La publicidad digital se ha convertido en una herramienta imprescindible para empresas de todos los tamaños, pero también en un objetivo cada vez más atractivo para los ciberdelincuentes. En las últimas semanas, la pregunta de si te han hackeado la cuenta publicitaria se ha convertido en algo tristemente habitual, con múltiples casos de fraude en Google Ads y Meta Ads, que han expuesto cómo accesos indebidos y configuraciones maliciosas pueden desviar grandes presupuestos sin que el anunciante lo detecte a tiempo. Por eso he creado esta guía sobre el fraude en Google y Meta Ads para comprender cómo operan estos ataques es clave para prevenir pérdidas y proteger la reputación de las marcas.
Introducción: la alarma del hackeo que no para de crecer
El hackeo de las cuentas publicitarias siempre ha sido un quebradero de cabeza para los especialistas SEM, pero si bien es cierto que gracias a la doble autenticación, estos peligros parecían que se habían reducido de forma drástica en los últimos años.
Pero en 2025 y sobretodo en 2026, el incremento de la actividad de los ciberdelincuentes que buscan quebrar la seguridad de las cuentas publicitarias de agencias y particulares, para invertir grandes presupuestos en cortos espacios de tiempos, se han convertido en un problema fundamental para agencias, anunciantes y plataformas publicitarias, que a día de hoy todavía no han sabido resolver exitosamente.
¿Qué tipo de fraude se está produciendo?
Existen muchos tipos de fraudes relacionados con las cuentas de publicidad en Meta y Google Ads, los principales son:
- Acceso no autorizado a cuentas publicitarias: en muchos casos existen accesos antiguos de individuos a tus cuentas publicitarias que ya no pertenecen a la organización. cuanto antes los elimines, mayor seguridad para tus cuentas.
- Gastos en campañas que el anunciante no creó: el anunciante entra en sus cuentas y se encuentra con campañas de publicidad o grupos de anuncios que él no ha creado.
- Clics falsos o tráfico automatizado: otro de los problemas que más problemas generan, Google los tiene bastante controlados, aunque en algunas ocasiones, como en campañas de Display, o en ciertos sectores, como en el caso de los cerrajeros, el problema se ha ido complicando.
- Suplantación de marcas o promoción de estafas: otro problema grave, sobre todo para las grandes empresas o multinacionales, que pueden ver cómo utilizan sus logos y marcas para anunciarse sin consentimiento.
- Cambios en métodos de pago o facturación: los cambios en métodos de pago también pueden suponer quebraderos de cabeza y posibles problemas de suplantación de identidad.
- Manipulación de segmentaciones y audiencias: en el caso de las audiencias y segmentaciones que estemos aplicando, también es importante chequearlas, sobretodo por el sistema nos puede estar anunciando en emplazamientos poco viables o inadecuados.
Cómo operan los hackers en Google y Meta Ads
El cerco a la seguridad digital ya lleva siendo un problema desde hace años, ya que los delincuentes cada vez afinan más sus métodos para engañar e intentar robarnos, sobretodo sino estamos pendientes de cualquier problema que pueda haber.
En mi caso, en el año 2024, estuve a punto de caer en el timo de las tarjetas de Amazon, ya que recibí un email de mi jefe en que me solicitaba comprar 4 tarjetas en un estanco, y que luego me reintegrarían el dinero.
Justamente ese día, mi superior estaba de vacaciones, por lo que me pareció algo factible, pero gracias a la ayuda de la vendedora del estanco, que me recomendó llamar por teléfono a mi jefe, para cerciorarme de que era cierto.
¿Cómo es el “modus operandi” habitual de estos ciberdelincuentes?
- Phishing dirigido a responsables de marketing.
- Robo de credenciales o sesiones activas.
- Malware o extensiones maliciosas.
- Compra de accesos en mercados clandestinos.
- Escalado de privilegios dentro de tu Business Manager para Meta Ads o las cuentas MCC de Google Ads.
Las razones por las qué Google Ads y Meta Ads son objetivos tan atractivos:
- Manejan dinero directamente: ya que están vinculadas a métodos de pago que normalmente no tienen límite de gasto diario.
- Permiten lanzar campañas en minutos: facilidad de lanzar campañas gracias al editor de Google Ads o de otras herramientas para el caso de Meta.
- Tienen alcance global: existen millones de cuentas, muchas de ellas con protocolos de seguridad bajos o casi nulos.
- La detección puede tardar horas o varios días: este es el grave problema, si el responsable está de vacaciones, no entra de forma diaria en las cuentas, o justamente le pilla de fin de semana.
Consecuencias para empresas y anunciantes
Los principales problemas a los que tenemos que hacer frente empresas y anunciantes cuando la seguridad se ha visto dañada son:
- Pérdidas económicas inmediatas.
- Interrupción de campañas legítimas.
- Posibles problemas legales o reputacionales.
- Tiempo y recursos invertidos en recuperar la cuenta.
- Pérdida de confianza en la publicidad digital por parte de nuestros clientes.
Hay que tener en cuenta que tanto las pymes como los autónomos suelen ser los más vulnerables, porque sus conocimientos sobre la privacidad y seguridad de Meta y Google Ads es más reducida.
Respuesta de las plataformas
Los principales problemas que nos encontramos es la respuesta de estas plataformas publicitarias, que son lentas para la resolución de cualquier tipo de problema. Si carecemos de un account de Google o Meta que nos ayude a escalar el caso con el departamento correspondiente, el proceso de devolución del dinero hackeado, se puede demorar meses. En el caso de un fraude de este tipo puede eternizarse y ver como nuestra paciencia se consume, ya que tenemos que abrir decenas de tickets para intentar que nos hagan caso y nos ayuden a:
- Sistemas automatizados de detección del fraude.
- Procesos de soporte y recuperación.
- Reembolsos ágiles (cuando se conceden).
- Dificultad para contactar con soporte humano.
- Cuentas bloqueadas durante largos períodos de tiempo, dificultando poder volver a anunciarse.
Primeros pasos para resolver el hackeo
Lo fundamental es detener cuanto antes a los hackers, y que pierdan cuanto antes el acceso a tus cuentas publicitarias.
Denunciar la cuenta hackeada ante Google Ads y también en Meta Ads lo más pronto posible es esencial para ir resolviendo este grave problema.
Los pasos más sencillos e inmediatos que debemos realizar son los siguientes:
- Bloquear accesos y cambiar contraseñas: tan pronto como seamos conscientes del ataque del hacker, bloquear accesos tan pronto como podamos y cambiar las contraseñas, para prevenir que sigan con el acceso o puedan incluso echarnos de las cuentas.
- Contactar con soporte de la plataforma: abrir un ticket con la plataforma y explicar toda la casuística que se ha producido, para que puedan investigar y darnos una solución lo más rápido posible.
- Documentar cargos y campañas fraudulentas: tener toda la información posible sobre el caso del hackeo, tanto en forma de pantallazos como en documentación, para poder adjuntarlo cuando nos lo soliciten.
- Revisar métodos de pago: chequear si los medios de pago se han visto comprometidos, contactándo con nuestra entidad bancaria, para que puedan bloquear los metodfos de pago si es necesario
- Analizar el origen del acceso: proceder a analizar cual ha sido el problema que ha ocasionado el ataque del ciberdelincuente.
El impacto del ataque: tiempo y dinero
- Velocidad de ejecución: Los atacantes aprovechan el “punto ciego” (noches y festivos) para consumir presupuestos masivos en pocas horas.
- Parálisis operativa: El anunciante pierde el control de sus cuentas durante semanas mientras dura la investigación.
- Bloqueo preventivo: Incluso si recuperas el acceso, Google suele suspender la inversión legítima como medida cautelar, deteniendo tu negocio por completo.
Mecánica del fraude: El anuncio impostor
El proceso es una trampa de ingeniería social muy efectiva, y que hemos podido encontrar en las últimas semanas:
- Suplantación: Los hackers publican anuncios que imitan perfectamente el acceso a Google Ads o Merchant Center.
- Captura: El usuario busca “Google Ads login”, hace click en el anuncio falso y llega a una réplica exacta de la página de Google.
- Compromiso total: Al introducir credenciales y el código 2FA, el atacante obtiene acceso inmediato y legítimo a la cuenta.
¿Te ayudo para mejorar la protección de tus cuentas de Google Ads y Meta para prevenir estos ataques?
Solicita una consultoría desde aquí
Vulnerabilidades según el método de pago
- Pagos Automáticos (Tarjeta): El riesgo es menor debido a los “umbrales de pago”, que actúan como un cortafuegos natural ante cargos masivos.
- Facturación Mensual (Línea de Crédito): Es el escenario de mayor riesgo. Al no haber límites inmediatos, el gasto puede alcanzar cientos de miles de euros en pocas horas.
Nota sobre el reembolso: Aunque Google y Meta pueden devolver el dinero objeto del fraude, el cliente debe abonar la factura primero. Esto puede generar una crisis de liquidez devastadora para cualquier empresa.
Cómo pueden protegerse los anunciantes
Existen muchas formas de prevenir estos ataques de hackeos de las cuentas publicitarias, nos centraremos primero en los más sencillos y fácilmente aplicables por todos los implicados en la gestión publicitaria de la organización:
- Acceso seguro: Evita entrar a Google Ads a través de enlaces en correos o anuncios; utiliza siempre el marcador oficial o escribe la URL directamente.
- Autenticación reforzada: Implementa el doble factor de autenticación (2FA) en todas las cuentas, priorizando el uso de llaves de seguridad físicas como el método más robusto.
- Auditoría de permisos: Realiza revisiones periódicas de los accesos en el MCC para asegurar que solo el personal autorizado tenga control.
- Monitoreo proactivo: Establece alertas de presupuesto vinculadas a correos personales para detectar anomalías fuera de la jornada laboral.
Conclusiones si has sido víctima y te han hackeado tu cuenta publicitaria
Nadie es inmune: agencias, desarrolladores y particulares estamos en el punto de mira. El phishing evoluciona a un ritmo vertiginoso impulsado por su alta rentabilidad, lo que hace que las medidas de seguridad actuales queden obsoletas en cuestión de meses.
Más información acerca de si te han hackeado tu cuenta en Google y Meta Ads. Guía para evitar el fraude en tus cuentas publicitarias
Si alguien ha hackeado tu cuenta o la está utilizando sin tu permiso
Solucionar problemas con actividades no reconocidas en la cuenta publicitaria
Decálogo de Seguridad en Redes Sociales
Qué hacer si se hackeó su cuenta
