Het korte antwoord: de eerste vijf stappen
- 1. Stop de kosten. Pauzeer campagnes als je nog toegang hebt, en neem contact op met je bank of creditcardmaatschappij over onbekende afschrijvingen.
- 2. Beveilig de persoonlijke accounts. Wijzig de wachtwoorden van je Facebook-profiel én je e-mail, log overal uit en zet tweestapsverificatie aan.
- 3. Ruim de portfolio op. Verwijder onbekende personen, partners en betaalmethoden, en controleer welke advertentieaccounts en pagina's er nog zijn.
- 4. Herstel via Meta zelf. Begin bij facebook.com/hacked, bij voorkeur vanaf een apparaat dat je eerder voor Facebook gebruikte, en daarna via de ondersteuning van Meta Business.
- 5. Leg alles vast. Portfolio-ID, ID's van advertentieaccounts, screenshots van onbekende beheerders en uitgaven, facturen en een tijdlijn. Dat heb je nodig voor Meta en voor je bank.
Hoe het meestal misgaat
Een zakelijke portfolio wordt zelden "rechtstreeks" gekraakt. De aanvaller komt bijna altijd binnen via een persoon met toegang:
- Een gekaapt persoonlijk profiel. Wie beheerder is, geeft met zijn eigen Facebook-account toegang tot de hele portfolio. Is dat profiel overgenomen, dan is de portfolio dat ook.
- Phishing. Nepberichten van "Meta Support" over een schending van het beleid of een geblokkeerd account, met een link naar een nep-inlogpagina.
- Nepadvertenties en browserextensies. Onderzoekers zagen campagnes die zich voordoen als Meta Ads Manager en ondernemers een kwaadaardige browserextensie laten installeren (TechRadar).
- Vergeten toegang. Oud-medewerkers, freelancers of bureaus die nog steeds beheerder zijn, met accounts die je niet meer controleert.
Eerste hulp, stap voor stap
Stap 1: beperk de schade
Kun je nog in je advertentieaccount, pauzeer dan alle campagnes die je niet herkent en verlaag of stop het budget. Neem direct contact op met je bank of creditcardmaatschappij over onbekende afschrijvingen en vraag welk bewijs ze nodig hebben. Blokkeer of vervang de betaalmethode pas als je weet wat de bank verwacht.
Stap 2: beveilig wie toegang heeft
Begin bij de persoonlijke accounts, want daar zit de sleutel. Wijzig het wachtwoord van je e-mail (daarmee kan een aanvaller anders alles terugzetten) en van je Facebook-profiel, log uit op alle apparaten, zet tweestapsverificatie aan en verwijder apps of extensies die je niet kent. Vraag andere beheerders hetzelfde te doen.
Stap 3: ruim de portfolio op
Controleer in je zakelijke instellingen wie er toegang heeft: personen, partners, advertentieaccounts, pagina's en betaalmethoden. Verwijder alles wat je niet herkent en noteer wat je ziet voordat je het verwijdert.
Stap 4: herstel via de officiële routes
Gebruik voor een gehackt profiel facebook.com/hacked, en voor advertentieaccounts en portfolio's de ondersteuning van Meta Business. Pas op voor wie ongevraagd hulp aanbiedt in reacties of berichten: zogenaamde "herstellers" zijn een bekende vervolgoplichting.
Reken niet op snel herstel. Marketeers beschrijven dat het terugkrijgen van een overgenomen zakelijk account bij Meta lang kan duren, soms maanden, en dat niet alle onderdelen altijd terugkomen (NE Times). Daarom is voorkomen zoveel waardevoller dan genezen.
Een typisch scenario (ter illustratie)
Een samengesteld voorbeeld, geen specifieke klantcase.
Een marketingmedewerker krijgt een bericht dat de bedrijfspagina wordt verwijderd wegens een auteursrechtklacht, "tenzij je binnen 24 uur bezwaar maakt". De link leidt naar een pagina die eruitziet als Meta. Na het inloggen neemt de aanvaller het persoonlijke profiel over, voegt een eigen beheerder toe aan de portfolio en start 's nachts campagnes op de gekoppelde creditcard. Pas de volgende ochtend ziet het bedrijf de uitgaven. Tweestapsverificatie met een passkey en een tweede, goed beveiligde beheerder hadden dit vrijwel zeker tegengehouden of snel ingedamd.
Zo voorkom je het
Dit is waar een security-blik het verschil maakt. De meeste maatregelen kosten een middag en voorkomen maanden ellende.
- Maak tweestapsverificatie verplicht voor iedereen. Meta vereist het al voor zakelijke portfolio's van 90 dagen of ouder en raadt aan het voor iedereen met toegang verplicht te maken (Meta Business Help). Voor accounts in portfolio's die adverteren, vraagt Meta bovendien om Advanced Protection: tweestapsverificatie of een passkey (Meta Help).
- Geef bureaus toegang als partner, niet als persoon. Deel advertentieaccounts, pagina's en datasets met de portfolio van je bureau, en houd zelf het eigendom. Zo hoeft niemand van buiten beheerder van jouw portfolio te zijn, en trek je toegang in met één klik.
- Zo min mogelijk beheerders, maar nooit één. Twee of drie goed beveiligde beheerders, de rest met beperkte rollen. Eén beheerder is een risico als die persoon uitvalt; tien beheerders is tien keer zoveel kans op een lek.
- Ruim regelmatig op. Controleer elk kwartaal wie toegang heeft, gebruik het Beveiligingscentrum in je zakelijke instellingen (Meta Business Help), en haal mensen direct weg als ze vertrekken.
- Log nooit in via een link uit een bericht. Echte meldingen van Meta zie je ook in Meta Business Suite zelf. Twijfel je over een verzoek van een collega of bureau, check het via een ander kanaal, zoals een telefoontje.
- Houd je browser schoon. Geen onbekende extensies, en het liefst een apart browserprofiel voor je advertentieaccounts.
Waarom wij hier zo op letten
SASDAMX is opgericht door een cybersecurity-specialist. Als we voor een klant werken, vragen we toegang via partner-toegang, met tweestapsverificatie, en laten we het eigendom van accounts en data bij de klant. Niet omdat het moet, maar omdat een gehackt advertentieaccount alle goede creatie en meting in één nacht teniet kan doen.