La protection doit être conçue dans la gestion du compte Google Ads : attribution des accès, niveau accordé, gestionnaire propriétaire, récupération et procédure d’incident.
Ce qu’un accès étendu permet de modifier
Une tentative d’hameçonnage peut imiter une invitation, une alerte de conformité ou une communication Google Ads. Si elle aboutit, l’intrus agit dans la limite des droits obtenus : ajout de profils ou de gestionnaires, modification de campagnes, budgets, règles automatiques, URL finales ou associations financières.
La compromission d’un profil doté de droits étendus sur une hiérarchie peut affecter plusieurs clients. L’impact vient du périmètre accordé, pas du simple usage d’un compte administrateur.
Une dépense inconnue ne prouve pas seule une intrusion : seuil de débit, solde antérieur, taxe ou ajustement peuvent aussi l’expliquer. Rapprochez les opérations financières, l’historique, les accès et les associations avant de conclure.
Pourquoi la 2FA seule ne suffit pas
Ce que la 2FA protège réellement
Cette double vérification exige une preuve supplémentaire lors de la connexion. Elle réduit le risque qu’un mot de passe connu suffise, mais ne protège pas une session déjà détournée et ne réduit pas les autorisations du profil compromis.
Un hameçonnage en temps réel, une récupération compromise ou un appareil déjà déverrouillé peuvent contourner une partie du parcours. L’intrus hérite alors des droits concernés. Les autres couches doivent limiter ses actions, détecter l’anomalie et permettre une reprise indépendante.
Clés d’accès Google Ads et actions sensibles
Une clé d’accès, parfois appelée passkey, est un identifiant cryptographique personnel déverrouillé localement par l’empreinte, le visage ou le code de l’appareil. Elle résiste à l’hameçonnage des mots de passe et facteurs d’authentification. Selon le fournisseur, elle peut être sauvegardée de façon chiffrée, synchronisée ou utilisée depuis un autre appareil admis.
Dans Google Ads, elle peut remplacer le mot de passe ou confirmer une modification sensible d’association, de droits ou d’informations financières. Elle ne règle pas le moindre privilège : le niveau accordé reste séparé.
- Créez une clé personnelle pour chaque intervenant, jamais sur un appareil partagé.
- Vérifiez son état dans Admin → Accès et sécurité et testez le parcours depuis les appareils réellement utilisés.
- Prévoyez une méthode de récupération autorisée avant de révoquer un ancien moyen d’accès.
- Anticipez le délai après la création : l’aide indique environ un à deux jours pour l’association à Google Ads, 48 heures en cas de synchronisation et jusqu’à sept jours de délai de sécurité pour certaines actions sensibles.
Google présente les clés d’accès et les clés de sécurité matérielles comme les méthodes les plus résistantes à l’hameçonnage. Un classement universel des autres facteurs serait trompeur : l’appareil, la récupération et la capacité de révocation comptent aussi.
| Contrôle | Rôle | Limite à traiter |
|---|---|---|
| 2FA | Authentifier la personne avec une preuve supplémentaire | Session ouverte, récupération et droits trop larges |
| Clé d’accès | Résister à l’hameçonnage et confirmer certaines actions | Appareil ou récupération compromis, clé perdue à révoquer |
| Approbation multipartite | Faire valider certaines modifications de droits par un autre administrateur | Structures éligibles de plus de trois administrateurs et demandes à traiter dans le produit |
Approbations et garde-fous pour les actions sensibles
L’approbation multipartite s’applique au-delà de trois administrateurs. Elle couvre actuellement certaines modifications de droits, comme un ajout, une suppression ou un changement de rôle. Les accès en lecture seule et l’API sont exemptés du processus documenté.
La demande apparaît dans Google Ads, sans courriel d’approbation. Un autre administrateur éligible de la hiérarchie dispose de 20 jours pour l’accepter ou la refuser ; passé ce délai, elle expire. L’assistance ne peut pas décider à sa place. Il faut donc identifier les approbateurs et surveiller les notifications dans le produit.
Un gestionnaire propriétaire peut aussi imposer la 2FA ou la Protection Avancée et limiter les domaines de messagerie admis. Ces obligations concernent les sous-comptes actuels et futurs dont il est propriétaire et administrateur, pas chaque entité simplement associée.
Les autres couches, et le facteur humain
Attribuez une adresse individuelle et le niveau minimal nécessaire : Lecture seule, Facturation, Standard ou Administrateur selon la tâche. Un identifiant partagé détruit la traçabilité, complique la révocation et empêche l’usage propre d’une clé personnelle.
Conservez au moins deux administrateurs fiables. Si l’approbation multipartite s’applique, maintenez-en plus de trois et organisez leur réponse. Pour un prestataire temporaire, fixez une échéance : Google avertit la personne concernée et les administrateurs sept jours puis un jour avant.
La récupération doit combiner des coordonnées à jour, des appareils connus et une clé de secours conservée séparément. La Protection Avancée convient aux profils Google particulièrement exposés : elle exige une clé d’accès ou de sécurité, limite certaines applications tierces et renforce les contrôles de téléchargement et de reprise.
L’hameçonnage et le vol d’identifiants restent des vecteurs majeurs. N’ouvrez pas une page d’authentification depuis un message non sollicité : accédez directement à ads.google.com ou au compte Google, puis vérifiez l’invitation dans Admin → Accès et sécurité.
Enfin, séparez deux risques liés au gestionnaire. S’il est compromis, il peut agir selon ses droits. Indépendamment, Google peut mettre en veille un annonceur encore rattaché à un gestionnaire qui enfreint le règlement concernant les tiers ; la notification indique alors comment le dissocier.
Surveiller les accès dans la durée
L’Agent de sécurité Google Ads compare l’activité au comportement historique. Il examine notamment les domaines de messagerie, les profils inhabituels, les tentatives d’authentification et les niveaux d’accès. Ses suggestions apparaissent, lorsqu’elles sont proposées, dans Admin → Accès et sécurité → Sécurité → Informations de sécurité.
Une suggestion n’est pas une décision automatique. Examinez rapidement le domaine, la personne, son rôle et l’activité concernée, puis acceptez, adaptez ou rejetez la proposition avec une justification. Retirer aveuglément un domaine ou un profil légitime peut bloquer l’exploitation.
Programmez au moins une revue mensuelle de ces informations et contrôlez en parallèle :
- les accès inactifs et les administrateurs qui n’exécutent aucune tâche nécessitant ce niveau ;
- les accès temporaires sans date de fin et les invitations encore en attente ;
- les domaines admis, gestionnaires et associations financières ;
- les appareils, sessions, applications tierces et moyens de récupération du profil Google.
Quels signaux peuvent révéler une activité non autorisée ?
Aucun signal ne garantit une détection précoce. C’est le rapprochement entre l’auteur, l’heure, l’objet modifié et les pratiques habituelles qui permet de qualifier l’anomalie.
Les signaux à surveiller en priorité
- ajout d’un profil, d’un administrateur ou d’un gestionnaire non reconnu ;
- modification d’un rôle, d’un domaine autorisé, d’une règle automatique ou d’un budget ;
- nouvelle campagne, annonce, URL finale ou certification que l’équipe n’a pas créée ;
- association ou dissociation financière inattendue ;
- connexion inhabituelle, appareil inconnu ou modification des options de récupération ;
- dépense qui s’écarte du calendrier et des pratiques validés, après rapprochement avec les débits.
Notifications et historique des modifications
Les canaux diffèrent : invitation par e-mail, approbation multipartite dans le produit, alerte Google ou financière. Recensez ceux réellement actifs et testez qui les reçoit. Il n’existe pas de réglage général documenté sous « Accès et sécurité → Notifications » couvrant tous ces événements.
Dans Google Ads, ouvrez Campagnes → Historique des modifications. L’outil conserve deux ans de données et permet de filtrer par auteur, outil et type de changement. Il peut toutefois omettre certains réglages généraux ou certaines interventions de représentants Google ; il ne remplace donc ni les alertes Google ni le journal d’activité fourni après un incident confirmé.
Compte Google Ads compromis : quelles priorités immédiates ?
Le signalement, la conservation des éléments utiles et la reprise de contrôle avancent en parallèle. Une chronologie arbitraire de plusieurs heures pourrait retarder l’enquête.
Priorité 1 : signaler et reprendre la main
- Signalez la compromission dès que possible avec le formulaire officiel. Rassemblez les horodatages, profils ajoutés, identifiants de gestionnaires inconnus, hausses de budget ou règles automatiques suspectes et votre adresse IP actuelle.
- Conservez les éléments utiles : captures, identifiants, montants, messages reçus et export de l’historique. Ne supprimez pas une campagne ou un profil avant d’avoir documenté l’action et vérifié le parcours demandé par Google.
- Utilisez un appareil sain et analysez tous les appareils servant à Google Ads pour retirer virus ou logiciel malveillant. Changez ensuite le mot de passe ; le faire avant le nettoyage peut exposer le nouveau secret.
- Récupérez et contrôlez le compte Google : sessions, appareils, clés d’accès ou de sécurité, applications tierces et coordonnées de récupération. Révoquez les moyens inconnus ou perdus.
- Évitez l’arrêt général par réflexe. Si vous disposez encore d’un accès sûr, mettez en veille seulement une campagne ou une règle manifestement non autorisée. Après confirmation, Google indique ne mettre en veille que les campagnes créées ou modifiées par l’intrus pendant la sécurisation.
Priorité 2 : examiner le journal et remettre le compte en service
Après confirmation de l’incident, Google sécurise l’environnement et génère un journal détaillé de l’activité concernée. Les administrateurs présents avant la compromission, sauf le profil identifié comme compromis, reçoivent la demande. Un seul administrateur peut soumettre la décision de nettoyage.
- Examinez chaque ligne et choisissez le nettoyage, la restauration en l’état ou une enquête complémentaire selon le contenu. Une décision envoyée ne peut plus être modifiée : coordonnez-la avant validation.
- Distinguez le parcours : des changements limités aux droits ou campagnes peuvent permettre une réactivation plus rapide ; une modification de structure maintient l’annonceur suspendu jusqu’au consentement et au nettoyage automatisé.
- Contrôlez après réactivation les accès, rôles, gestionnaires, domaines admis, associations financières, campagnes, règles, URL, validation de l’annonceur et certifications. Dissociez les éléments inconnus et réinvitez les personnes légitimes retirées pendant l’incident.
- Renforcez sans vous bloquer : 2FA pour chaque personne, clés d’accès testées, droits réduits, expiration des accès temporaires et récupération de secours. Une clé nouvellement créée peut subir un délai ; ne retirez pas la méthode sûre existante avant le test.
- Qualifiez le périmètre humain et juridique. Identifiez les données et contrats concernés, activez la procédure interne d’incident, puis laissez le responsable compétent déterminer les destinataires, le contenu et le délai des notifications.
Peut-on récupérer l’argent dépensé lors d’un piratage Google Ads ?
Un remboursement peut être accordé si l’enquête confirme une activité non autorisée. Pour déposer la demande, Google exige que l’espace ait été récupéré, réactivé et protégé par la 2FA. Ce n’est donc ni automatique ni garanti au seul vu d’un débit.
Au 26 juillet 2026, Google annonce 10 à 15 jours ouvrés pour l’enquête de facturation. Un avoir éventuel apparaît comme « ajustement de service » sur la facture mensuelle suivante ; l’ajustement final peut attendre la fin du cycle de facturation.
Avant une opposition bancaire, distinguez deux cas. Pour une activité issue de votre propre espace compromis, utilisez la procédure d’incident et la demande de remboursement. Pour un débit dont vous ne reconnaissez aucun identifiant Google Ads, utilisez d’abord l’outil de dépannage des débits non identifiés, puis coordonnez Google, la banque et la comptabilité. Une opposition portant finalement sur un solde légitime peut créer un impayé et entraîner une suspension.
Liste de contrôle avant incident
- 2FA activée et clé personnelle testée pour chaque accès sensible
- Accès nominatifs, droits minimaux et aucun identifiant partagé
- Deux administrateurs fiables au minimum, davantage si l’approbation multipartite s’applique
- Date d’expiration définie pour chaque prestataire temporaire
- Domaines admis et obligations du gestionnaire revus
- Coordonnées et méthode de récupération de secours testées
- Agent et informations de sécurité arbitrés chaque mois
- Accès, gestionnaires et associations financières rapprochés de la liste interne
- Procédure d’incident testée : responsable, appareil sain, collecte d’indices et formulaire officiel
Sources officielles vérifiées le 26 juillet 2026 : Google Ads sur la protection générale, les clés d’accès, l’approbation multipartite, les obligations de gestion, l’expiration, l’Agent, l’historique, la procédure et le remboursement, les contestations de frais et la mise en veille liée à un gestionnaire. Google détaille aussi la Protection Avancée.
