Durante el último año, he visto un número creciente de quejas sobre el secuestro de cuentas de Google Ads. Parece estar empeorando, incluso después de que cubrimos los secuestros de cuentas de Google Ads en noviembre pasado. Entonces, ¿cómo puede reducir las posibilidades de que su cuenta de Google Ads sea secuestrada?
Para empezar, que su cuenta de Google Ads sea secuestrada puede ser devastador, y es mucho peor a nivel de agencia. Sus presupuestos pueden gastarse, sus cuentas bancarias pueden agotarse y el historial y la reputación de su cuenta pueden arruinarse. Todo esto también puede llevar a perder clientes publicitarios y tal vez algo peor. Cubrimos algo de esto en nuestra historia de noviembre.
Entonces, ¿qué puedes hacer para proteger tu cuenta? Debo ser claro, incluso si haces esto bien, esto no es una garantía de que tu cuenta no será secuestrada algún día. Simplemente ayuda a reducir las posibilidades de que esto suceda.
Google Ads tiene un documento de ayuda sobre cómo proteger su cuenta de Google Ads y cubre:
- HTTPS: utilice el protocolo HTTPS cuando utilice la web
- Correos electrónicos @Google.com, Google solo le enviará correos electrónicos desde un correo electrónico @google.com
- Enlaces, sospeche de los enlaces y haga clic derecho en el enlace y vea en un bloc de notas adónde va ese enlace.
- Las llamadas telefónicas de Google deberían ser sospechosas
- Configurar la verificación en dos pasos
- Habilite la función confirmar que es usted
- Configurar políticas de seguridad a nivel de MCC
Puedes leer más detalles aquí.
Scott Clark publicó más consejos en LinkedIn, que según él deberían compartirse:
- Fortalezca los inicios de sesión: use contraseñas únicas + 2FA (se prefiere la aplicación de autenticación). La 2FA basada en texto es cada día más fácil de vencer. Esto incluye cuentas de administrador (a menudo utilizadas para la facturación mensual) y acceso regular a la cuenta.
- Minimizar el acceso: establezca cuidadosamente los usuarios y sus niveles de acceso. Tenga mucho cuidado con las listas de «dominios permitidos». Nunca, jamás agregue un usuario @gmail.com ni permita @gmail.com como dominio permitido en Google Ads (MCC o cuenta); no «asuma credenciales de administrador», incluso si la persona ocupa un lugar destacado en el organigrama.
- ¿Recibir una invitación de Access? Tenga mucho cuidado con las solicitudes de MCC nuevas o desconocidas. Hemos oído que algunos utilizan correos electrónicos que parecen muy reales; algunas personas incluso los han confundido con solicitudes de acceso a Google Docs. Le recomendamos que nos los envíe para revisarlos.
- Tenga cuidado con las “auditorías”, los paneles y las “demostraciones de herramientas”: algunas comienzan como una “revisión rápida” y luego presionan para obtener un acceso ampliado; otros provienen de terceros con malas condiciones de seguridad. Si son necesarios, configure un recordatorio para eliminar el acceso en cuanto finalice la demostración.
- Supongamos que el «soporte de Google» no solicitado no es de confianza: un correo electrónico @google.com por sí solo no es prueba suficiente, lamentablemente. Verificaremos a estos usuarios con nuestros contactos de Google si nuestros clientes lo necesitan, generalmente en unas pocas horas.
- Seguridad en capas (MCC y cuenta): si utiliza facturación mensual, debe mantener prácticas de higiene en ambas capas. Los ataques llegan a ambos simultáneamente.
- Google Analytics es una puerta trasera de «reconocimiento»: es una mina de oro de la ingeniería social. Los piratas informáticos utilizan el acceso GA4 para recopilar las direcciones de correo electrónico exactas de sus administradores y ejecutivos. Luego utilizan los nombres reales de sus campañas y los datos de gastos para crear correos electrónicos de phishing altamente convincentes.
- Tag Manager (GTM) es la solución definitiva para evitar 2FA: GTM permite a los usuarios ejecutar código que «clona» su sesión de inicio de sesión activa (secuestro de cookies). Una vez que tengan su «pulsera» de sesión, podrán ingresar a la cuenta desde su propia computadora sin necesitar su contraseña o código 2FA. No están iniciando sesión; simplemente se están haciendo pasar por su navegador ya verificado.
Aquí hay otra estafa que vi publicada recientemente y Ginny Marvin de Google respondió: «Buen trabajo revisando el correo electrónico y el dominio, Jonathan. Gracias por denunciar. Desafortunadamente, este tipo de tácticas no son infrecuentes. Si bien nuestros equipos toman medidas para evitar la apropiación de cuentas, instamos a nuestras agencias asociadas y anunciantes a implementar las mejores prácticas de seguridad. Consulte este artículo del Centro de ayuda que cubre cómo verificar si en realidad es Google el que intenta comunicarse con usted, proteger su cuenta y reportar actividades sospechosas».
Esto da miedo, pero haz lo que puedas para proteger tus cuentas.
Foro de discusión en LinkedIn.
