Вам приходить лист: «Вас запрошено в рекламний кабінет». Є кнопка «Прийняти», знайомий логотип, а інколи навіть справжня адреса відправника. Здається, що це підрядник або колега. Насправді це може бути пастка: приймете доступ або введете пароль на фальшивій сторінці, і чужі люди керуватимуть вашою рекламою та грошима з вашого рахунку.
Нижче: як ця схема працює, чому «подивитися на відправника» не рятує, що перевірити самому за п’ять хвилин і що робити, якщо кнопку вже натиснули. Ми звіряли факти з довідкою Google і публікаціями компаній із кібербезпеки та спеціалістів з реклами в жовтні 2026 року. Назви пунктів меню беремо з довідки Google українською; залежно від версії інтерфейсу вони можуть трохи відрізнятися.
Як працює пастка
Запрошення в кабінет — звичайна функція: власник дає доступ іншій людині, і їй надходить лист. Шахраї користуються нею двома способами.
Перший: кнопка в листі веде на підроблену сторінку, схожу на вхід у Google. Ви вводите пароль, і він потрапляє до шахраїв. Це і є фішинг: вас змушують самих віддати пароль або доступ.
Другий: ви справді приймаєте запрошення, і чужа людина стає користувачем вашого кабінету. Спеціаліст із реклами описував у листопаді 2025 року, що злам «менеджерського» акаунта (так називають кабінет, з якого агенція керує кількома кабінетами клієнтів) часто починається саме з фішингового запрошення: кнопка «прийняти» веде на сторінку, яка копіює вхід у Google, але має іншу адресу. Далі зловмисники прибирають законного власника й змінюють права інших користувачів.
У квітні 2026 року про нову хвилю таких запрошень у Google Ads писали й галузеві новини: листи приходили з адрес на Gmail, а посилання в них були підозрілі.
Чому відправник — не доказ
Тут є суперечність, і ми покажемо обидві сторони.
У довідці Google «Як захистити обліковий запис Google Ads» (розділ про підозрілі листи й виклики) написано: у справжньому листі від Google поля «Від» (From) і Return-Path мають містити @google.com або @ads.google.com, а якщо посилання веде не на google.com, сторінка, імовірно, не належить Google. Проти грубих підробок це працює, і хвиля квітня 2026 року якраз була з Gmail-адрес.
Але є й інша сторона. Дослідники безпеки пишуть, що шахраї створюють власний кабінет і розсилають запрошення функцією самої платформи, тому лист приходить зі справжньої адреси сервісу й проходить поштові фільтри. Для Meta це підтверджено свіжо. За даними компанії Check Point (листопад 2025), понад 40 000 фішингових листів отримали понад 5 000 клієнтів: листи йшли зі справжнього домену facebookmail.com через функцію бізнес-запрошень, під темою на кшталт «Meta Agency Partner Invitation», а посилання вели на сторінки збору паролів. За даними іншої компанії, у липні 2026 року Meta вжила заходів, і ці атаки вщухли.
Для Google ситуація менш певна. Одне дослідження 2023 року описувало запрошення, що надходили зі справжньої адреси Google, але свіжого підтвердження саме для Google ми не знайшли. Тому чесно кажемо так: фальшиві запрошення бувають і з чужих адрес, і, за деякими даними, зі справжньої, а слова «завжди» чи «ніколи» тут недоречні. Сама довідка Google про прийняття запрошення розповідає лише, що лист надходить, коли хтось надає вам доступ, і не пояснює, як відрізнити справжнє запрошення від фальшивого.
Висновок простий: адреса відправника може відсіяти грубу підробку, але не може довести, що лист справжній. Дивіться не на того, хто написав, а на те, куди веде кнопка.
Що перевірити самому: п’ять кроків
1. Не входьте з листа. Не натискайте кнопку й не вводьте пароль на сторінці, на яку вона привела. За довідкою Google, компанія ніколи не надсилає листів із проханням ввести пароль чи інші конфіденційні дані.
2. Відкрийте кабінет самі. Введіть у браузері ads.google.com (для реклами у Facebook та Instagram — business.facebook.com) або відкрийте його із закладки. Зверніть увагу: довідка Google не пише, чи покаже кабінет очікуване запрошення. Тому це спосіб не йти через лист, а не гарантія, що справжнє запрошення там з’явиться.
3. Подивіться, куди веде посилання, не натискаючи. Довідка Google радить клацнути посилання правою кнопкою, вибрати «Копіювати адресу посилання» і вставити її в блокнот. Якщо адреса веде не на google.com, це не Google. Для листа «від Meta» перевірка така сама: адреса має вести на сервіси Meta, а не на сторонній сайт.
4. Незнайому людину не приймайте. Запрошує той, кого ви не знаєте й не чекали? Не приймайте. Практики безпеки додають жорсткіше правило: запрошення в чужий кабінет зазвичай не приймають узагалі, а надсилають самі.
5. Знайомому зателефонуйте. Якщо запрошення нібито від підрядника чи колеги, не відповідайте на сам лист, а зв’яжіться через канал, який ви вже знаєте: подзвоніть чи напишіть у месенджер. Одна хвилина розмови дешевша за зламаний кабінет.
Що робити, якщо вже прийняли або ввели пароль
Не відкладайте, діяти треба одразу.
- Змініть пароль від Google-акаунта, у який ви входили. За довідкою Google, спершу захистіть акаунт, а потім повідомляйте про проблему.
- Перегляньте, хто має доступ: у кабінеті Google Ads відкрийте меню «Адміністратор» → «Доступ і безпека» і подивіться список користувачів та їхній «Рівень доступу». Незнайомого користувача прибирає дія «Скасувати доступ» у стовпці «Дії», а запрошення, яке ще не прийняте, скасовує «Відкликати».
- Повідомте Google через форму для зламаного облікового запису, на яку веде та сама довідка.
- Погляньте на витрати за останні дні. Практики вважають ознаками злому лист про невідомого адміністратора, чужий менеджерський акаунт у списку зв’язаних і нові входи з незнайомих пристроїв. Якщо витрати зросли без вашої участі, подумайте, чи не відв’язати платіжну картку: практики застерігають, що навіть це не завжди зупиняє списання, тому звертайтеся до Google одразу.
Для Meta порядок той самий: змініть пароль, перегляньте список людей і партнерів у бізнес-налаштуваннях та приберіть незнайомих. Точних назв пунктів меню Meta ми з офіційної довідки не підтвердили, тому не наводимо їх.
Як захиститися наперед
Ключ доступу (passkey). Це вхід без пароля: Google підтверджує вас відбитком, обличчям чи PIN-кодом вашого пристрою. Фальшива сторінка такий ключ не вкраде. За листом Google рекламодавцям, який цитують галузеві видання, з 15 липня 2026 року для частини чутливих дій у Google Ads (зміна доступів користувачів, зв’язування кабінетів) потрібен саме ключ доступу. Вторинні джерела пишуть, що новий ключ може запрацювати не одразу: від одного-двох днів, а для чутливих дій діє ще й семиденна затримка. Офіційних термінів ми не знайшли, тож створіть ключ заздалегідь, а не в день, коли треба видати доступ.
Двоетапна перевірка для всіх. Вона має бути на кожному профілі, який має доступ до кабінету, включно з вами і вашим SMM-спеціалістом. Це правило однаково стосується й Meta Business Manager.
Два адміністратори, а не один. Тоді втрата одного входу не означає втрату кабінету.
Чистий список користувачів. Раз на місяць відкрийте «Доступ і безпека» й приберіть тих, хто вже не працює з вами. Колишній підрядник із правами адміністратора — це зайвий ризик. Про те, що ще має бути заведено на вашу пошту, ми писали в чек-листі про підключення до сайту.
Домовленість наперед. Коли підрядник збирається просити доступ, домовтеся: хто, з якої пошти й коли надішле запрошення. Тоді несподіваний лист одразу стає сигналом. У нашому порядку підключення нового клієнта є такий крок: перш ніж просити доступ, ми просимо показати список користувачів у «Доступ і безпека» і дивимося, чи немає там сторонніх адміністраторів.
Підсумок: п’ять запитань собі
- Чи чекав я цього запрошення від цієї людини?
- Чи відкрив я кабінет сам, а не з листа?
- Куди насправді веде посилання: на google.com чи на сервіси Meta?
- Чи подзвонив я знайомому, який нібито запросив?
- Чи є в мене ключ доступу, двоетапна перевірка й чистий список користувачів?
Відповідь «не знаю» на перше запитання вже причина не натискати кнопку. Як ми ведемо рекламу, дивіться в розділах пошукова реклама та Performance Max.
Хочете безкоштовний аудит вашої реклами у Google Ads? Залиште заявку: подивимося ваш кабінет, перевіримо, хто має до нього доступ, і скажемо, що варто закрити.