広告アカウントの窃盗、すなわちMeta Business ManagerやGoogle Adsアカウントを組織的に乗っ取る手口は、階層的な価格設定やエスクローサービス、盗難アカウントの返金保証まで備えた、商品化されたサイバー犯罪経済圏へと成長しています。
この問題に関する報道は、使い果たされた広告予算に焦点を当てがちですが、Mimecastによれば、それは攻撃者にとって一時的な利益にすぎないといいます。
「両プラットフォームとも、事前チャージ済みのクレジットまたはカード登録型のモデルで運用されています。キャンペーンは予算上限に達するか、アカウント保有者が介入するまで支出が続きます。月間予算5,000ドルの新たに侵害されたアカウントは、数時間で使い果たされる可能性があります」とMimecastは説明しています。
「正当な広告支出の実績があるとアカウントの信頼スコアが上がるため、蓄積された履歴を持つアクティブなアカウントは、新規に攻撃者が作成したアカウントなら弾かれるようなプラットフォームの安全性チェックを通過して広告を配信できます。これこそが、履歴の長い古いアカウントがアンダーグラウンド市場で2倍から4倍のプレミアム価格になる理由です」と付け加えています。
アカウントの経過年数、支出履歴、認証ステータス、日次支出上限が価格を左右します。Zscalerの報告によれば、盗まれたMeta Business Managerアカウントはおよそ15ドルから340ドルで販売されており、高リスク業種向けのGoogle Adsアカウントの一部はTelegram上で200ドルから270ドルで出品されています。
過去最大の摘発直後に記録した過去最高値
同社の脅威リサーチチームは、Meta Business ManagerとGoogle Adsアカウントの窃盗について、4年間で640万件の検知を追跡してきました。そしてそのトレンドは、誰もが望まない方向に進んでいます。
2025年下半期には約186万件の検知が発生し、過去のどの期間よりも高い、新たな最高値を記録しました。しかもこの数字は、このエコシステムに対する過去最大級の摘発作戦がすでに完了した後に出たものです。この傾向は4年間分のデータ全体を通じて一貫しています。摘発や逮捕が起きるとその都度活動は一時的に落ち込みますが、その後は同水準かそれ以上の水準に戻ります。
Meta Business ManagerおよびGoogle Adsアカウント窃盗キャンペーンに関するMimecastの4年間の検知テレメトリ（出典: Mimecast）
Mimecastは、この活動をDuckTail、NodeStealer、VietCredCare、PXA Stealerといったベトナム関連のマルウェアファミリーに結び付けているほか、ブラジル・ポルトガルを拠点とする別系統の活動、および中国・香港を拠点とする活動も特定しています。
2026年3月にPXA Stealerグループが摘発され、14人が起訴された際には、検知件数が一時的に減少した後、再び回復に転じました。
フィッシングがフィルターをすり抜ける仕組み
Mimecastは、フィッシングのテンプレートや認証情報窃取ページそのものだけでなく、これらのキャンペーンがそもそもどのようにして受信トレイに届くのかを調査し、信頼された送信インフラを意図的に悪用する明確なパターンを見出しました。
脅威アクターは、目的特化型の悪意あるインフラから離れ、メールセキュリティツールが信頼するよう設定されている、正当で評価の高い送信プラットフォームへと移行しています。
Mimecastのテレメトリによれば、これらのキャンペーンのうち約3件に1件はSalesforceのインフラを経由して届いており、さらに4分の1がGoogle Workspaceの差し込み印刷ツールやSharePointでホストされたリンクを通じて配信されていました。
「この分散は偶然ではありません」と研究者らは指摘しています。「SalesforceとGoogleは確立された送信者レピュテーションを持っており、レピュテーションベースのフィルタリングをすり抜けます。これらのプラットフォームを経由した配信では、送信元IP、ドメイン、認証レコード（SPF、DKIM）のすべてが、未知のドメインなら弾かれるはずのチェックを通過します。攻撃者に残された仕事は、コンテンツを説得力のあるものにすることだけです」。
アカウントを失う代償は、予算を失う代償より大きい
不正な広告支出自体は、企業が見覚えのないキャンペーンに気づき、紐付けられた支払い方法を解約すれば、通常は数時間以内に止められます。しかし、アカウントそのものを取り戻すには、はるかに長い時間がかかります。
アクセス権を得た攻撃者は、しばしば自分自身を管理者として追加し、正規のオーナーを権限の限られたロールに降格させます。プラットフォームの権限構造上、新たに追加された管理者がこれを覆せない場合も少なくありません。所有権を取り戻し、プラットフォームの審査システムの下で信用を再構築するには数か月かかることもあり、その間もアカウントは異議申し立てのキューに滞留したままになりかねません。
「チャージバックやゼロライアビリティ（無過失）保護が存在するカード詐欺とは異なり、プラットフォーム側にはそれに相当する仕組みがなく、むしろ迅速に対応しない方が構造的な財務上のインセンティブになっています」と研究者らは述べています。
それでもプラットフォームは利益を得る
侵害された広告アカウントがキャンペーンを配信し続ける限り、広告主が正規のオーナーであろうと、盗んだ予算を使う攻撃者であろうと、プラットフォームは配信されるインプレッションごとに収益を得ます。
Consumer Federation of Americaが提起した2026年のクラスアクション訴状は、Meta自身の推計として、詐欺広告が1日あたり150億インプレッションに上り、年換算で70億ドルの収益に相当すると引用したうえで、Metaがユーザーの安全よりもこの収益を優先したと主張しています。
Metaも独自の対策を講じており、2026年2月には詐欺広告主を提訴し、翌月には東南アジアの犯罪ネットワークについて法執行機関と連携しています。
それでもインセンティブ構造自体は変わらず、審査中のアカウントは審査が続く間も広告を配信し続けられます。Malwarebytesは、30件の通報を受けてもなお稼働し続けていた広告主の事例を記録しています。
「広告主が管理アクセス権やパートナー関係、アカウント活動を、他の高価値なデジタル資産と同等の厳格さで管理するようになり、かつ
プラットフォーム側がこれらのアカウントの価値に見合った復旧プロセスを提供するようにならない限り、侵害された広告アカウントは今後も犯罪エコシステムの中で流通し続けるでしょう」とMimecastは結論付けています。
翻訳元: https://www.helpnetsecurity.com/2026/07/29/ad-account-theft-meta-google/
