Zhakowane konto Meta Business Suite lub Google Ads: powstrzymywanie nieautoryzowanych wydatków na reklamy i nieuczciwych administratorów¶

Odkrycie, że ugrupowanie zagrażające przeniknęło do Twojego Meta Business Suite (business.facebook.com) lub Reklamy Google (ads.google.com), podniosłeś dzienny próg rozliczeniowy i obecnie wydajesz 1000-10 000 USD na godzinę na promowanie pobierania złośliwego oprogramowania, podrabiania luksusowej odzieży lub zagranicznych witryn hazardowych za pośrednictwem powiązanej firmowej karty kredytowej lub konta PayPal, co oznacza bardzo szybko pojawiający się problem finansowy i związany z bezpieczeństwem cybernetycznym. Jeśli grozi Ci natychmiastowa kradzież finansowa lub nieautoryzowane obciążenie banku, natychmiast zadzwoń do działu ds. oszustw swojego banku lub skonsultuj się z naszym działem numery alarmowe katalog wraz z naszymi przewodnikami nt przejęcie konta w mediach społecznościowych i włamanie, obciążenia zwrotne kart kredytowych i nieautoryzowane spory ACH, i Kanał twórcy przejęty przez transmisje na żywo z oszustwami kryptograficznymi.

W przeciwieństwie do zwykłych naruszeń haseł do profili osobistych, ponad 85 procent współczesnych przejęć Meta Business Portfolio i Google Ads ma miejsce w wyniku cichej kradzieży plików cookie sesji przeglądarki (Lumma Stealer, RedLine, StealC, Raccoonlub złośliwe rozszerzenia przeglądarki Chrome) lub phishing tokenu OAuth wymierzony w pracownika, menedżera ds. mediów społecznościowych lub zewnętrzną agencję marketingową. Gdy osoba atakująca zaimportuje uwierzytelniony plik cookie sesji do wirtualnej przeglądarki antydetekcyjnej, nie tylko wyświetli reklamy z Twojego głównego profilu. Zamiast tego tworzą wielowarstwowy backdoor zapewniający trwałość: generują niewidocznych Użytkowników metasystemu, łączą zewnętrzny Identyfikator firmy partnerskiej lub tworzą zautomatyzowany Skrypt Google Ads/konto menedżera (MCC) link, który po cichu odtwarza fałszywe kampanie i ponownie aktywuje rozliczenia, nawet po zmianie osobistego hasła. Ten przewodnik przeprowadzi Cię przez proces zatrzymania krwawienia finansowego w Twoim banku w ciągu kilku minut, odcięcia ukrytych tylnych drzwi administracyjnych bez niszczenia historycznej ścieżki audytu zwrotów i przesłania dokładnej dokumentacji kryminalistycznej wymaganej przez Wsparcie reklamowe Meta i Dochodzenie w sprawie włamania na konto Google Ads, aby odwrócić tysiące dolarów w postaci nieuczciwych opłat.

Zrób to teraz¶

1. Zablokuj połączoną kartę kredytową, kartę debetową, konto bankowe ACH i płatności automatyczne PayPal na poziomie instytucji finansowej NAJPIERW (nie czekaj na pomoc Meta lub Google). Podczas gdy haker aktywnie prowadzi kampanie dotyczące automatycznego rozliczeń o wysokim progu, Meta i Google obciążają Twoją kartę za każdym razem, gdy saldo osiągnie próg rozliczeniowy (często $500, $900lub $2,000 co 15 minut). Otwórz teraz aplikację bankową, aby zablokować kartę fizyczną/wirtualną, zaloguj się do PayPal -> Ustawienia -> Płatności -> Płatności automatyczne i anuluj „Meta Platforms, Inc.”, „Facebook” i „Google LLC” oraz zadzwoń do biura ds. oszustw komercyjnych swojego banku, aby tymczasowo zablokować deskryptor płatności sprzedawcy.
2. Natychmiast odłącz zainfekowany komputer od sieci Wi-Fi i Ethernet, a następnie wykonaj wszystkie czynności odzyskiwania na czystym smartfonie lub nienaruszonym laptopie. Jeśli Ty lub Twój pracownik niedawno pobraliście fałszywe „Powiadomienie o naruszeniu praw autorskich” .zip plik wykonywalny w formacie PDF „Meta Verified Policy Appeal” lub pirackie narzędzie do projektowania na komputerze PC z systemem Windows lub Mac, aktywny infostealer lub ukryty VNC (HVNC) trojan jest obecnie uruchomiony na tym komputerze. Logując się do swojego banku lub resetując hasła z tego komputera, przekazujesz nowe tokeny sesji bezpośrednio atakującemu.
3. Wstrzymaj wszystkie aktywne kampanie reklamowe i obniż limit wydatków konta do $0.01 (lub $1.00) w Meta Ads Manager i Google Ads. Jeśli nadal masz dostęp do konta reklamowego, nie usuwaj fałszywych kampanii (usunięcie kampanii niszczy kryminalistyczny dziennik reklam wymagany przez Meta i Google do przetworzenia zwrotu środków). Zamiast tego przełącz kampanie na opcję Wyłączone / Wstrzymane, przejdź do Ustawienia meta rozliczeń i płatności -> Limit wydatków konta i ustaw twardy limit na najniższy dozwolony znak dziesiętny ($0.01 Lub $1.00).
4. Zapisz swój identyfikator meta-konta reklamowego składający się z 15-16 cyfr (act_XXXXXXXXXXXXXXX), identyfikator portfela biznesowego i 10-cyfrowy identyfikator klienta Google Ads (XXX-XXX-XXXX), zanim haker Cię wyrzuci. Jeśli osoba atakująca obniży Twoje konto osobiste z Pełna kontrola / Administrator do Brak dostępu, Twoje konto reklamowe zniknie z Twojego panelu w ciągu kilku sekund. Skopiuj dokładny adres URL strony Ustawienia firmy i zrzut ekranu Historii transakcji rozliczeniowych przedstawiający FBADS Lub GOOGLE*ADS identyfikatory faktur i już teraz wykonaj zrzut ekranu z listą fałszywych administratorów.
5. Sprawdź i usuń wszystkie cztery warstwy trwałości: Ludzie, Partnerzy, Użytkownicy systemu i Połączone aplikacje. Hakerzy wiedzą, że ofiary najpierw patrzą na główną listę Osoby, więc ukrywają w niej backdoory Ustawienia biznesowe Meta -> Użytkownicy -> Użytkownicy systemu, Partnerzy (Business Asset Sharing) i Integracje -> Połączone aplikacje lub w Google Ads -> Narzędzia i ustawienia -> Dostęp i bezpieczeństwo -> Menedżerowie (MCC) i Działania zbiorcze -> Skrypty.
6. Złóż oficjalne zgłoszenie o naruszeniu konta reklamowego / nieautoryzowanych opłatach w Meta i Google PRZED sfinalizowaniem twardego obciążenia zwrotnego karty kredytowej. Jeśli poinstruujesz wystawcę karty kredytowej, aby wymusił trwałe obciążenie zwrotne wobec Meta Platforms lub Google LLC bez uprzedniego umożliwienia ich wewnętrznemu zespołowi ds. przejętego konta reklamowego unieważnienia i uznania fałszywych faktur, automatyczne boty zapobiegające oszustwom na stałe zablokują Twoje portfolio biznesowe, stronę na Facebooku, konto firmowe na Instagramie i Centrum Sprzedawcy Google „Podejrzana aktywność płatnicza/niezapłacone saldo”. Poproś swój bank o natychmiastowe zablokowanie nowych obciążeń, a jednocześnie umieść istniejące oczekujące/zaksięgowane obciążenia w ramach tymczasowego dochodzenia w sprawie oszustwa po przesłaniu raportu o naruszeniu platformy.

Drzewo decyzyjne: segregacja zhakowanych kont Meta Business Suite i Google Ads¶

Postępuj zgodnie z tą natychmiastową gałęzią operacyjną, w zależności od tego, która platforma reklamowa została przejęta i czy osoba atakująca odwołał już Twoją rolę administracyjną.

flowchart TD
    Start["Wykryto nieautoryzowane wydatki na reklamę lub nieuczciwego administratora"] --> BankFreeze["KROK 1: Zablokuj kartę kredytową/debetową w aplikacji bankowej + unieważnij Meta/Google w PayPal Autopay"]
    BankFreeze --> IsolatePC["KROK 2: Odłącz podejrzany zainfekowany komputer od Wi-Fi/Ethernet; Przełącz na opcję Wyczyść telefon/tablet"]
    IsolatePC --> PlatformCheck{"Która platforma reklamowa jest zagrożona?"}
    PlatformCheck -->|"Meta Business Suite / Reklamy na Facebooku"| MetaAccess{"Czy nadal masz dostęp administracyjny do portfela biznesowego/konta reklamowego?"}
    MetaAccess -->|"TAK: Nadal administrator"| MetaLive["Wstrzymaj nieuczciwe kampanie (nie usuwaj) -> Ustaw limit wydatków konta na 0,01 USD -> Usuń nieuczciwych ludzi, partnerów i użytkowników systemu"]
    MetaAccess -->|"NIE: Zdegradowany do statusu pracownika lub wyrzucony"| MetaLocked["Zbierz identyfikator konta reklamowego (act_...), identyfikator firmy, adres URL strony i identyfikatory faktury bankowej -> Prześlij meta „Konto firmowe zhakowane” i eskalacja „Sporna płatność”"]
    PlatformCheck -->|"Reklamy Google (wyszukiwarka / YouTube / sieć reklamowa)"| GoogleAccess{"Czy nadal możesz uzyskać dostęp do identyfikatora klienta Google Ads (XXX-XXX-XXXX)?"}
    GoogleAccess -->|"TAK: Nadal administrator"| GoogleLive["Wstrzymaj fałszywe kampanie -> Odłącz konta nielegalnego menedżera (MCK) -> Usuń nieautoryzowane skrypty i reguły automatyczne Google Ads"]
    GoogleAccess -->|"NIE: Usunięto z konta Google Ads"| GoogleLocked["Zabezpiecz podstawowy Google Workspace/Gmail -> Prześlij formularz Google Ads „Nieautoryzowane działanie na koncie” z 10-cyfrowym identyfikatorem klienta"]
    MetaLive --> RefundFlow["Najpierw prześlij bilet rozliczeniowy dotyczący naruszenia bezpieczeństwa platformy + wstrzymaj bank w przypadku oczekujących opłat"]
    MetaLocked --> RefundFlow
    GoogleLive --> RefundFlow
    GoogleLocked --> RefundFlow

Część 1: Zatrzymanie krwawienia finansowego w ciągu pierwszych 10 minut (protokoły bankowe, kartowe i PayPal)¶

Porywacze kont reklamowych zarabiają na skradzionych kontach, korzystając z Nadużycia w zakresie płatności progowych. Legalna firma, która wydała $25,000 w ciągu trzech lat na Facebooku lub Google Ads zazwyczaj naliczany jest automatyczny próg rozliczeniowy w wysokości $900 na Meta lub $500 to $1,000 w Google Ads oraz linia fakturowania miesięcznego. Kiedy atakujący przejmuje kontrolę, uruchamia od 20 do 50 zduplikowanych zestawów reklam $2,000/day budżety. Zautomatyzowany mechanizm rozliczeniowy platformy reklamowej obciąża połączone konto Visa, Mastercard, American Express lub PayPal co 10-20 minut, aż do wyczerpania limitu karty.

1. Jak odciąć tory płatnicze, nie powodując nieodwracalnego zakazu platformy¶

2. Dlaczego jednocześnie musisz ustawić „Limit wydatków konta” na platformie reklamowej¶

Jeśli po prostu anulujesz swoją kartę kredytową, pozostawiając kampanie hakera uruchomione w Meta Ads Managerze lub Google Ads, platforma będzie nadal wyświetlać reklamy hakera do momentu osiągnięcia bieżącego Prógu rozliczeń ($500 do $2,000) zostanie osiągnięty, w którym to momencie opłata zostanie zmniejszona, a na koncie reklamowym wyświetli się komunikat „Błąd konta: nierozliczone saldo / wyłączenie z powodu nieudanej płatności.” - W Meta Ads Managerze: Przejdź do https://business.facebook.com/billing_hub/payment_settings -> wybierz swoje konto reklamowe z menu -> przewiń do Limit wydatków konta -> kliknij Trzy kropki (...) -> Ustaw limit (lub Zmień) -> wpisz 0.01 (lub 1.00, w zależności od minimalnych walut) -> kliknij Zapisz. Moment, w którym Twoje obecne wydatki przekroczą $0.01, serwer reklam Meta wstrzymuje wyświetlanie wszystkich reklam we wszystkich kampaniach na tym koncie, nawet jeśli fałszywy skrypt ponownie włączy przełącznik kampanii. - W Google Ads: Jeśli Twoje konto korzysta z płatności ręcznych lub budżetów kampanii, wybierz wszystkie kampanie -> kliknij Edytuj -> Zmień budżety -> ustaw na $0.01/day i wstrzymaj wszystkie kampanie.

Część 2: Usuwanie ukrytych tylnych drzwi w Meta Business Suite (business.facebook.com)¶

Kiedy złodziej informacji narusza profil na Facebooku, który ma uprawnienia administracyjne do Meta Business Portfolio (dawniej Facebook Business Manager), osoba atakująca wykonuje skryptową instrukcję trwałości za pośrednictwem interfejsu API Meta Graph w czasie krótszym niż 15 sekund. Jeśli zaznaczysz tylko Ustawienia biznesowe -> Ludzie i usuniesz dziwną nazwę, którą widzisz, haker nadal będzie kontrolował Twoje konto reklamowe 5 minut później.

Musisz sprawdzić i wyczyścić wszystkie sześć przegródek wewnątrz Meta Business Settings (https://business.facebook.com/settings):

1. Część 1: Portfolio biznesowe „Użytkownicy -> Ludzie” (i oczekujące zaproszenia)¶

1. Otwórz Ustawienia biznesowe -> Użytkownicy -> Ludzie.
2. Kliknij każdą osobę na liście i sprawdź:
3. Ich adres e-mail: osoby atakujące często wysyłają podobny adres e-mail (np support-meta-verify@hotmail.com lub nieco błędnie napisaną wersję imienia i nazwiska kolegi) z uprawnieniami Pełna kontrola (administrator biznesowy).
4. Oczekujące zaproszenia: Kliknij kartę filtru Oczekujące u góry listy Osoby. Hakerzy zawsze generują 2 lub 3 zapasowe linki do zaproszeń (fb.me/...) wysyłane do e-maili nagrywających, więc jeśli usuniesz ich aktywne konto administratora, po prostu klikną oczekujący link z zaproszeniem 2 godziny później i dołączą ponownie jako pełny administrator. Natychmiast anuluj każde oczekujące zaproszenie.
5. Twoja własna rola: Sprawdź, czy na Twoim koncie nadal jest włączona opcja Pełna kontrola -> Zarządzaj. Jeśli haker utworzył drugi legalnie wyglądający profil i zdegradował Cię do Częściowego dostępu (podstawowego), nie zobaczysz przycisku „Usuń” obok jego nazwy, dopóki Meta Support nie przywróci Twojej hierarchii administracyjnej.

2. Część 2: „Użytkownicy -> Użytkownicy systemu” (niewidzialny backdoor API nr 1)¶

To najniebezpieczniejszy i przeoczany backdoor w Meta Business Suite: - Co to jest użytkownik metasystemu: Meta umożliwia firmom tworzenie wirtualnych kont innych niż ludzie, zwanych Użytkownikami systemu (w Ustawieniach biznesowych -> Użytkownicy -> Użytkownicy systemu), aby umożliwić serwerom i oprogramowaniu zarządzanie reklamami za pomocą długotrwałych tokenów API bez konieczności osobistego logowania na Facebooku lub 2FA. - Jak hakerzy to wykorzystują: Gdy tylko osoba atakująca przejmie sesję Twojej przeglądarki, tworzą Użytkownika systemu administracyjnego (często nazywanego czymś nieszkodliwym, np. „Shopify Pixel Sync”, „Meta Conversions API”, „Catalog Manager” lub „Integracja biznesowa”), przypisz Twoje konto reklamowe (Full Control: Manage Campaigns & View Performance) i Strona na Facebooku jako zasoby dla tego Użytkownika Systemu i kliknij Wygeneruj nowy token. - Dlaczego jest to śmiertelne: Nawet jeśli usuniesz hakera z People, zmienisz hasło do Facebooka i włączysz sprzętowy klucz bezpieczeństwa, ten token API użytkownika systemu pozostanie w 100% aktywny na serwerze hakera i umożliwi mu tworzenie kampanii, zwiększanie budżetów i zdalne dodawanie nowych administratorów za pośrednictwem API Graph. - Jak to wyczyścić: 1. Przejdź do Ustawienia biznesowe -> Użytkownicy -> Użytkownicy systemu. 2. Wybierz każdego użytkownika systemu, którego nie rozpoznajesz -> kliknij Unieważnij tokeny w prawym górnym rogu -> usuń wszystkie Przypisane zasoby (konta reklamowe, strony, piksele) -> usuń lub usuń uprawnienia użytkownika systemu.

3. Część 3: „Użytkownicy -> Partnerzy” (Łączenie zewnętrznego portfela biznesowego)¶

1. Przejdź do Ustawienia biznesowe -> Użytkownicy -> Partnerzy.
2. Sprawdź sekcję „Partnerzy, z którymi możesz dzielić się zasobami”. Atakujący tworzą własne, jednorazowe portfolio biznesowe na skradzionym koncie i łączą swój Identyfikator biznesowy partnera z Twoim portfelem biznesowym, zapewniając swojej zewnętrznej firmie pełną kontrolę nad Twoim kontem reklamowym i stroną na Facebooku.
3. Kliknij dowolną nierozpoznaną firmę partnerską -> kliknij ikonę Kosz do kosza/Usuń partnera, aby natychmiast przerwać pomost zasobów.

4. Część 4: Administratorzy konta reklamy bezpośredniej „niekomercyjni” (Accounts -> Ad Accounts)¶

Meta umożliwia dodawanie bezpośrednio indywidualnych profili na Facebooku do konta reklamowego, nawet jeśli nie są one członkami Twojego nadrzędnego portfela biznesowego: 1. Przejdź do Ustawienia biznesowe -> Konta -> Konta reklamowe -> wybierz swoje konto reklamowe. 2. Sprawdź zakładkę Osoby w prawym panelu i usuń wszystkich nierozpoznanych użytkowników, którzy mają uprawnienia Zarządzanie kontem reklamowym lub Zarządzanie kampaniami. 3. Otwórz także klasyczne Ustawienia Menedżera reklam (https://adsmanager.facebook.com/adsmanager/manage/accounts/settings) -> przewiń do Role konta reklamowego, gdzie pojawiają się profile osobiste zaproszone za pośrednictwem starszych linków do znajomych na Facebooku, i kliknij Usuń obok dowolnego nieznajomego.

5. Część 5: Reguły automatyczne (Ads Manager -> Automated Rules)¶

Dlaczego wstrzymane nieuczciwe kampanie w magiczny sposób włączają się ponownie o 3:00 rano? - Atakujący tworzą automatyczną regułę w Meta Ads Managerze (https://adsmanager.facebook.com/adsmanager/rules/manage) zaprogramowane z warunkiem: - Jeśli stan kampanii to Wstrzymana -> Działanie: Włącz kampanię i zwiększ budżet dzienny o 50%, uruchamiaj co 30 minut. - Otwórz Reguły automatyczne w Menedżerze reklam i Usuń każdą regułę utworzoną w oknie kompromisu.

6. Część 6: Osobisty profil na Facebooku „Integracje biznesowe” i aktywne sesje¶

Ponieważ dostęp do Twojego Meta Business Portfolio jest możliwy poprzez Twój osobisty profil na Facebooku: 1. Otwórz https://www.facebook.com/settings?tab=business_tools (Ustawienia -> Integracje biznesowe), usuń wszelkie nierozpoznane aplikacje OAuth za pomocą manage_ads Lub business_management uprawnienia i wyloguj się ze wszystkich nieznanych sesji pulpitu w Centrum kont Meta (accountscenter.facebook.com/password_and_security/login_activity).

Część 3: Usuwanie ukrytych backdoorów w Google Ads (ads.google.com)¶

Gdy ugrupowanie zagrażające włamuje się na konto Google Ads (często w celu wyświetlania fałszywych reklam w wyszukiwarce). NordVPN, Ledger Live, Zoom, AnyDesklub QuickBooks pobieranie plików w celu wyłudzenia informacji przy użyciu plakietki zweryfikowanego reklamodawcy), osadzają trwałość w czterech określonych miejscach interfejsu Google Ads:

1. Zaznacz „Dostęp i bezpieczeństwo -> Użytkownicy” ORAZ „Menedżerowie (MCC)"¶

1. W Google Ads kliknij Administrator (lub Narzędzia i ustawienia) -> Dostęp i bezpieczeństwo.
2. Karta 1 (Users): Sprawdź każdy adres e-mail wymieniony w sekcji Użytkownicy i zaznacz „Oczekujące zaproszenia” na górze. Natychmiast unieważnij każdego nierozpoznanego użytkownika lub oczekujące zaproszenie.
3. Karta 2 (Managers - Backdoor nr 1 w Google Ads): Kliknij kartę Menedżerowie tuż obok opcji Użytkownicy.
4. Osoby atakujące łączą własne konto menedżera Google Ads (MCC - Moje Centrum Klienta) jako właściciel administracyjny Twojego konta Google Ads.
5. Użytkownik, który patrzy tylko na Users Zakładka widzi tylko swój własny adres e-mail i zakłada, że konto jest czyste, podczas gdy haker kontroluje całe konto z poziomu Managers zakładka.
6. Natychmiast kliknij Usuń dostęp (Odłącz) obok dowolnego nierozpoznanego konta menedżera.
7. Karta 3 (Security -> Dozwolone domeny): Sprawdź, czy osoba atakująca dodała fałszywą domenę (np @mail.ru, @proton.melub domena jednorazowa) na listę Dozwolonych domen.

2. Usuń złośliwe „skrypty Google Ads” i „reguły automatyczne”¶

Google Ads zawiera potężny silnik automatyzacji JavaScript o nazwie Skrypty Google Ads: 1. Przejdź do Narzędzia i ustawienia (lub Działania zbiorcze) -> Skrypty. 2. Hakerzy wklejają 40-wierszowy ładunek JavaScript do Skryptów ustawionych na uruchamianie Co godzinę. Skrypt ten automatycznie wznawia ich kampanie phishingowe, usuwa wykluczające słowa kluczowe i zwiększa dzienny budżet do $5,000i może nawet korzystać z usług Google UrlFetchApp aby przekazać status Twojego konta zewnętrznemu serwerowi dowodzenia i kontroli. 3. Wyłącz i usuń każdy nierozpoznany skrypt, a następnie otwórz Działania zbiorcze -> Reguły (reguły automatyczne) i usuń dowolną regułę zaplanowaną w celu włączenia kampanii lub zmiany budżetów.

3. Sprawdź „Moduły dostosowania reklam, szablony śledzenia na poziomie konta i linki Google Merchant Center”¶

Nawet jeśli osoba atakująca nie utworzy zupełnie nowej kampanii, wyrafinowani partnerzy dokonują „Cichego przejęcia adresu URL” w Twoich istniejących legalnych kampaniach: 1. Przejdź do Administrator / Ustawienia -> Ustawienia konta -> Śledzenie i sprawdź Szablon śledzenia i Sufiks końcowego adresu URL. Atakujący wstawiają tutaj skrypt przekierowujący, dzięki czemu kliknięcia legalnych reklam Twojej marki po cichu przekierowują użytkowników przez złośliwy lądownik stowarzyszony lub upuszczanie złośliwego oprogramowania. 2. Zaznacz Menedżer danych / Połączone konta (Google Merchant Center, YouTube, Google Analytics 4) i odłącz wszelkie zagraniczne źródła Merchant Center, do których atakujący podłączył się w celu wyświetlania fałszywych reklam produktowych.

Część 4: Jak odzyskać dostęp administratora i uzyskać 100% zwrotu pieniędzy od Meta i Google¶

Niezależnie od tego, czy nadal jesteś administratorem i na to patrzysz $8,000 z powodu nieautoryzowanych opłat lub zostałeś całkowicie wyrzucony z własnego konta Meta Business Portfolio / Google Ads, zatwierdzenie zwrotu środków zależy wyłącznie od przesłania zorganizowanego pakietu badań kryminalistycznych, który udowadnia, że wydatki pochodzą z przejętej sesji, a nie z błędu pracownika.

1. Wymagana tabela dowodów kryminalistycznych (Zbierz ją przed przesłaniem zgłoszenia)¶

2. Oficjalne ścieżki kompromisu i eskalacji zwrotu kosztów w Meta Business Suite¶

W zależności od bieżącego poziomu dostępu, skorzystaj z tych oficjalnych dróg eskalacji Meta (nigdy nie ufaj zewnętrznym „hakerom zajmującym się odzyskiwaniem” w komentarzach lub czacie):

1. Trasa A (jeśli nadal masz dostęp do dowolnego konta Meta Business lub konta reklamowego):
2. Otwórz Centrum pomocy Meta Business (https://www.facebook.com/business/help/support), przewiń w dół i kliknij Skontaktuj się z pomocą techniczną. Wybierz swoje konto reklamowe (act_...), wybierz „Włamanie na moje konto reklamowe / Mam nieautoryzowane obciążenia” i otwórz Czat z przedstawicielem lub Pomoc przez e-mail.
3. Otwórz także Meta Billing Hub (https://business.facebook.com/billing_hub/transactions), kliknij każdy identyfikator fałszywej transakcji na fakturze i wybierz „Zgłoś problem / zakwestionuj tę opłatę -> Nieautoryzowane lub zhakowane działanie.”
4. Trasa B (jeśli haker wyrzucił Cię z portfela biznesowego i strony na Facebooku):
5. Najpierw uruchom proces włamania się do konta osobistego pod adresem https://www.facebook.com/hacked jeśli Twój profil osobisty został naruszony.
6. Następnie otwórz Czat Meta Business Support Pro z istniejącego konta kolegi lub partnera z agencji i zgłoś Przejęcie administratora (ATO) w identyfikatorze portfela biznesowego, identyfikatorze strony i identyfikatorze konta reklamowego (act_...). Załącz podpisane oświadczenie w formacie PDF na papierze firmowym firmy (z identyfikatorem urzędowym i narzędziem biznesowym/rejestracją pasującą do weryfikacji biznesowej), zawierające adres URL profilu prawego właściciela na Facebooku i adres e-mail, który ma zostać przywrócony jako pełny administrator.
7. Trasa C (jeśli Twoja karta kredytowa została skradziona i użyta na metakoncie reklamowym nieznajomego):
8. Jeśli widzisz FACEBK *XXXXXXXXXX opłaty na wyciągu z karty, najpierw sprawdź swojego Meta Ads Managera. Jeśli wyświetla się Twoje własne konto reklamowe $0.00 wydane, sam numer Twojej karty został skradziony i powiązany z kontem reklamowym nieznajomego na Facebooku. Natychmiast zakwestionuj zarzuty jako Oszustwo związane z kradzieżą karty w swoim banku i prześlij 10-znakowy znak FACEBK * kod w formularzu nieautoryzowanych opłat Meta (https://www.facebook.com/help/contact/1937556639801443).

3. Oficjalna ścieżka kompromisu i eskalacji zwrotu kosztów w Google Ads¶

1. Wykonaj Sprawdzanie zabezpieczeń konta Google (https://myaccount.google.com/security-checkup), unieważnij nieznane urządzenia w ramach myaccount.google.com/device-activityi zablokuj weryfikację dwuetapową na czystym telefonie.
2. Prześlij dedykowany formularz eskalacji konta Google Ads, w którym doszło do naruszenia bezpieczeństwa (https://support.google.com/google-ads/answer/9355975 -> „Zgłoś nieautoryzowaną aktywność na koncie”).
3. Otwórz Administrator -> Historia zmian (ads.google.com/aw/changehistory), wyeksportuj plik CSV zawierający dokładny znacznik czasu dodania nieautoryzowanych kampanii, budżetów lub użytkowników i dołącz go do swojego zgłoszenia. Zespół Google ds. bezpieczeństwa kont i zaufania do płatności tymczasowo zawiesi konto w celu ochrony, usunie kampanie osoby atakującej, usunie wszelkie ostrzeżenia dotyczące zasad spowodowane naruszeniem zasad i wyda Zwrot środków na konto, które zostało naruszone w ciągu 3 do 10 dni roboczych.

Część 5: Oczyszczanie i zabezpieczanie stacji roboczych przed przyszłymi przejęciami kont reklamowych¶

Agencje marketingowe i założyciele często padają ofiarą drugiego ataku hakerskiego 72 godziny po przywróceniu, ponieważ nigdy nie usunęli szkodliwego oprogramowania kradnącego informacji z komputera PC z systemem Windows lub Mac, na którym skradziono plik cookie sesji.

1. Jak działa przynęta „fałszywa informacja o prawach autorskich / naruszeniu zasad”¶

Grupy zagrożeń atakujące Meta Business Suite (Ducktail, NodeStealer, VietCredCare, Lumma Stealer) wyślij pilne wiadomości z informacją, że Twoja strona lub konto reklamowe zostaną usunięte w ciągu 24 godzin z powodu naruszenia praw własności intelektualnej, podając link do archiwum chronionego hasłem (Case_ID_883920.zip). Wewnątrz znajduje się ukryty plik wykonywalny (Copyright_Evidence.pdf.exe Lub .scr) lub przeciwnik pośrodku (Evilginx) łącze zwrotnego proxy. Po uruchomieniu złośliwe oprogramowanie wyodrębnia pliki cookie sesji Chrome/Edge SQLite i tokeny API Facebook Graph (EAAB...), pytam graph.facebook.com/v19.0/me/adaccounts natychmiast, aby wyczerpać karty korporacyjne o wysokim limicie.

2. Architektura izolacji konta reklamowego oparta na czterech zasadach¶

1. Wyczyść ponowną instalację systemu operacyjnego na zainfekowanych stacjach roboczych: Każdy komputer PC lub Mac, na którym otworzył się podejrzany plik .zip, .rar, .exelub .dmg należy sformatować dysk i ponownie zainstalować system Windows/macOS z czystego dysku USB utworzonego na osobnym komputerze.
2. Dedykowane wirtualne karty kredytowe z twardymi limitami dziennymi: Nigdy nie łącz firmowej karty kredytowej bez limitu ani głównego konta rozliczeniowego bezpośrednio z Meta lub Google Ads. Wydaj wirtualną kartę kredytową (Ramp, Brex, Wise, Amex Virtual, Privacy.com) ograniczone do dokładnie Twoich normalnych dziennych wydatków na reklamę plus 20 procent. Jeśli Twoja firma wydaje $200/day, za $250/day zatyczka karty twardej zatrzymuje się a $10,000/hour włamać się do $251 automatycznie.
3. Podział ról „Administrator Vault” i „Codzienny nabywca multimediów”: Zachowaj Pełną kontrolę administracyjną/finansową na dwóch dedykowanych kontach Vault zabezpieczonych fizycznymi sprzętowymi kluczami bezpieczeństwa FIDO2 (YubiKey), które nigdy nie logują się na codziennych laptopach służbowych. Przyznaj codziennie tylko kontom pracowników uprawnienia Zarządzanie kampaniami (standardowe), aby skradziony plik cookie nie mógł dodawać administratorów ani zmieniać rozliczeń.
4. Dedykowany profil przeglądarki z zerową liczbą rozszerzeń: Uzyskaj dostęp do Meta Business Suite i Google Ads w dedykowanym profilu Chrome/Edge bez zainstalowanych rozszerzeń VPN, PDF lub AI innych firm.

Regionalne numery alarmowe i protokoły agencyjne¶

Jeśli nieupoważnione opłaty reklamowe wyczerpały Twoje konta operacyjne, zgłoś cyberprzestępczość na swoim krajowym portalu organów ścigania, aby wygenerować oficjalny policyjny numer referencyjny ds. cyberprzestępczości na potrzeby eskalacji Twojego banku i platformy:

• Stany Zjednoczone: Złóż skargę do FBI Internet Crime Complaint Center (ic3.gov) i FTC (ReportFraud.ftc.gov). Przywołaj Rozporządzenie Rezerwy Federalnej E (12 CFR § 1005.6) w przypadku debetów konsumenckich/odpływów ACH lub Ustawa o uczciwym rozliczeniu kredytu (FCBA, 15 U.S.C. § 1666) dla kart kredytowych; w przypadku korporacyjnych obciążeń ACH poproś o natychmiastową płatność R29 nieautoryzowany zwrot w ciągu 24 godzin zgodnie z Zasadami operacyjnymi NACHA. Numer alarmowy: 911.
• Kanada: Zgłoś do Kanadyjskiego Centrum ds. Zwalczania Nadużyć Finansowych (antifraudcentre-centreantifraude.ca, 1-888-495-8501) i Kanadyjskie Centrum Bezpieczeństwa Cybernetycznego (cyber.gc.ca). Numer alarmowy: 911.
• Wielka Brytania: Zgłoś do Action Fraud (actionfraud.police.uk, 0300 123 2040) i postępuj zgodnie z Narodowe Centrum Cyberbezpieczeństwa (ncsc.gov.uk) wskazówki. Powołać się na brytyjskie przepisy dotyczące usług płatniczych z 2017 r. w swoim banku, aby uzyskać natychmiastowy zwrot kosztów nieautoryzowanej transakcji. Numer alarmowy: 999 lub 112 (policja inna niż alarmowa: 101).
• Unia Europejska: Zgłoś się do swojej krajowej CERT / CSIRT i policyjnej jednostki ds. cyberprzestępczości i powołać się na Zmienioną dyrektywę UE w sprawie usług płatniczych (PSD2, Dyrektywa (EU) 2015/2366, art. 73) nałożenie na dostawców usług płatniczych obowiązku zwrotu nieautoryzowanych transakcji do końca następnego dnia roboczego (T+1). Numer alarmowy: 112.
• Australia i Nowa Zelandia: W Australii należy zgłosić to za pośrednictwem Australijskiego Centrum Bezpieczeństwa Cybernetycznego (cyber.gov.au / ReportCyber, 1300 292 371). W Nowej Zelandii zgłoś się do CERT NZ (cert.govt.nz, 0800 237 869) i Netsafe (netsafe.org.nz). Numery alarmowe: 000 (Australia), 111 (Nowa Zelandia).
• Indie i region Azji i Pacyfiku: W Indiach zgłaszaj natychmiastowe wyczerpanie zasobów finansowych w cybercrime.gov.inlub zadzwoń 1930 w ciągu 3 dni roboczych zgodnie z Okólnikami RBI o zerowej odpowiedzialności. W Singapurze skontaktuj się z Centrum przeciwdziałania oszustwom SPF (1800-722-6688) i SingCERT (csa.gov.sg). Zobacz numery alarmowe.

Często zadawane pytania¶

Dlaczego mam czekać z formalnym obciążeniem zwrotnym karty kredytowej, jeśli moje konto Meta lub Google Ads jest aktywnie moje?¶

Jeśli poinstruujesz bank, aby wymusił formalne obciążenie zwrotne karty kredytowej wobec Meta Platforms lub Google LLC z tytułu opłat naliczonych w ramach Twojego aktywnego portfela biznesowego lub konta Google Ads, zautomatyzowany mechanizm ryzyka platformy traktuje Twój podmiot gospodarczy jako ryzyko obciążenia zwrotnego i natychmiast wyłącza Twoje konto reklamowe, portfolio firmowe, stronę na Facebooku, sklep na Instagramie lub Google Merchant Center. Blokując kartę, aby najpierw wstrzymać nowe opłaty, powiadamiając bank, że oczekujesz na kredyt w związku z oszustwem handlowym i składając oficjalne zgłoszenie dotyczące zainfekowanego konta reklamowego bezpośrednio w Meta lub pomocy technicznej Google, wewnętrzny zespół ds. bezpieczeństwa platformy unieważnia nieuregulowane saldo i zwraca uregulowane opłaty, utrzymując Twoje konta aktywne. Eskaluj do stałego obciążenia zwrotnego banku tylko wtedy, gdy platforma odrzuci Twoje roszczenie o kompromis lub jeśli Twoja karta została użyta na koncie nieznajomego, którego nie jesteś właścicielem.

W jaki sposób osoba atakująca dodała fałszywego administratora do mojego pakietu Meta Business Suite, gdy mam włączone uwierzytelnianie dwuskładnikowe?¶

W prawie każdym współczesnym przypadku osoba atakująca nie logowała się przy użyciu Twojej nazwy użytkownika i hasła. Zamiast tego Ty lub inny administrator Twojego Portfolio Biznesowego uruchomiłeś plik złodzieja informacji pod postacią pliku PDF lub załącznika ZIP na komputerze z systemem Windows lub Mac, zainstalowałeś zhakowane rozszerzenie Chrome lub zalogowałeś się do łącza phishingowego typu adversary-in-the-middle. Ponieważ Twoja przeglądarka przechowuje uwierzytelniony plik cookie sesji po przejściu 2FA, kradzież tego pliku cookie umożliwia atakującemu wywołanie Meta `business_users` Lub `system_users` punkt końcowy bez wywoływania nowego monitu 2FA.

Usunąłem hakera z sekcji „Ludzie” w Meta Business Settings, więc dlaczego wciąż pojawiają się nowe oszukańcze kampanie?¶

Usunięcie atakującego z karty Osoby powoduje jedynie usunięcie jego widocznego konta w profilu osobistym. Atakujący utrzymują stałą kontrolę za pośrednictwem trzech ukrytych backdoorów w Meta Business Settings: po pierwsze, **Użytkownicy -> Użytkownicy systemu**, gdzie generują niewidoczny, nie wygasający token dostępu API przypisany do Twojego konta reklamowego; po drugie, **Użytkownicy -> Partnerzy**, gdzie udostępniają zasoby Twojego konta reklamowego zewnętrznemu identyfikatorowi biznesowemu partnera, który kontrolują; i po trzecie, **Konta -> Konta reklamowe -> Ludzie**, gdzie profil osobisty można dołączyć bezpośrednio do konta reklamowego poza główną listą Portfela Biznesowego. Musisz wyczyścić wszystkie trzy lokalizacje i usunąć wszelkie reguły automatyczne w Menedżerze reklam.

Reklamy hakera naruszały zasady dotyczące „oszukiwania systemów” i spowodowały zawieszenie mojego konta. Czy mogę zostać odblokowany?¶

Tak, pod warunkiem, że złożysz odwołanie za pośrednictwem procedury dotyczącej konta, w którym doszło do naruszenia, zamiast przesyłać ogólne odwołanie dotyczące zasad. Gdy osoba atakująca uruchomi na Twoim przejętym koncie reklamy typu phishing lub złośliwe oprogramowanie, automatyczne boty natychmiast zawieszają konto z powodu naruszenia zasad. Przesłanie formularza **Nieautoryzowana aktywność na koncie / zhakowane konto firmowe** z dokładnymi znacznikami czasu logowania w formacie UTC powoduje najpierw przesłanie zgłoszenia do zespołu ds. bezpieczeństwa konta; gdy ochrona potwierdzi naruszenie, usunie zawieszenie zasad i przywróci Twoje konto.

A co jeśli zobaczę? FACEBK * Lub GOOGLE *ADS opłaty na moim wyciągu bankowym, ale nie mam konta reklamowego?¶

Oznacza to, że numer Twojej fizycznej lub wirtualnej karty został skradziony w wyniku zewnętrznego naruszenia i powiązany przez oszusta z jego własnym fałszywym kontem na Facebooku lub Google Ads. Ponieważ Twoje profile firmowe i osobiste nie są powiązane z kontem reklamowym złodzieja, natychmiast zadzwoń do działu ds. oszustw swojego banku, aby anulować kartę, złóż natychmiastowe obciążenie zwrotne za nieuprawnione użycie w ramach Zero odpowiedzialności i prześlij 10-znakowy kod transakcji w formularzu nierozpoznanego obciążenia Meta lub Google.

Powiązane przewodniki¶

• Przejęcie konta w mediach społecznościowych i włamanie
• Kanał twórcy przejęty przez transmisje na żywo z oszustwami kryptograficznymi
• Oszustwa typu phishing i podszywanie się w mediach społecznościowych
• Spory dotyczące obciążeń zwrotnych kart kredytowych, nieautoryzowanych obciążeń ACH i Regulacji E
• Numery alarmowe

Źródła i oficjalne wytyczne¶

• Centrum pomocy Meta Business (Meta Platforms, Inc.): Zabezpiecz przejęte portfolio Meta Business i konto reklamowe (facebook.com/business/help), Zarządzaj użytkownikami systemu i unieważniaj tokeny dostępu w ustawieniach biznesowych oraz Rozwiązywanie problemów z nierozpoznanym FACEBK Opłaty.
• Pomoc Google Ads i Centrum inżynierii bezpieczeństwa Google (Google LLC): * Dbaj o bezpieczeństwo swojego konta Google Ads: zgłaszanie nieautoryzowanej aktywności na koncie (support.google.com/google-ads/answer/9355975)* i Zarządzanie poziomami dostępu, kontami menedżerów (MCC) i skrypty Google Ads.
• Agencja ds. Bezpieczeństwa Cybernetycznego i Infrastruktury (CISA, Stany Zjednoczone) oraz FBI IC3: Zapobieganie kradzieży plików cookie sesji, przeciwnikowi w środku (AitM) Phishing i przejmowanie firmowych kont firmowych.
• Biuro Ochrony Finansów Konsumentów (CFPB) i Federalna Komisja Handlu (FTC, Stany Zjednoczone): Ustawa „Truth in Lending Act” (Rozporządzenie Z / Ustawa o uczciwym rozliczaniu kredytów) i Ustawa o elektronicznych transferach środków (Regulacja E) Ochrona przed nieautoryzowanym wystawianiem rachunków.
• Krajowe Centrum Bezpieczeństwa Cybernetycznego (NCSC, Wielka Brytania): Uwierzytelnianie wieloskładnikowe, higiena tokena OAuth i odzyskiwanie zainfekowanych kont w mediach społecznościowych i kontach marketingowych w chmurze.