Cette défense en couches est le cœur de ce que signifie gérer et sécuriser son compte Google Ads au quotidien.
Pourquoi votre compte Google Ads est-il une cible ?
Des campagnes de phishing ciblent spécifiquement les agences, les experts Google Ads et les détenteurs de MCC.
Les prises de contrôle d’administrateurs sont devenues particulièrement dévastatrices : une fois les identifiants obtenus, les attaquants ajoutent des profils malveillants et lancent des campagnes frauduleuses à gros budget.
Ces dépenses frauduleuses ne doivent pas être confondues avec les ajustements classiques pour clics invalides. Savoir lire sa facture Google Ads aide à repérer une anomalie après coup, mais ce n’est pas un garde-fou.
Le MCC est une cible de choix précisément parce qu’il chapeaute plusieurs clients : un seul login compromis peut faire des dégâts démultipliés, et c’est tout l’enjeu de bien structurer l’administration de votre compte Google Ads en amont.
Ce n’est pas un risque théorique à traiter “quand on aura le temps”. C’est un risque financier concret, rapide, qui vise particulièrement les profils ayant accès à plusieurs comptes.
Pourquoi la 2FA seule ne suffit pas
La 2FA protège les identifiants, pas ce qui se passe après
Le réflexe juste est d’activer la double authentification (2FA), c’est nécessaire mais insuffisant, et c’est le point que beaucoup d’équipes sous-estiment. La 2FA protège vos identifiants : elle exige un second facteur au-delà du mot de passe, ce qui bloque une grande partie des tentatives.
Mais un phishing sophistiqué peut la contourner (en interceptant le second facteur en temps réel, par exemple). Et si la 2FA saute sans autre couche, l’attaquant a les pleins pouvoirs.
D’où le principe directeur : la sécurité tient à des couches complémentaires, pas à un verrou unique. La 2FA n’est pas toute votre sécurité, c’est sa première couche. La question utile est : si cette couche ne suffit pas, qu’est-ce qui limite encore l’accès au budget ?
Passkeys Google Ads : au-dessus de la 2FA, pas à côté
Les passkeys ne sont pas un second facteur de plus, elles remplacent le mot de passe lui-même par une clé biométrique ou un PIN lié à votre appareil. Pas de mot de passe à hameçonner, pas de code TOTP à intercepter en temps réel.
Ce que les passkeys changent concrètement par rapport à la 2FA classique :
- Elles bloquent le phishing à la source, pas seulement au niveau du second facteur.
- Elles renforcent surtout l’accès au compte Google lié à Google Ads, ce qui réduit le risque d’identifiants volés ou réutilisés.
- Une passkey est liée à un appareil, elle ne peut pas être partagée entre plusieurs personnes : mécaniquement, ça renforce le moindre privilège.
- Délai à anticiper : après la création ou la modification de moyens de sécurité, certaines opérations sensibles peuvent être temporairement limitées. Configurez vos passkeys en dehors des périodes critiques.
Dans l’ordre de robustesse, une passkey bien configurée protège mieux qu’un code SMS ou TOTP exposé au phishing en temps réel. La hiérarchie pratique reste simple : passkey > TOTP > SMS.
| Couche | Ce qu’elle protège | Vecteur bloqué | Limite résiduelle |
|---|---|---|---|
| 2FA (SMS / TOTP) | Identifiants au login | Attaque sans second facteur | Phishing en temps réel (man-in-the-middle) |
| Passkey (biométrie / PIN device) | Accès au compte Google lié | Phishing, credential stuffing | Accès physique à l’appareil lié |
| Multi-party approval | Actions critiques post-login | Attaquant déjà authentifié | Nécessite un second admin disponible |
Approbations et garde-fous pour les actions sensibles
Le multi-party approval (approbation multi-parties), lorsqu’il est disponible dans votre environnement, ajoute une validation indépendante pour certaines actions sensibles. L’intérêt est clair : si un accès passe malgré la 2FA, l’attaquant ne doit pas pouvoir modifier seul les accès ou les éléments critiques.
Ce type de garde-fou ne remplace pas la 2FA. Il intervient après : la 2FA limite l’entrée, les approbations et règles de sécurité limitent ce qui peut être fait une fois connecté.
Sur un MCC ou un compte sensible, vérifiez donc les options réellement disponibles : exigences de sécurité du compte administrateur, validation en deux étapes obligatoire, restriction des domaines autorisés pour les invitations, programme de protection avancée pour les profils à haut risque, et approbation multi-parties si votre configuration la propose. C’est précisément sur ce type de compte administrateur MCC à protéger qu’un seul accès compromis peut exposer plusieurs portefeuilles clients.
Les autres couches, et le facteur humain
Le reste de l’empilement repose sur des gestes simples, mais rarement tenus dans la durée.
Le moindre privilège : moins il y a d’admins, plus petite est la surface d’attaque. Il faut pourtant garder une continuité opérationnelle : au moins deux administrateurs fiables, puis des droits Standard, Lecture seule ou Facturation selon le rôle réel. Tout se joue dans la façon de gérer les accès au plus juste.
L’email de récupération à jour : c’est un élément important si vous devez reprendre le contrôle du compte Google. Un email de récupération obsolète ou inaccessible complique fortement la procédure.
L’Advanced Protection (clés de sécurité matérielles) pour les profils à haut risque : le niveau au-dessus, qui rend le phishing du second facteur beaucoup plus difficile.
Et le facteur qui sous-tend tout : le vecteur dominant est humain, c’est le phishing. Deux règles en découlent.
Évitez les identifiants partagés : accordez des accès nominatifs, car un login partagé contourne vos couches de défense. Méfiez-vous aussi des liens d’accès non vérifiés : les demandes frauduleuses imitent très bien les vraies.
Côté gouvernance, un manager non conforme ou compromis peut exposer les comptes auxquels il est lié. D’où l’importance d’auditer la conformité des gestionnaires auxquels on est rattaché, surtout en agence ou en sous-traitance.
- La menace est active : prises de contrôle de comptes, campagnes frauduleuses, accès ajoutés sans contrôle.
- La 2FA est indispensable, mais elle doit être complétée par des accès nominatifs et des droits limités.
- Les passkeys et clés de sécurité réduisent fortement le risque lié aux mots de passe et au phishing.
- Les exigences de sécurité du MCC, les domaines autorisés et les approbations disponibles doivent être vérifiés côté compte administrateur.
- Un gestionnaire non conforme ou compromis peut exposer les comptes liés à des restrictions ou à des actions indésirables.
Surveiller la dette de sécurité en continu
L’interface Google Ads et les comptes Google peuvent faire remonter des signaux de sécurité, des alertes ou des recommandations selon la configuration du compte. Le point important n’est pas le nom du module : c’est de traiter ces signaux comme une dette opérationnelle, pas comme une notification secondaire.
Ce qu’une revue de sécurité doit chercher concrètement :
- Côté compte Google : appareils inconnus, activité inhabituelle, méthodes de récupération obsolètes.
- Côté Google Ads : profils avec des droits admin peu ou pas utilisés, à rétrograder quand l’usage ne justifie pas l’administration.
- Les accès inactifs qui restent ouverts : une surface d'attaque souvent ignorée.
- Les recommandations de sécurité ou alertes qui signalent un réglage à corriger.
Cette revue pointe souvent sur des accès que vous avez oublié de fermer : consultez la gestion fine des niveaux d'accès utilisateurs pour agir proprement.
Comment détecter une compromission avant le désastre : les signaux d'alerte
La prévention ne suffit pas. Il faut aussi savoir repérer une compromission tôt. Voici les signaux concrets.
Les signaux à surveiller en priorité
Un compte Google Ads en cours de compromission peut envoyer des signaux avant que les dépenses ne dérapent. À surveiller :
- E-mail inattendu d'ajout d'un nouveau profil ou d'un nouveau compte admin.
- Invitation de gestionnaire (MCC) non sollicitée ou rattachement que vous ne reconnaissez pas.
- Changement du mode de paiement ou de l'adresse de facturation.
- Pics de dépenses anormaux, souvent la nuit ou le week-end quand personne ne surveille, une anomalie visible sur la facture Google Ads.
- Création de nouvelles campagnes ou groupes d'annonces que vous ne reconnaissez pas.
- Alertes de connexion depuis un appareil ou un pays inconnu.
- Changement du domaine de destination dans les URL finales.
Activer les alertes e-mail et consulter le journal des changements
Deux réflexes à avoir immédiatement :
Activez les notifications disponibles pour les changements d'accès dans Admin > Accès et sécurité > Notifications. Selon les réglages, elles peuvent faire remonter l’ajout d’un profil ou une modification d’accès.
Consultez le journal des changements (Outils > Modifications) : c'est la première chose à ouvrir si vous suspectez une intrusion. Il aide à reconstituer les campagnes créées, les budgets changés, les profils ajoutés et les dates de modification.
Mon compte Google Ads a été piraté : que faire dans les premières heures ?
Un compte compromis demande une réponse dans l'ordre, sans panique mais sans délai. Voici le plan des premières heures.
H0 : couper l'accès immédiatement
- Changer le mot de passe du compte Google associé, depuis un appareil sain, pas celui que vous suspectez compromis.
- Révoquer tous les accès non reconnus dans Admin > Accès et sécurité > Utilisateurs : supprimer les admins inconnus.
- Déconnecter les managers MCC non identifiés : dans Admin > Accès et sécurité > Gestionnaires, coupez tout rattachement que vous ne reconnaissez pas.
- Suspendre les diffusions actives pour stopper les dépenses frauduleuses en cours.
H1-H12 : signaler, nettoyer, renforcer
- Signaler l’incident à l’assistance Google Ads pour ouvrir l’enquête sur le compte compromis.
- Ouvrir un ticket support en précisant l'heure approximative, les changements observés et les accès inconnus.
- Auditer le journal des modifications (Outils > Modifications) pour reconstituer l'intrusion : campagnes créées, budgets changés, profils ajoutés.
- Supprimer les campagnes et les composants ajoutés par l'attaquant.
- Activer la 2FA et une passkey sur tous les accès admin restants, si ce n'était pas fait.
- Vérifier l'email de récupération et les appareils de confiance associés au compte Google.
- Prévenir les clients affectés si vous gérez leurs comptes en agence ou en freelance, c'est une question de confiance autant que de conformité.
Peut-on récupérer l'argent dépensé lors d'un piratage Google Ads ?
Oui, sous conditions, et ce n'est ni automatique ni garanti.
Google peut étudier le remboursement des dépenses frauduleuses une fois son enquête interne terminée. Ce n'est ni automatique ni immédiat : il faut signaler l’incident, coopérer avec l'enquête et montrer que les mesures de sécurité du compte ont été traitées sérieusement.
Si Google refuse ou tarde, voyez avec votre banque et votre comptabilité quels recours existent sur les prélèvements. C'est une piste à manier avec prudence, car elle peut ajouter des délais, des frictions et des conséquences sur le compte.
La nuance qui compte : même si Google rembourse une partie des dépenses frauduleuses, l’arrêt ou la limitation des diffusions peut faire perdre du trafic légitime. C’est l’argument le plus concret pour investir dans la prévention : 2FA, passkeys, droits limités, domaines autorisés, revue des gestionnaires liés et approbations supplémentaires quand elles sont disponibles.
La suite à décider
Empilez les couches, ne vous fiez pas à une seule. Rendez la 2FA obligatoire dans vos règles internes pour tous les admins et managers : la base, pas le sommet. Ajoutez passkeys ou clés de sécurité pour les profils sensibles.
Appliquez le moindre privilège, gardez l’email de récupération à jour, limitez les invitations aux domaines autorisés quand c’est pertinent, et vérifiez les options de sécurité disponibles sur vos MCC et comptes sensibles.
La sécurité d’un compte Google Ads n’est pas un verrou qu’on pose une fois : c’est une revue régulière des accès, des gestionnaires liés et des signaux de sécurité.
- 2FA activée sur tous les comptes admins et managers
- Passkeys ou clés de sécurité pour les profils à haut risque
- Nombre d’admins limité, avec au moins deux personnes fiables pour la continuité
- Email de récupération à jour et accessible
- Aucun identifiant partagé : accès uniquement nominatifs
- Gestionnaires liés et exigences de sécurité MCC audités régulièrement
