Uma onda de ataques de phishing sofisticados está permitindo que golpistas sequestrem contas de gerente do Google Ads (MCCs) completas, dando-lhes acesso instantâneo a centenas de contas de clientes – e a capacidade de gastar dezenas de milhares em horas, sem serem detectados.

Dirigindo as notícias. Agências no LinkedIn, Reddit e nos próprios fóruns do Google estão relatando um aumento nas aquisições de MCC, mesmo entre equipes que usam autenticação de dois fatores. A arma preferida dos invasores: e-mails de phishing quase perfeitos que imitam os convites de acesso à conta do Google.

• As vítimas dizem que os sequestradores adicionam usuários administradores falsos, vinculam suas próprias MCCs e começam a lançar campanhas fraudulentas e de alto orçamento.
• Em alguns casos, os tíquetes de suporte levam dias para aumentar enquanto o dinheiro continua sendo drenado.
• Uma agência relatou “dezenas de milhares” em gastos com publicidade acumulados em 24 horas.

Como funciona. Os golpes parecem convites normais de acesso do cliente – mesma marca, mesmo formato, mesma cópia – mas o link leva a uma página do Google Sites que se faz passar por uma tela de login do Google. Depois que as credenciais são inseridas, os invasores obtêm acesso total à MCC.

Por que está piorando. Os anunciantes dizem que as tentativas de phishing são cada vez mais indistinguíveis das mensagens legítimas do Google. Várias agências admitiram que teriam clicado se não fosse por pequenas discrepâncias no domínio do remetente ou no URL de login.

O impacto:

• Orçamentos esgotados: anúncios fraudulentos são exibidos imediatamente.
• Exposição a malware: os anúncios geralmente levam a sites prejudiciais.
• Danos na conta: sinalizadores de atividades inválidas, reprovações e problemas de confiança se espalham por meses.
• Caos operacional: as agências perdem acesso a todas as contas de clientes da MCC.

O que o Google diz. A equipe da comunidade do Google Ads postou discretamente um O que fazer se sua conta estiver comprometida help doc, alertando os anunciantes sobre um aumento no roubo de credenciais durante a temporada de férias, mas não reconheceu a escala da tendência de aquisição da MCC.

Por que nos importamos. Esses sequestros de MCC não são apenas problemas de segurança isolados: são ameaças financeiras e operacionais diretas que podem destruir orçamentos, comprometer todas as contas de clientes e levar dias para o Google contê-los. Com os invasores agora contornando o 2FA por meio de phishing quase perfeito, até mesmo equipes bem protegidas ficam subitamente vulneráveis. Se apenas um membro da equipe falhar, todo um portfólio de contas – gastos, desempenho e confiança do cliente – estará instantaneamente em risco.

O que os especialistas recomendam. Fundador e Diretor Geral da Low Digital Ltd, Marc Walker deu estas recomendações para evitar o sequestro de suas contas:

• Sempre verifique o URL — O Google nunca usa o Google Sites para login.
• Confirme os convites dentro da MCCnão apenas por e-mail.
• Limpar usuários inativos e contas inativas para reduzir superfícies de ataque.
• Eduque as equipes sobre sinais de alerta de phishing – especialmente durante a divulgação de feriados de alto volume.

Entre as linhas. Se pelo menos um usuário em uma grande MCC cair no golpe, o invasor adquire efetivamente as chaves de um portfólio inteiro – e pode esgotar os orçamentos mais rápido do que o sistema de suporte do Google pode responder.

O resultado final. Os sequestros do Google Ads são uma ameaça operacional crescente para agências e equipes internas. Até que o Google forneça proteções mais fortes no nível da MCC, a vigilância será a única defesa real.