【Facebook】知らない間に「広告主」に追加されている?不正な権限付与の点検と解除方法

ステルス侵入の兆候を見逃さない。広告権限の不正付与という『見えない足跡』を検知し、排除する技術

Facebookアカウントが完全に奪取されていなくても、攻撃者が特定の「広告アカウント」の権限だけをあなたに付与したり、逆にあなたを彼らのビジネスアカウントの「広告主」として勝手に追加したりすることがあります。これは一見無害に思えるかもしれませんが、技術的には非常に危険な予兆です。
攻撃者はあなたの信頼スコア(アカウントの健全性)を悪用してスパム広告を配信したり、あなたの登録済みの決済手段を密かに共有アセットとして利用しようと画策しています。本記事では、Meta Business Suiteの奥深くに設定された「不正な権限」を洗い出し、それらを物理的に解除(Deprovisioning)するための技術的プロトコルを詳説します。

—

1. 技術仕様:広告権限の「多層構造」と攻撃の狙い

Metaの広告システムは、個人アカウント( $U_{personal}$ )とビジネス資産( $A_{business}$ )が多対多の形式で紐付く「ロールベースアクセス制御(RBAC)」を採用しています。

なぜ勝手に「追加」されるのか?

・招待メールのバイパス:攻撃者があなたのメールアカウントに既に侵入している場合、Metaからの「ビジネスへの招待メール」を勝手に承認し、証拠のメールを削除することで、あなたが気づかないうちに権限を確立します。
・広告主ロール(Advertiser Role)の悪用:広告主権限は、支払い設定の変更はできませんが、既存の決済手段を使って「広告を作成・配信」することが可能です。攻撃者はあなたのアカウントの『クリーンな履歴』を盾にして、Facebookの審査を潜り抜けるスパム広告を配信( Ad Farming )しようとします。
・アナリスト権限による情報収集:アナリストとして追加されることで、あなたのビジネスの顧客層データやパフォーマンスデータを合法的に窃取されるリスク( Data Exfiltration )があります。

—

2. 実践:不正な権限を特定・解除する「監査」フロー

通常のFacebook設定画面ではなく、広告専用の管理画面でしか見えない設定を掘り起こします。

手順①:広告アカウントの「役割」の点検

1. ブラウザで 広告マネージャーの設定(Ad Account Settings) にアクセスします。
2. 左側のメニューから「広告アカウント」を選択し、ドロップダウンメニューから「自分が属しているすべての広告アカウント」を一つずつチェックします。
3. 「広告アカウントの役割」セクションに、自分を追加した不審な名前や、自分が意図せず属しているアカウントがあれば、「×」ボタン(権限の削除) をクリックします。

手順②:ビジネスアカウントからの脱退

1. [ビジネス設定] > [ユーザー] > [ピープル] を開きます。
2. 自分が「ゲスト」や「従業員」として追加されているビジネスアカウントのリストが表示されます。
3. 心当たりのない組織名があれば、その組織の詳細画面から 「自分を削除」 または 「退会」 を実行します。

—

3. 応用:不審な「支払い設定」の二次被害を防ぐ技術

権限を消すだけでは不十分です。金銭的な「紐付け」が残っていないかを確認します。

共有決済アセットの隔離

・支払い情報の確認:[支払い設定] を開き、見覚えのないクレジットカードや PayPal アカウントが登録されていないか点検してください。攻撃者が自分のカードを登録し、あなたのアカウントを「ダミーの請求先」として利用している場合、後でアカウント停止( Policy Ban )の連鎖に巻き込まれるリスクがあります。
・クレジット限度額の確認:広告アカウントの「支払い限度額」が勝手に変更されていないか、また「未決済の広告費」がないかを確認します。もし不正な請求が発生していれば、前述の「広告アカウント乗っ取り」のプロトコルに従い、Metaへ即座に通報します。

—

4. 深掘り:通知の「サイレント化」設定を解除する

攻撃者が権限を付与した際、あなたに通知が飛ばないよう設定を書き換えていることがあります。

・通知設定の再監査:[設定] > [お知らせ] > [広告] セクションを確認してください。「広告アカウントの役割の変更」や「広告の掲載開始」といった通知がオフ(無効)にされている場合、それは攻撃者が痕跡を消そうとした( Log Tampering )決定的な証拠です。これらをすべてオンに戻し、リアルタイムで異変を察知できるようにします。

—

5. エンジニアの知恵:『ビジネスアセット』の最小特権運用

ITエンジニアが推奨する、身に覚えのない権限付与を物理的に防ぐ設計思想です。

・二段階認証(2FA)の「ビジネスレベル」適用:個人アカウントだけでなく、自分が管理するビジネスマネージャーの設定で「二段階認証を全員に必須にする」をオンにします。これにより、攻撃者が誰か一人の権限を盗んであなたを勝手に追加しようとしても、2FAの壁に阻まれるようになります。
・定期的な「権限マトリクス」の作成:四半期に一度、自分が「どのビジネスの、どの権限を持っているか」をメモ( Asset Mapping )しておく習慣をつけましょう。これがあれば、新しく追加された「知らない権限」を瞬時に見分け( Diff Analysis )、初動を早めることができます。

まとめ:広告権限・ビジネス所属の点検チェックリスト

「知らないうちに広告主になっている」という状況は、アカウントが本格的に乗っ取られる前の『静かなる侵食』です。攻撃者はあなたの背後で着々とスパム配信の準備を進めています。この段階で不審な権限や所属を物理的に解除し、通知設定を正常化することで、大規模な不正請求やアカウント停止という致命的な被害を未然に防ぐことができます。Meta Business Suiteの複雑な設定構造を逆手に取られないよう、定期的な「権限の棚卸し」を鉄壁の防衛ルーチンとして組み込みましょう。