Вам приходит письмо: «Вас пригласили в рекламный кабинет». Есть кнопка «Принять», знакомый логотип, а иногда даже настоящий адрес отправителя. Кажется, что это подрядчик или коллега. На самом деле это может быть ловушка: примете доступ или введёте пароль на фальшивой странице, и чужие люди начнут управлять вашей рекламой и деньгами с вашего счёта.
Ниже: как работает эта схема, почему «посмотреть на отправителя» не спасает, что проверить самому за пять минут и что делать, если кнопку уже нажали. Факты мы сверяли со справкой Google и публикациями компаний по кибербезопасности и специалистов по рекламе в октябре 2026 года. Названия пунктов меню берём из справки Google на русском; в зависимости от версии интерфейса они могут немного отличаться.
Как работает ловушка
Приглашение в кабинет — обычная функция: владелец даёт доступ другому человеку, и тому приходит письмо. Мошенники пользуются ею двумя способами.
Первый: кнопка в письме ведёт на поддельную страницу, похожую на вход в Google. Вы вводите пароль, и он попадает к мошенникам. Это и есть фишинг: вас заставляют самих отдать пароль или доступ.
Второй: вы действительно принимаете приглашение, и чужой человек становится пользователем вашего кабинета. Специалист по рекламе описывал в ноябре 2025 года, что взлом «менеджерского» аккаунта (так называют кабинет, из которого агентство управляет несколькими кабинетами клиентов) часто начинается именно с фишингового приглашения: кнопка «принять» ведёт на страницу, которая копирует вход в Google, но имеет другой адрес. Дальше злоумышленники убирают законного владельца и меняют права других пользователей.
В апреле 2026 года о новой волне таких приглашений в Google Ads писали и отраслевые новости: письма приходили с адресов на Gmail, а ссылки в них были подозрительными.
Почему отправитель — не доказательство
Здесь есть противоречие, и мы покажем обе стороны.
В справке Google «Как защитить аккаунт Google Рекламы» (раздел о подозрительных письмах и звонках) написано: в настоящем письме от Google поля «От» (From) и Return-Path должны содержать @google.com или @ads.google.com, а если ссылка ведёт не на google.com, страница, вероятно, не принадлежит Google. Против грубых подделок это работает, и волна апреля 2026 года как раз была с Gmail-адресов.
Но есть и другая сторона. Исследователи безопасности пишут, что мошенники создают собственный кабинет и рассылают приглашения функцией самой платформы, поэтому письмо приходит с настоящего адреса сервиса и проходит почтовые фильтры. Для Meta это подтверждено свежо. По данным компании Check Point (ноябрь 2025), более 40 000 фишинговых писем получили более 5 000 клиентов: письма шли с настоящего домена facebookmail.com через функцию бизнес-приглашений, с темой вроде «Meta Agency Partner Invitation», а ссылки вели на страницы сбора паролей. По данным другой компании, в июле 2026 года Meta приняла меры, и эти атаки утихли.
Для Google ситуация менее определённая. Одно исследование 2023 года описывало приглашения, приходившие с настоящего адреса Google, но свежего подтверждения именно для Google мы не нашли. Поэтому честно говорим так: фальшивые приглашения бывают и с чужих адресов, и, по некоторым данным, с настоящего, а слова «всегда» или «никогда» здесь неуместны. Сама справка Google о принятии приглашения лишь рассказывает, что письмо приходит, когда кто-то предоставляет вам доступ, и не объясняет, как отличить настоящее приглашение от фальшивого.
Вывод простой: адрес отправителя может отсеять грубую подделку, но не может доказать, что письмо настоящее. Смотрите не на того, кто написал, а на то, куда ведёт кнопка.
Что проверить самому: пять шагов
1. Не входите из письма. Не нажимайте кнопку и не вводите пароль на странице, на которую она привела. По справке Google, компания никогда не присылает писем с просьбой ввести пароль или другие конфиденциальные данные.
2. Откройте кабинет сами. Введите в браузере ads.google.com (для рекламы в Facebook и Instagram — business.facebook.com) или откройте его из закладки. Обратите внимание: справка Google не пишет, покажет ли кабинет ожидаемое приглашение. Поэтому это способ не идти через письмо, а не гарантия, что настоящее приглашение там появится.
3. Посмотрите, куда ведёт ссылка, не нажимая. Справка Google советует щёлкнуть по ссылке правой кнопкой, выбрать «Скопировать адрес ссылки» и вставить его в блокнот. Если адрес ведёт не на google.com, это не Google. Для письма «от Meta» проверка та же: адрес должен вести на сервисы Meta, а не на сторонний сайт.
4. Незнакомого человека не принимайте. Приглашает тот, кого вы не знаете и не ждали? Не принимайте. Специалисты по безопасности добавляют более жёсткое правило: приглашения в чужой кабинет обычно не принимают вообще, а отправляют сами.
5. Знакомому позвоните. Если приглашение якобы от подрядчика или коллеги, не отвечайте на само письмо, а свяжитесь через канал, который вы уже знаете: позвоните или напишите в мессенджер. Минута разговора дешевле взломанного кабинета.
Что делать, если уже приняли или ввели пароль
Не откладывайте, действовать нужно сразу.
- Смените пароль от Google-аккаунта, в который вы входили. По справке Google, сначала защитите аккаунт, а потом сообщайте о проблеме.
- Посмотрите, у кого есть доступ: в кабинете Google Ads откройте меню «Администратор» → «Доступ и безопасность» и посмотрите список пользователей и их «Уровень доступа». Незнакомого пользователя убирает действие «Закрыть доступ» в столбце «Действия», а ещё не принятое приглашение отменяет «Отменить».
- Сообщите в Google через форму для взломанной учётной записи, на которую ведёт та же справка.
- Посмотрите на расходы за последние дни. Практики считают признаками взлома письмо о неизвестном администраторе, чужой менеджерский аккаунт в списке связанных и новые входы с незнакомых устройств. Если расходы выросли без вашего участия, подумайте, не отвязать ли платёжную карту: практики предупреждают, что даже это не всегда останавливает списания, поэтому обращайтесь в Google сразу.
Для Meta порядок тот же: смените пароль, просмотрите список людей и партнёров в бизнес-настройках и уберите незнакомых. Точных названий пунктов меню Meta мы по официальной справке не подтвердили, поэтому не приводим их.
Как защититься заранее
Ключ доступа (passkey). Это вход без пароля: Google подтверждает вас отпечатком, лицом или PIN-кодом вашего устройства. Фальшивая страница такой ключ не украдёт. По письму Google рекламодателям, которое цитируют отраслевые издания, с 15 июля 2026 года для части чувствительных действий в Google Ads (изменение доступов пользователей, связывание кабинетов) нужен именно ключ доступа. Вторичные источники пишут, что новый ключ может заработать не сразу: от одного-двух дней, а для чувствительных действий действует ещё и семидневная задержка. Официальных сроков мы не нашли, так что создайте ключ заранее, а не в день, когда нужно выдать доступ.
Двухэтапная проверка для всех. Она должна быть на каждом профиле, у которого есть доступ к кабинету, включая вас и вашего SMM-специалиста. Это правило одинаково относится и к Meta Business Manager.
Два администратора, а не один. Тогда потеря одного входа не означает потерю кабинета.
Чистый список пользователей. Раз в месяц открывайте «Доступ и безопасность» и убирайте тех, кто уже не работает с вами. Бывший подрядчик с правами администратора — лишний риск. О том, что ещё должно быть заведено на вашу почту, мы писали в чек-листе о подключении к сайту.
Договорённость заранее. Когда подрядчик собирается просить доступ, договоритесь: кто, с какой почты и когда отправит приглашение. Тогда неожиданное письмо сразу становится сигналом. В нашем порядке подключения нового клиента есть такой шаг: прежде чем просить доступ, мы просим показать список пользователей в «Доступ и безопасность» и смотрим, нет ли там посторонних администраторов.
Итог: пять вопросов себе
- Ждал ли я это приглашение от этого человека?
- Открыл ли я кабинет сам, а не из письма?
- Куда на самом деле ведёт ссылка: на google.com или на сервисы Meta?
- Позвонил ли я знакомому, который якобы пригласил?
- Есть ли у меня ключ доступа, двухэтапная проверка и чистый список пользователей?
Ответ «не знаю» на первый вопрос уже причина не нажимать кнопку. Как мы ведём рекламу, смотрите в разделах поисковая реклама и Performance Max.
Хотите бесплатный аудит вашей рекламы в Google Ads? Оставьте заявку: посмотрим ваш кабинет, проверим, у кого есть к нему доступ, и скажем, что стоит закрыть.