En 2025-2026, des prises de contrôle de MCC vident des budgets en heures via des campagnes frauduleuses. La 2FA est nécessaire mais ne suffit pas : un phishing sophistiqué peut la contourner. La bonne défense empile des couches complémentaires : 2FA, approbation multi-parties, moindre privilège, email de récupération à jour, clés matérielles pour le haut risque.
En 2025-2026, des campagnes de phishing ciblent spécifiquement les agences, les experts Google Ads et les détenteurs de MCC.
Les prises de contrôle de comptes administrateurs sont devenues particulièrement dévastatrices : une fois les identifiants obtenus, les attaquants ajoutent des admins malveillants et lancent des campagnes frauduleuses à gros budget (à jour au 13/06/2026).
Une partie de ces dépenses frauduleuses relève de l’activité invalide, et savoir lire ses crédits pour clics invalides sur la facture aide à repérer l’anomalie après coup, mais c’est un constat, pas une protection.
Le MCC est une cible de choix précisément parce qu’il chapeaute plusieurs comptes : un seul login compromis peut faire des dégâts démultipliés, et c’est tout l’enjeu de bien structurer l’administration de votre compte Google Ads en amont.
Ce n’est pas un risque théorique à traiter « si on a le temps ». C’est un risque financier concret, rapide, qui vise particulièrement les profils de ce métier.
Le réflexe juste est d’activer la double authentification (2FA), c’est nécessaire mais insuffisant, et c’est le point que la plupart manquent. La 2FA protège vos identifiants : elle exige un second facteur au-delà du mot de passe, ce qui bloque l’essentiel des tentatives.
Mais un phishing sophistiqué peut la contourner (en interceptant le second facteur en temps réel, par exemple). Et si la 2FA saute sans autre couche, l’attaquant a les pleins pouvoirs.
D’où le principe directeur : la sécurité tient à des couches complémentaires, jamais à un verrou unique. La 2FA n’est pas votre sécurité, c’est sa première couche. La vraie question est : si on franchit cette couche, qu’est-ce qui protège encore votre budget ?
Le multi-party approval (approbation multi-parties) est la couche que peu connaissent et qui change tout : elle exige une validation indépendante pour les changements sensibles (modifications d’accès, actions critiques), de sorte que même si des identifiants sont compromis malgré la 2FA, l’attaquant ne peut pas agir seul.
C’est un backstop : il protège contre les conséquences d’une compromission, là où la 2FA protège contre la compromission elle-même. Les deux sont complémentaires. La 2FA empêche d’entrer, le multi-party approval empêche d’agir si on est entré.
Sur un MCC ou un compte sensible, activer le multi-party approval, c’est poser le filet qui rattrape ce que la 2FA laisse passer. C’est précisément sur ce type de compte administrateur MCC à protéger que la couche prend tout son sens, puisqu’un seul accès compromis y expose plusieurs comptes clients.
Le reste de l’empilement, par ordre de bon sens.
Le moindre privilège : moins il y a d’admins, plus petite est la surface d’attaque, chaque admin de trop est une cible de phishing en plus. Tout se joue dans la façon de gérer les accès utilisateurs au plus juste, en n’accordant que le niveau strictement nécessaire.
L’email de récupération à jour : c’est votre preuve de propriété si on vous verrouille dehors. Un email de récupération obsolète, et vous ne pouvez plus prouver que le compte est le vôtre.
L’Advanced Protection (clés de sécurité matérielles) pour les comptes à haut risque : le niveau au-dessus, qui rend le phishing du second facteur quasi impossible.
Et le facteur qui sous-tend tout : le vecteur dominant est humain, c’est le phishing. Deux règles non négociables en découlent.
Ne jamais partager d’identifiants : accordez des accès nominatifs, un identifiant partagé contourne toutes vos protections. Se méfier des liens d’accès non vérifiés : les demandes d’accès frauduleuses imitent les vraies.
Une note 2026 à connaître côté gouvernance : si un MCC viole les règles de Google, les comptes qui lui sont liés peuvent être suspendus jusqu’à déliaison, d’où l’importance d’auditer la conformité des managers auxquels on est lié, surtout en agence ou en sous-traitance.
Empilez les couches, ne vous fiez pas à une seule. 2FA obligatoire pour tous les admins et managers : la base, pas le sommet. Multi-party approval sur vos MCC et comptes sensibles : le filet qui rattrape une 2FA contournée.
Moindre privilège (le moins d’admins possible), email de récupération à jour, et Advanced Protection / clés matérielles pour le haut risque. Ne partagez jamais d’identifiants, méfiez-vous des liens d’accès, et auditez la conformité des managers liés.
La sécurité d’un compte Google Ads n’est pas un verrou qu’on pose une fois : c’est un empilement qu’on entretient, parce qu’en face, la menace est bien active.
Pas de multi-party approval ? On fait le tour de vos couches de sécurité.
Réserver un appelParlons de vos objectifs