Dostajesz wiadomość: „Zaproszono Cię do konta reklamowego”. Jest przycisk „Przyjmij”, znajome logo, a czasem nawet prawdziwy adres nadawcy. Wydaje się, że to wykonawca albo współpracownik. W rzeczywistości może to być pułapka: przyjmiesz dostęp albo wpiszesz hasło na fałszywej stronie, a obce osoby zaczną zarządzać Twoją reklamą i pieniędzmi z Twojego rachunku.
Poniżej: jak działa ten schemat, dlaczego „sprawdzenie nadawcy” nie wystarcza, co możesz sprawdzić sam w pięć minut i co robić, jeśli przycisk został już kliknięty. Fakty sprawdzaliśmy w pomocy Google oraz w publikacjach firm z branży cyberbezpieczeństwa i specjalistów od reklamy w październiku 2026 roku. Nazwy pozycji menu bierzemy z pomocy Google w języku polskim; zależnie od wersji interfejsu mogą się nieco różnić.
Jak działa pułapka
Zaproszenie do konta to zwykła funkcja: właściciel daje dostęp innej osobie, a ona dostaje wiadomość. Oszuści wykorzystują ją na dwa sposoby.
Pierwszy: przycisk w wiadomości prowadzi na fałszywą stronę, podobną do logowania w Google. Wpisujesz hasło i trafia ono do oszustów. To właśnie phishing: ktoś nakłania Cię, żebyś sam oddał hasło lub dostęp.
Drugi: naprawdę przyjmujesz zaproszenie i obca osoba zostaje użytkownikiem Twojego konta. Specjalista od reklamy opisywał w listopadzie 2025 roku, że przejęcie konta „menedżerskiego” (tak nazywa się konto, z którego agencja zarządza kilkoma kontami klientów) często zaczyna się właśnie od phishingowego zaproszenia: przycisk „przyjmij” prowadzi na stronę kopiującą logowanie do Google, ale z innym adresem. Potem włamywacze usuwają prawowitego właściciela i zmieniają uprawnienia innych użytkowników.
W kwietniu 2026 roku o nowej fali takich zaproszeń w Google Ads pisały też branżowe serwisy: wiadomości przychodziły z adresów w Gmailu, a linki w nich były podejrzane.
Dlaczego nadawca niczego nie dowodzi
Jest tu sprzeczność i pokażemy obie strony.
W pomocy Google „Zabezpieczanie konta Google Ads” (część o podejrzanych e-mailach i telefonach) napisano: w prawdziwej wiadomości od Google pola „Od” (From) i Return-Path powinny zawierać @google.com lub @ads.google.com, a jeśli link prowadzi nie na google.com, strona prawdopodobnie nie należy do Google. Przeciw grubym podróbkom to działa, a fala z kwietnia 2026 roku właśnie szła z adresów Gmail.
Jest jednak druga strona. Badacze bezpieczeństwa piszą, że oszuści zakładają własne konto i rozsyłają zaproszenia funkcją samej platformy, więc wiadomość przychodzi z prawdziwego adresu serwisu i przechodzi filtry pocztowe. W przypadku Meta jest to potwierdzone świeżo. Według firmy Check Point (listopad 2025) ponad 40 000 phishingowych wiadomości trafiło do ponad 5 000 klientów: szły z prawdziwej domeny facebookmail.com przez funkcję zaproszeń biznesowych, z tematem w rodzaju „Meta Agency Partner Invitation”, a linki prowadziły na strony wyłudzające hasła. Według innej firmy w lipcu 2026 roku Meta podjęła działania i te ataki ucichły.
W przypadku Google obraz jest mniej pewny. Jedno badanie z 2023 roku opisywało zaproszenia przychodzące z prawdziwego adresu Google, ale świeżego potwierdzenia właśnie dla Google nie znaleźliśmy. Dlatego mówimy uczciwie: fałszywe zaproszenia zdarzają się zarówno z cudzych adresów, jak i, według części danych, z prawdziwego, a słowa „zawsze” czy „nigdy” są tu nie na miejscu. Sama pomoc Google o przyjmowaniu zaproszenia mówi tylko, że wiadomość przychodzi, gdy ktoś udostępnia Ci dostęp, i nie wyjaśnia, jak odróżnić prawdziwe zaproszenie od fałszywego.
Wniosek jest prosty: adres nadawcy może odsiać grubą podróbkę, ale nie dowodzi, że wiadomość jest prawdziwa. Patrz nie na to, kto napisał, tylko na to, dokąd prowadzi przycisk.
Co sprawdzić samemu: pięć kroków
1. Nie loguj się z wiadomości. Nie klikaj przycisku i nie wpisuj hasła na stronie, na którą trafiłeś. Według pomocy Google firma nigdy nie wysyła wiadomości z prośbą o podanie hasła ani innych poufnych danych.
2. Otwórz konto sam. Wpisz w przeglądarce ads.google.com (dla reklam na Facebooku i Instagramie — business.facebook.com) albo otwórz je z zakładki. Zwróć uwagę: pomoc Google nie podaje, czy konto pokaże oczekujące zaproszenie. Dlatego to sposób, by nie wchodzić przez wiadomość, a nie gwarancja, że prawdziwe zaproszenie tam się pojawi.
3. Sprawdź, dokąd prowadzi link, nie klikając go. Pomoc Google radzi kliknąć link prawym przyciskiem, wybrać „Kopiuj adres linku” i wkleić go do notatnika. Jeśli adres prowadzi nie na google.com, to nie jest Google. W przypadku wiadomości „od Meta” sprawdzenie jest takie samo: adres powinien prowadzić do usług Meta, a nie na obcą stronę.
4. Nieznajomej osoby nie przyjmuj. Zaprasza ktoś, kogo nie znasz i nie oczekiwałeś? Nie przyjmuj. Specjaliści od bezpieczeństwa dodają surowszą zasadę: zaproszeń do cudzego konta zwykle w ogóle się nie przyjmuje, tylko wysyła je samemu.
5. Do znajomego zadzwoń. Jeśli zaproszenie rzekomo pochodzi od wykonawcy lub współpracownika, nie odpowiadaj na samą wiadomość, tylko skontaktuj się kanałem, który już znasz: zadzwoń albo napisz w komunikatorze. Minuta rozmowy kosztuje mniej niż przejęte konto.
Co robić, jeśli już przyjąłeś zaproszenie lub wpisałeś hasło
Nie zwlekaj, działać trzeba od razu.
- Zmień hasło do konta Google, na które się logowałeś. Według pomocy Google najpierw zabezpiecz konto, a potem zgłoś problem.
- Sprawdź, kto ma dostęp: w koncie Google Ads otwórz menu „Administracja” → „Dostęp i bezpieczeństwo” i obejrzyj listę użytkowników oraz ich „Poziom dostępu”. Nieznanego użytkownika usuwa działanie „Usuń dostęp” w kolumnie „Działania”, a zaproszenie, które jeszcze nie zostało przyjęte, anuluje „Anuluj”.
- Zgłoś sprawę do Google przez formularz dotyczący bezpieczeństwa konta, do którego prowadzi ta sama pomoc.
- Spójrz na wydatki z ostatnich dni. Praktycy uważają za objawy przejęcia wiadomość o nieznanym administratorze, obce konto menedżerskie na liście połączonych i nowe logowania z nieznanych urządzeń. Jeśli wydatki wzrosły bez Twojego udziału, rozważ odpięcie karty płatniczej: praktycy ostrzegają, że nawet to nie zawsze zatrzymuje obciążenia, więc zgłoś się do Google od razu.
W przypadku Meta kolejność jest ta sama: zmień hasło, przejrzyj listę osób i partnerów w ustawieniach firmy i usuń nieznanych. Dokładnych nazw pozycji menu Meta nie potwierdziliśmy w oficjalnej pomocy, więc ich nie podajemy.
Jak zabezpieczyć się z wyprzedzeniem
Klucz dostępu (passkey). To logowanie bez hasła: Google potwierdza Cię odciskiem palca, twarzą lub kodem PIN Twojego urządzenia. Fałszywa strona takiego klucza nie wykradnie. Według wiadomości Google do reklamodawców, cytowanej przez branżowe serwisy, od 15 lipca 2026 roku do części wrażliwych działań w Google Ads (zmiana dostępów użytkowników, łączenie kont) potrzebny jest właśnie klucz dostępu. Źródła wtórne piszą, że nowy klucz może zacząć działać nie od razu: po jednym–dwóch dniach, a dla wrażliwych działań obowiązuje jeszcze siedmiodniowe opóźnienie. Oficjalnych terminów nie znaleźliśmy, więc utwórz klucz wcześniej, a nie w dniu, gdy trzeba nadać dostęp.
Weryfikacja dwuetapowa dla wszystkich. Powinna być na każdym profilu, który ma dostęp do konta, razem z Tobą i Twoim specjalistą od social mediów. Ta zasada tak samo dotyczy Meta Business Manager.
Dwóch administratorów, a nie jeden. Wtedy utrata jednego logowania nie oznacza utraty konta.
Czysta lista użytkowników. Raz w miesiącu otwórz „Dostęp i bezpieczeństwo” i usuń osoby, które już z Tobą nie pracują. Były wykonawca z uprawnieniami administratora to zbędne ryzyko. O tym, co jeszcze powinno być założone na Twój e-mail, pisaliśmy w liście kontrolnej o podłączeniu do strony.
Umowa z wyprzedzeniem. Gdy wykonawca zamierza prosić o dostęp, ustalcie: kto, z jakiego e-maila i kiedy wyśle zaproszenie. Wtedy nieoczekiwana wiadomość od razu staje się sygnałem. W naszej procedurze podłączania nowego klienta jest taki krok: zanim poprosimy o dostęp, prosimy o pokazanie listy użytkowników w „Dostęp i bezpieczeństwo” i sprawdzamy, czy nie ma tam obcych administratorów.
Podsumowanie: pięć pytań do siebie
- Czy spodziewałem się tego zaproszenia od tej osoby?
- Czy otworzyłem konto sam, a nie z wiadomości?
- Dokąd naprawdę prowadzi link: na google.com czy do usług Meta?
- Czy zadzwoniłem do znajomego, który rzekomo zaprosił?
- Czy mam klucz dostępu, weryfikację dwuetapową i czystą listę użytkowników?
Odpowiedź „nie wiem” na pierwsze pytanie to już powód, żeby nie klikać przycisku. Jak prowadzimy reklamę, zobacz w sekcjach reklama w wyszukiwarce i Performance Max.
Chcesz bezpłatny audyt swojej reklamy w Google Ads? Zostaw zgłoszenie: obejrzymy konto, sprawdzimy, kto ma do niego dostęp, i powiemy, co warto zamknąć.