de redes sociais ou unha axencia de mercadotecnia externa. Unha vez que o atacante importa unha cookie de sesión autenticada nun navegador virtual antidetección, non se limita a publicar anuncios desde o teu perfil principal. Pola contra, constrúen unha porta traseira de persistencia de varias capas: xeran Usuarios de Meta System invisibles, vinculan un ID de empresa de socio externo ou crean unha conta de xestor/script de Google Ads automatizada (MCC) ligazón** que recrea silenciosamente campañas non autorizadas e reactiva a facturación mesmo despois de que cambies o teu contrasinal persoal. Esta guía guíache para deter o sangrado financeiro do teu banco en cuestión de minutos, cortar as portas traseiras administrativas ocultas sen destruír o teu rexistro histórico de auditoría de reembolsos e enviar a documentación forense exacta requirida por Meta Advertising Support e Google Ads Compromised Account Investigations para revertir miles de dólares en cargos fraudulentos.

Fai isto agora¶

1. Conxela a túa tarxeta de crédito vinculada, tarxeta de débito, conta bancaria ACH e pagos automáticos de PayPal PRIMEIRO a nivel de institución financeira (non agardes a asistencia de Meta ou Google). Mentres un pirata informático realiza campañas activamente sobre a facturación automática de limiar alto, Meta e Google cargan a túa tarxeta cada vez que o saldo alcanza o teu limiar de facturación (a miúdo). $500, $900, ou $2,000 cada 15 minutos). Abre a túa aplicación bancaria agora mesmo para bloquear a tarxeta física/virtual, inicia sesión en PayPal -> Configuración -> Pagos -> Pagos automáticos e cancela "Meta Platforms, Inc.", "Facebook" e "Google LLC", e chama á mesa de fraude comercial do teu banco para bloquear temporalmente o descritor de facturación do comerciante.
2. Desconecte o ordenador infectado da wifi e Ethernet inmediatamente e realice toda a recuperación desde un teléfono intelixente limpo ou un portátil sen compromisos. Se vostede ou un empregado descargaron recentemente un "Aviso de infracción de copyright" falso. .zip un ficheiro PDF "Meta Verified Policy Appeal" ou unha ferramenta de deseño pirateada nun PC con Windows ou Mac, un fobo de información activo ou un VNC oculto (HVNC) trojan está a executarse nesa máquina agora mesmo. Ao iniciar sesión no teu banco ou restablecer os contrasinais desde ese ordenador devólvese os teus tokens de sesión novos directamente ao atacante.
3. Pausa todas as campañas publicitarias activas e deixa o límite de gasto da túa conta $0.01 (ou $1.00) dentro de Meta Ads Manager e Google Ads. Se aínda tes acceso á conta de anuncios, non elimines as campañas fraudulentas (a eliminación de campañas destrúe o rexistro de anuncios forenses que Meta e Google requiren para procesar o teu reembolso). Pola contra, cambia as campañas a Desactivado/En pausa, desprázate a Configuración de metafacturación e pago -> Límite de gasto da conta e establece o límite máximo co decimal permitido máis baixo ($0.01 ou $1.00).
4. Rexistra o teu ID de conta de meta anuncios de 15 a 16 díxitos (act_XXXXXXXXXXXXXXX), ID de carteira empresarial e ID de cliente de 10 díxitos de Google Ads (XXX-XXX-XXXX) antes de que o hacker te expulse. Se o atacante degrada a túa conta persoal de Control total/Administrador a Sen acceso, a túa conta de anuncios desaparecerá do teu panel en segundos. Copia o URL exacto da páxina de configuración da túa empresa, fai unha captura de pantalla do Historial de transaccións de facturación que mostra o FBADS ou GOOGLE*ADS ID de factura e captura de pantalla a lista de administradores deshonestos agora mesmo.
5. Auditoia e elimina as catro capas de persistencia: Persoas, Socios, Usuarios do sistema e Aplicacións conectadas. Os piratas informáticos saben que as vítimas miran primeiro a lista de Persoas, polo que ocultan as portas traseiras dentro de Configuración de Meta Business -> Usuarios -> Usuarios do sistema, Socios (Business Asset Sharing) e Integracións -> Aplicacións conectadas ou dentro de Google Ads -> Ferramentas e configuración -> Acceso e seguridade -> Xestores (MCC) e Accións masivas -> Scripts.
6. Envía un ticket oficial de "Conta de anuncios comprometidos / Cargos non autorizados" con Meta e Google ANTES de finalizar un reembolso de tarxeta de crédito. Se indicas ao emisor da túa tarxeta de crédito que force unha devolución de cargo permanente contra Meta Platforms ou Google LLC sen deixar que o seu equipo interno de Conta de anuncios secuestrados anule e acredite as facturas fraudulentas, os bots antifraude automatizados, os bots antifraude automatizados, os bots antifraude automatizados, os bots antifraude automatizados, os bots antifraude automatizados, os bots antifraude automatizados, os bots antifraude automatizados, prohibirán a túa conta de negocios de Instagram e Facebook. Centro para "Actividade de pago sospeitosa/Saldo non pagado".** Pídelle ao teu banco que bloquee os novos cargos inmediatamente mentres coloca os cargos existentes pendentes/publicados baixo unha investigación de fraude temporal mentres envías o teu informe de compromiso da plataforma.

Árbore de decisións: clasificación das contas de Meta Business Suite pirateadas e de Google Ads¶

Siga esta rama operativa inmediata dependendo de que plataforma publicitaria estea comprometida e de se o atacante xa revogou a súa función administrativa.

flowchart TD
    Start["Detectouse un gasto publicitario non autorizado ou un administrador non autorizado"] --> BankFreeze["PASO 1: bloquear a tarxeta de crédito/débito na aplicación bancaria + revogar Meta/Google no pago automático de PayPal"]
    BankFreeze --> IsolatePC["PASO 2: Desconecte o ordenador sospeitoso infectado da rede Wi-Fi/Ethernet; Cambia a limpar teléfono/tableta"]
    IsolatePC --> PlatformCheck{"Que plataforma publicitaria está comprometida?"}
    PlatformCheck -->|"Meta Business Suite / Facebook Ads"| MetaAccess{"Aínda tes acceso de administrador á carteira de empresas / conta de anuncios?"}
    MetaAccess -->|"SI: Aínda Administrador"| MetaLive["Pausar campañas fraudulentas (non eliminar) -> Establecer o límite de gasto da conta en 0,01 $ -> Eliminar persoas, socios e usuarios do sistema non autorizados"]
    MetaAccess -->|"NON: Degradado a empregado ou expulsado"| MetaLocked["Reúna o ID da conta de anuncios (act_...), o ID da empresa, o URL da páxina e os ID de factura bancaria -> Enviar Meta 'Conta empresarial pirateada' e Escalada de 'Pago en disputa'"]
    PlatformCheck -->|"Google Ads (Busca / YouTube / Display)"| GoogleAccess{"Aínda podes acceder ao ID de cliente de Google Ads (XXX-XXX-XXXX)?"}
    GoogleAccess -->|"SI: Aínda Administrador"| GoogleLive["Pausar campañas non autorizadas -> Desvincular contas de Rogue Manager (MCC) -> Eliminar scripts e regras automatizadas de Google Ads non autorizados"]
    GoogleAccess -->|"NON: eliminouse da conta de Google Ads"| GoogleLocked["Asegure Google Workspace/Gmail subxacente -> Envíe o formulario de 'Actividade da conta non autorizada' de Google Ads cun ID de cliente de 10 díxitos"]
    MetaLive --> RefundFlow["Envía primeiro o ticket de facturación comprometida da plataforma + fai retención bancaria nos cargos pendentes"]
    MetaLocked --> RefundFlow
    GoogleLive --> RefundFlow
    GoogleLocked --> RefundFlow

Parte 1: Deter o sangrado financeiro nos primeiros 10 minutos (protocolos bancarios, de tarxeta e de PayPal)¶

Os secuestradores de contas publicitarias monetizan as contas roubadas mediante Uso inadecuado de facturación de limiar. Un negocio lexítimo que gastou $25,000 durante tres anos en Facebook ou Google Ads normalmente acumula un limiar de facturación automática de $900 en Meta ou $500 to $1,000 en Google Ads, ademais dunha liña de facturación mensual. Cando o atacante toma o control, lanza de 20 a 50 conxuntos de anuncios duplicados $2,000/day orzamentos. O motor de facturación automática da plataforma publicitaria cobra á túa conta Visa, Mastercard, American Express ou PayPal vinculada cada 10 a 20 minutos ata que se esgote o límite da túa tarxeta.

1. Como cortar as vías de pago sen provocar unha prohibición irreversible das plataformas¶

2. Por que debes establecer o "Límite de gasto da conta" dentro da plataforma publicitaria ao mesmo tempo¶

Se simplemente cancelas a túa tarxeta de crédito mentres deixas as campañas do hacker en execución dentro de Meta Ads Manager ou Google Ads, a plataforma seguirá publicando os anuncios do hacker ata o teu Limiar de facturación actual ($500 a $2,000), momento no que o cargo redúcese e a súa conta publicitaria ingresa "Erro da conta: saldo non liquidado / Desactivado por erro de pago." - En Meta Ads Manager: Vaia a https://business.facebook.com/billing_hub/payment_settings -> selecciona a túa conta de anuncios no menú despregable -> desprázate ata Límite de gasto da conta -> fai clic en Tres puntos (...) -> Establecer límite (ou Cambiar) -> tipo 0.01 (ou 1.00, dependendo dos mínimos de moeda) -> fai clic en Gardar. No momento en que o seu gasto actual supera $0.01, o servidor de anuncios de Meta detén toda a entrega de anuncios en todas as campañas desa conta, aínda que un script non autorizado volva a activar a campaña. - En Google Ads: se a túa conta utiliza pagos manuais ou orzamentos de campañas, selecciona todas as campañas -> fai clic en Editar -> Cambiar orzamentos -> establece como $0.01/day e pór en pausa todas as campañas.

Parte 2: Eliminar portas traseiras ocultas dentro de Meta Business Suite (business.facebook.com)¶

Cando un ladro de información compromete un perfil de Facebook que ten dereitos administrativos sobre unha Meta Business Portfolio (anteriormente Facebook Business Manager), o atacante executa un guión de persistencia mediante a API Meta Graph en menos de 15 segundos. Se só marcas Configuración da empresa -> Persoas e eliminas o nome estraño que ves, o hacker seguirá controlando a túa conta publicitaria 5 minutos despois.

Debes auditar e limpar os seis compartimentos dentro de Configuración de Meta Business (https://business.facebook.com/settings):

1. Compartimento 1: carteira empresarial "Usuarios -> Persoas" (e invitacións pendentes)¶

1. Abre Configuración da empresa -> Usuarios -> Persoas.
2. Fai clic en cada persoa da lista e verifica:
3. O seu enderezo de correo electrónico: os atacantes adoitan invitar a un correo electrónico semellante (como support-meta-verify@hotmail.com ou unha versión lixeiramente mal escrita do nome do teu colega) con permisos de Control total (administrador de empresas).
4. Invitacións pendentes: fai clic na pestana de filtro Pendente na parte superior da lista de Persoas. Os piratas informáticos sempre xeran 2 ou 3 ligazóns de invitación de copia de seguridade (fb.me/...) enviados aos correos electrónicos do gravador para que, se eliminas a súa conta de administrador activa, simplemente fagan clic na ligazón de invitación pendente 2 horas despois e se reincorporen como administrador completo. Cancelar todas as invitacións pendentes inmediatamente.
5. O teu propio papel: verifica que a túa propia conta aínda teña Control total -> Xestionar activado. Se o pirata informático creou un segundo perfil de aspecto lexítimo e descendeu a Acceso parcial (básico), non verá o botón "Eliminar" xunto ao seu nome ata que Meta Support restaure a súa xerarquía de administrador.

2. Compartimento 2: "Usuarios -> Usuarios do sistema" (A porta traseira da API invisible número 1)¶

Esta é a porta traseira máis perigosa e ignorada de Meta Business Suite: - Que é un usuario do sistema Meta: Meta permite ás empresas crear contas virtuais non humanas chamadas Usuarios do sistema (en Configuración da empresa -> Usuarios -> Usuarios do sistema) para permitir que os servidores e o software xestionen anuncios a través de tokens de API de longa duración sen necesidade dun inicio de sesión persoal en Facebook ou 2FA. - Como o abusan os piratas informáticos: en canto o atacante secuestra a sesión do teu navegador, crea un usuario do sistema de administración (moitas veces chamado algo inocuo como "Shopify Pixel Sync", "Meta Conversions API", "Catalog Manager" ou "Business Integration"), asígnale a túa Conta de anuncio (Full Control: Manage Campaigns & View Performance) e Páxina de Facebook como recursos para ese usuario do sistema e fai clic en Xerar novo token. - Por que é letal: Mesmo se eliminas o hacker de Persoas, cambias o teu contrasinal de Facebook e activas unha chave de seguranza de hardware, ese token da API do usuario do sistema permanece 100 % activo no servidor do hacker e permítelles crear campañas, aumentar orzamentos e engadir novos administradores de forma remota a través da API Graph. - Como eliminalo: 1. Vaia a Configuración da empresa -> Usuarios -> Usuarios do sistema. 2. Selecciona todos os usuarios do sistema que non recoñezas explícitamente -> fai clic en Revogar tokens na parte superior dereita -> elimina todos os activos asignados (contas publicitarias, páxinas, píxeles) -> elimina ou elimina os permisos do usuario do sistema.

3. Compartimento 3: "Usuarios -> Socios" (vinculación de carteira de empresas externas)¶

1. Vaia a Configuración da empresa -> Usuarios -> Socios.
2. Busca en "Socios cos que compartir activos." Os atacantes crean a súa propia carteira de empresas desbotables nunha conta roubada e vinculan o seu ID de empresa de socio á túa carteira de empresas, otorgándolles ao seu negocio externo o control total sobre a túa conta de anuncios e páxina de Facebook.
3. Fai clic en calquera empresa de socios non recoñecido -> fai clic na icona Lixo / Eliminar socio para cortar a ponte de activos inmediatamente.

4. Compartimento 4: administradores "non empresariais" da conta de anuncios directos (Accounts -> Ad Accounts)¶

Meta permite que se engadan directamente perfís persoais de Facebook individuais a unha conta de anuncios aínda que non sexan membros da súa carteira de negocios principal: 1. Vaia a Configuración da empresa -> Contas -> Contas publicitarias -> seleccione a súa conta publicitaria. 2. Inspecciona a pestana Persoas no panel dereito e elimina calquera usuario non recoñecido que teña permisos Xestionar conta de anuncios ou Xestionar campañas. 3. Abre tamén a clásica Configuración do xestor de anuncios (https://adsmanager.facebook.com/adsmanager/manage/accounts/settings) -> desprázate ata Roles da conta de anuncios, onde aparecen os perfís persoais invitados a través das ligazóns de amigos de Facebook legados e fai clic en Eliminar xunto a calquera descoñecido.

5. Compartimento 5: regras automatizadas (Ads Manager -> Automated Rules)¶

Por que as campañas deshonestas en pausa volven ON ás 3:00 AM? - Os atacantes crean unha Regra automatizada dentro do Meta Ads Manager (https://adsmanager.facebook.com/adsmanager/rules/manage) programado coa condición: - Se o estado da campaña está en pausa -> Acción: activa a campaña e aumenta o orzamento diario nun 50 %, executa cada 30 minutos. - Abre Regras automatizadas dentro do Xestor de anuncios e Elimina todas as regras creadas durante a xanela de compromiso.

6. Compartimento 6: Perfil persoal de Facebook "Integracións empresariais" e sesións activas¶

Debido a que se accede á súa carteira Meta Business a través do seu perfil persoal de Facebook: 1. Aberto https://www.facebook.com/settings?tab=business_tools (Configuración -> Integracións empresariais), elimina todas as aplicacións de OAuth non recoñecidas con manage_ads ou business_management permisos e pecha sesión en todas as sesións de escritorio descoñecidas no Meta Accounts Center (accountscenter.facebook.com/password_and_security/login_activity).

Parte 3: Eliminar portas traseiras ocultas dentro de Google Ads (ads.google.com)¶

Cando un actor de ameazas compromete unha conta de Google Ads (a miúdo para publicar anuncios de busca falsos NordVPN, Ledger Live, Zoom, AnyDesk, ou QuickBooks descargas de phishing utilizando a túa insignia de anunciante verificado), incorpóranse a persistencia en catro lugares específicos dentro da interface de Google Ads:

1. Marque "Acceso e seguridade -> Usuarios" E "Xestores (MCC)"¶

1. En Google Ads, fai clic en Administrador (ou Ferramentas e configuración) -> Acceso e seguridade.
2. ** Pestana 1 (Users):** Comprobe todos os enderezos de correo electrónico que aparecen en Usuarios e marque "Invitacións pendentes" na parte superior. Revoga inmediatamente calquera usuario non recoñecido ou invitación pendente.
3. ** Pestana 2 (Managers - A porta traseira número 1 de Google Ads):** Fai clic na pestana Xestores xusto a carón de Usuarios.
4. Os atacantes vinculan a súa propia Conta de xestor de Google Ads (MCC - O meu centro de clientes) como propietario administrativo da túa conta de Google Ads.
5. Un usuario que só mira o Users pestana só ve o seu propio enderezo de correo electrónico e asume que a conta está limpa, mentres que o hacker controla toda a conta desde o Managers ficha.
6. Fai clic en Eliminar acceso (Desvincular) xunto a calquera conta de xestor non recoñecida inmediatamente.
7. ** Pestana 3 (Security -> Dominios permitidos):** Comproba se o atacante engadiu un dominio non autorizado (como @mail.ru, @proton.me, ou un dominio desbotable) á túa lista de Dominios permitidos.

2. Elimina "Scripts de Google Ads" e "Regras automatizadas" maliciosos¶

Google Ads inclúe un potente motor de automatización de JavaScript chamado Scripts de Google Ads: 1. Vaia a Ferramentas e configuración (ou accións masivas) -> Scripts. 2. Os piratas informáticos pegan unha carga útil de JavaScript de 40 liñas en Scripts configurados para executarse Cada hora. Ese script desactiva automaticamente as súas campañas de phishing, elimina as túas palabras clave negativas e aumenta o teu orzamento diario $5,000, e incluso pode usar Google UrlFetchApp para indicar o estado da súa conta a un servidor de comando e control externo. 3. Desactiva e elimina todos os scripts non recoñecidos, despois abre Accións masivas -> Regras (Regras automatizadas) e elimina calquera regra programada para activar campañas ou modificar os orzamentos.

3. Marque "Personalizadores de anuncios, modelos de seguimento a nivel de conta e ligazóns de Google Merchant Center"¶

Aínda que un atacante non cree unha campaña nova, os afiliados sofisticados executan un "Secuestro de URL silencioso" nas túas campañas lexítimas existentes: 1. Vaia a Administrador/Configuración -> Configuración da conta -> Seguimento e inspeccione o Modelo de seguimento e o Sufixo do URL final. Os atacantes inxectan aquí un script de redirección, polo que os clics nos anuncios da túa marca lexítima redirixen silenciosamente aos usuarios a través dun módulo de afiliado malicioso ou de descarga de malware. 2. Marque Xestor de datos/Contas vinculadas (Google Merchant Center, YouTube, Google Analytics 4) e desvincular calquera fonte de Merchant Center estranxeira que estea adxunta ao atacante para publicar anuncios de Shopping fraudulentos.

Parte 4: Como recuperar o acceso de administrador e obter un reembolso do 100 % de Meta e Google¶

Se aínda es un administrador mirando $8,000 en cargos non autorizados ou expulsáronche por completo da túa propia conta Meta Business Portfolio/Google Ads, a aprobación do teu reembolso depende enteiramente do envío dun paquete forense estruturado que demostre que o gasto se orixinou nunha sesión comprometida e non por un erro do empregado.

1. Táboa de probas forenses requirida (Reúna isto antes de enviar o seu ticket)¶

2. Camiños oficiais de compromiso e reembolso de Meta Business Suite¶

Dependendo do teu nivel de acceso actual, utiliza estas rutas de escalada Meta oficiais (nunca confíes en "hackers de recuperación" de terceiros nos comentarios ou nos DM):

1. Ruta A (se aínda tes acceso a calquera conta de metaempresa ou conta de anuncios):
2. Abre o Centro de axuda de Meta Business (https://www.facebook.com/business/help/support), desprácese cara abaixo e faga clic en Contactar co servizo de asistencia publicitaria. Seleccione a súa Conta de anuncios (act_...), escolle "A miña conta publicitaria foi pirateada / Teño cargos non autorizados" e abre Chatear cun representante ou Asistencia por correo electrónico.
3. Abre tamén Meta Billing Hub (https://business.facebook.com/billing_hub/transactions), fai clic en cada ID de transacción de factura fraudulenta e selecciona "Informar dun problema / Impugnar este cargo -> Actividade non autorizada ou pirateada."
4. Ruta B (se o hacker te expulsou da túa carteira de empresas e da túa páxina de Facebook):
5. En primeiro lugar, executa o fluxo de traballo de compromiso de conta persoal en https://www.facebook.com/hacked se incumpriu o teu perfil persoal.
6. En segundo lugar, abre Meta Business Support Pro Chat desde a conta superviviente dun colega ou socio da axencia e informa dunha Admin Takeover (ATO) no ID da carteira empresarial, o ID da páxina e o ID da conta de anuncios (act_...). Adxunta unha declaración en PDF asinada no papel con membrete da empresa (con identificación gobernamental e utilidade comercial/rexistro que coincida coa verificación empresarial) na que se indique o URL e o correo electrónico do perfil de Facebook do propietario lexítimo que se restaurarán como administrador completo.
7. Ruta C (se a túa tarxeta de crédito foi roubada e utilizada dentro da conta meta publicitaria dun estraño):
8. Se ves FACEBK *XXXXXXXXXX cargos no extracto da súa tarxeta, consulte primeiro o seu propio Meta Ads Manager. Se aparece a túa propia conta de anuncios $0.00 gastado, o teu número de tarxeta foi roubado e ligado dentro da conta de anuncios de Facebook dun estraño. Impugna inmediatamente os cargos como Fraude con tarxeta roubada co teu banco e envía os 10 caracteres FACEBK * código no Formulario de cargos non autorizados de Meta (https://www.facebook.com/help/contact/1937556639801443).

3. Camiño oficial de escalada de reembolsos e compromisos de Google Ads¶

1. Completa a Comprobación de seguranza da conta de Google (https://myaccount.google.com/security-checkup), revoga os dispositivos descoñecidos baixo myaccount.google.com/device-activity, e bloquea a verificación en dous pasos no teu teléfono limpo.
2. Envíe o Formulario de ampliación de contas comprometidas de Google Ads dedicado (https://support.google.com/google-ads/answer/9355975 -> "Informar da actividade da conta non autorizada").
3. Abre Administrador -> Historial de cambios (ads.google.com/aw/changehistory), exporte o CSV que amosa a marca de tempo exacta en que se engadiron campañas, orzamentos ou usuarios non autorizados e adxuntao ao teu ticket. O Equipo de seguranza e facturación da conta de Google suspenderá temporalmente a conta para protexerse, eliminará as campañas do atacante, eliminará calquera toque de atención da política causado durante o incumprimento e emitirá un Crédito/Reembolso da conta comprometida nun prazo de 3 a 10 días hábiles.

Parte 5: limpeza e endurecemento da estación de traballo contra futuras adquisicións de contas publicitarias¶

As axencias de mercadotecnia e os fundadores adoitan ser pirateados por segunda vez 72 horas despois da restauración porque nunca borraron o malware infostealer da PC con Windows ou Mac onde se roubou a cookie de sesión.

1. Como funciona o señuelo "Aviso de copyright falso/infracción da política".¶

Grupos de ameazas dirixidos a Meta Business Suite (Ducktail, NodeStealer, VietCredCare, Lumma Stealer) enviar mensaxes urxentes reclamando que a túa páxina ou conta de anuncios se eliminarán en 24 horas por infracción da propiedade intelectual, enlazando a un arquivo protexido con contrasinal (Case_ID_883920.zip). Dentro hai un executable disfrazado (Copyright_Evidence.pdf.exe ou .scr) ou un adversario no medio (Evilginx) ligazón de proxy inverso. Unha vez executado, o malware extrae as cookies de sesión de Chrome/Edge SQLite e os tokens da API de Facebook Graph (EAAB...), consulta graph.facebook.com/v19.0/me/adaccounts inmediatamente para esgotar tarxetas corporativas de límite alto.

2. A arquitectura de illamento da conta publicitaria empresarial de 4 regras¶

1. Reinstalación de sistema operativo limpo en estacións de traballo infectadas: Calquera PC ou Mac que abriu un ficheiro sospeitoso .zip, .rar, .exe, ou .dmg debe ter a súa unidade formateada e Windows/macOS reinstalado desde unha unidade USB limpa creada nunha máquina separada.
2. Tarxetas de crédito virtuais dedicadas con límites diarios duros: Nunca ligues unha tarxeta de crédito corporativa sen límite ou unha conta corrente principal directamente a Meta ou Google Ads. Emite unha tarxeta de crédito virtual bloqueada polo comerciante (Ramp, Brex, Wise, Amex Virtual, Privacy.com) limitado ao teu gasto publicitario diario normal máis un 20 por cento. Se o teu negocio gasta $200/day, a $250/day tapa de tarxeta dura para a $10,000/hour piratear en $251 automaticamente.
3. Separación de roles entre "Administrador de Vault" e "Comprador de medios diarios": Mantén Control total de administración/finanzas en dúas contas de Vault dedicadas protexidas con chaves de seguridade de hardware FIDO2 físicas (YubiKey) que nunca inicia sesión nos portátiles de traballo diario. Concede só permisos de Xestionar campañas (estándar) ás contas diarias dos empregados para que unha cookie roubada non poida engadir administradores nin modificar a facturación.
4. Perfil de navegador dedicado con cero extensións: accede a Meta Business Suite e Google Ads dentro dun perfil dedicado de Chrome/Edge sen extensións VPN, PDF ou AI de terceiros instaladas.

Números de emerxencia rexionais e protocolos da axencia¶

Se os cargos por publicidade non autorizados esgotaron as súas contas operativas, informe do ciberdelito ao seu portal nacional de aplicación da lei para xerar un Número de referencia policial/cibercriminal oficial para o seu banco e plataforma:

• Estados Unidos: Presenta unha queixa ante o Centro de Queixas de Delitos en Internet do FBI (ic3.gov) e FTC (ReportFraud.ftc.gov). Invocar Regulamento da Reserva Federal E (12 CFR § 1005.6) para débitos de consumo/ACH ou a Fair Credit Billing Act (FCBA, 15 U.S.C. § 1666) para tarxetas de crédito; para débitos ACH corporativos, solicite un inmediato R29 devolución non autorizada dentro de 24 horas segundo as Normas de funcionamento de NACHA. Número de emerxencia: 911.
• Canadá: Informe ao Centro Canadiense Antifraude (antifraudcentre-centreantifraude.ca, 1-888-495-8501) e o Centro Canadiense para a Ciberseguridade (cyber.gc.ca). Número de emerxencia: 911.
• Reino Unido: Informar a Acción Fraude (actionfraud.police.uk, 0300 123 2040) e segue Centro Nacional de Seguridade Cibernética (ncsc.gov.uk) orientación. Solicita o Regulamento dos servizos de pago do Reino Unido de 2017 co teu banco para o reembolso inmediato das transaccións non autorizadas. Número de emerxencia: 999 ou 112 (policía non de emerxencia: 101).
• Unión Europea: Informe ao seu CERT/CSIRT e unidade policial de ciberdelincuencia nacional e invoque a Directiva de servizos de pago revisada da UE (PSD2, Directiva (EU) 2015/2366, artigo 73) que obriga aos provedores de servizos de pago a reembolsar as transaccións non autorizadas antes do final do día hábil seguinte (T+1). Número de emerxencia: 112.
• Australia e Nova Zelanda: En Australia, informe a través do Centro de seguridade cibernética australiana (cyber.gov.au / ReportCyber, 1300 292 371). En Nova Zelanda, informe a CERT NZ (cert.govt.nz, 0800 237 869) e Netsafe (netsafe.org.nz). Números de emerxencia: 000 (Australia), 111 (Nova Zelanda).
• India e Asia-Pacífico: na India, informe de fugas cibernéticas financeiras inmediatamente en cybercrime.gov.in ou chamar 1930 dentro de 3 días hábiles segundo as Circulares de Responsabilidade Cero RBI. En Singapur, póñase en contacto co SPF Anti-Scam Center (1800-722-6688) e SingCERT (csa.gov.sg). Vexa números de emerxencia.

Preguntas frecuentes¶

Por que debo esperar para presentar unha devolución de cargo formal na tarxeta de crédito se a miña conta Meta ou Google Ads é activamente miña?¶

Cando indicas ao teu banco que obrigue a devolución de cargos na tarxeta de crédito a Meta Platforms ou Google LLC polos cargos facturados dentro da túa propia carteira de negocios activa ou conta de Google Ads, o motor de risco automatizado da plataforma trata a túa entidade comercial como un risco de devolución de cargo e desactiva inmediatamente a túa conta de anuncios, carteira de empresas, páxina de Facebook, tenda de Instagram ou Google Merchant Center. Ao bloquear a túa tarxeta para deter novos cargos primeiro, notificarlle ao teu banco que estás agardando un crédito de fraude comercial e presentando un ticket oficial de conta de anuncios comprometidos directamente con Meta ou a asistencia de Google, o equipo de seguranza interna da plataforma anulará o saldo non liquidado e reembolsará os cargos liquidados mentres mantén as túas contas activas. Só pasa a un reembolso bancario permanente se a plataforma nega a túa reclamación de compromiso ou se a túa tarxeta utilizouse dentro da conta dun estraño que non posúes.

Como engadiu o atacante un administrador deshonesto ao meu Meta Business Suite cando teño activada a autenticación de dous factores?¶

En case todos os casos modernos, o atacante non iniciou sesión usando o teu nome de usuario e contrasinal. Pola contra, vostede ou outro administrador da súa carteira empresarial executaron un ficheiro de roubo de información disfrazado de ficheiro adxunto PDF ou zip nun ordenador Windows ou Mac, instalou unha extensión de Chrome comprometida ou iniciou sesión nunha ligazón de phishing de adversario en medio. Dado que o teu navegador almacena unha cookie de sesión autenticada despois de pasar a 2FA, roubar esa cookie permite que o atacante chame a Meta. `business_users` ou `system_users` punto final sen activar un novo aviso 2FA.

Quitei o hacker de "Persoas" na configuración de Meta Business, entón por que seguen aparecendo novas campañas de estafa?¶

Ao eliminar o atacante da pestana Persoas só eliminará o seu asento visible no perfil persoal. Os atacantes manteñen un control persistente a través de tres portas traseiras ocultas dentro da configuración de Meta Business: primeiro, **Usuarios -> Usuarios do sistema**, onde xeran un token de acceso á API invisible que non caduca asignado á túa conta publicitaria; en segundo lugar, **Usuarios -> Socios**, onde comparten os recursos da túa conta publicitaria cun ID de empresa de socio externo que controlan; e terceiro, **Contas -> Contas de anuncios -> Persoas**, onde se pode anexar un perfil persoal directamente á conta de anuncios fóra da lista principal da carteira de empresas. Debes purgar as tres localizacións e eliminar as regras automatizadas do Xestor de anuncios.

Os anuncios do hacker infrinxiron as políticas de "Elusión de sistemas" e suspenderon a miña conta. Podo desbancarme?¶

Si, sempre que apeles a través do fluxo de traballo da conta comprometida en lugar de enviar unha apelación de política xenérica. Cando un atacante publica anuncios de phishing ou de software malicioso na túa conta secuestrada, os bots automatizados suspenden instantáneamente a conta por infraccións das políticas. Ao enviar o formulario **Actividade da conta non autorizada/Conta empresarial pirateada** con marcas horarias exactas de inicio de sesión UTC, envía o teu ticket ao equipo de seguranza da conta primeiro; unha vez que a Seguridade confirma o incumprimento, elimina a suspensión da política e restaura a túa conta.

E se vexo FACEBK * ou GOOGLE *ADS cargos no meu extracto bancario, pero non teño unha conta publicitaria?¶

Isto significa que o teu número de tarxeta física ou virtual foi roubado nunha violación externa e un defraudador ligado dentro da súa propia conta fraudulenta de Facebook ou Google Ads. Debido a que os teus perfís persoais e empresariais non están adxuntos á conta de anuncios do ladrón, chama ao departamento de fraude do teu banco inmediatamente para cancelar a tarxeta, presenta unha devolución inmediata de cargos por uso non autorizado baixo Responsabilidade cero e envía o código de transacción de 10 caracteres no formulario de cargo non recoñecido de Meta ou Google.

Guías relacionadas¶

• Toma de contas de redes sociais e hackeo
• Canle do creador secuestrada por transmisións en directo de fraude criptográfico
• Estafas de suplantación de identidade e suplantación de identidade nas redes sociais
• Disputas de devolución de cargos con tarxeta de crédito, débitos ACH non autorizados e Regulamento E
• Números de emerxencia

Fontes e orientacións oficiais¶

• Centro de axuda de Meta Business (Meta Platforms, Inc.): Protexe unha carteira de Meta Business e unha conta publicitaria comprometidas (facebook.com/business/help), Xestionar usuarios do sistema e revogar tokens de acceso na configuración da empresa e Resolver problemas non recoñecidos FACEBK Cargos.
• Axuda de Google Ads e Centro de Enxeñaría de Seguridade de Google (Google LLC): Mantén a túa conta de Google Ads segura: informa da actividade da conta non autorizada (support.google.com/google-ads/answer/9355975) e Xestionar niveis de acceso, contas de xestor (MCC) e Scripts de Google Ads.
• Cybersecurity and Infrastructure Security Agency (CISA, Estados Unidos) e FBI IC3: Mitigating Session-Cookie Theft, Adversary-in-the-Middle (AitM) Phishing e adquisicións de contas de empresas corporativas.
• Consumer Financial Protection Bureau (CFPB) e Federal Trade Commission (FTC, Estados Unidos): Truth in Lending Act (Regulación Z / Fair Credit Billing Act) e Electronic Fund Transfers Act (Regulamento E) Proteccións para facturación non autorizada.
• Centro Nacional de Seguridade Cibernética (NCSC, Reino Unido): Autenticación multifactorial, hixiene de tokens OAuth e recuperación de contas comprometidas en redes sociais e marketing na nube.