Google広告のセキュリティ、大丈夫？2段階認証・パスキー・アカウント管理のセルフチェック【2026年版】

Google広告のアカウントが第三者に乗っ取られ、身に覚えのない広告が配信されたり、広告費が不正に使われたりする被害が報じられています。Googleも、重要な変更に別の管理者の承認を必要とする機能や、パスキーによる本人確認など、アカウントを守る仕組みを相次いで強化しています。

とはいえ、日々の運用に追われていると、セキュリティの設定まで見直す機会はなかなかありません。「うちのアカウントは大丈夫だろうか」と気になっている方も多いのではないでしょうか。

この記事では、Google広告の管理画面で確認・設定できるセキュリティ対策を、セルフチェック形式でまとめました。広告主の担当者はもちろん、複数のクライアントのアカウントを預かる代理店の運用担当者にも使っていただける内容です。

結論：確認すべきは「2段階認証」「パスキー」「アカウント管理」の3つ

先に答えから書きます。Google広告のセキュリティ対策で、管理画面から確認できる基本は次の3つです。

いずれも［管理者］メニューの［アクセスとセキュリティ］を中心に確認できます。一度整えておけば、日々の運用の手間はほとんど増えません。

まずはセルフチェック（10項目）

次の10項目のうち、「いいえ」や「わからない」が1つでもあれば、該当する章を確認してください。

2段階認証は設定できていますか？

2段階認証（2段階認証プロセス）は、ログイン時にパスワードに加えて、スマートフォンのアプリなどで本人確認を行う仕組みです。パスワードが漏れても、それだけではログインできなくなります。

Googleは、すべての広告主に2段階認証の利用を強く推奨しています。また、Google広告のサポートに問い合わせる際の本人確認として、2段階認証が求められることもあります。

設定手順

見落としやすい4つのポイント

• 認証の方法は認証アプリを選ぶ。Google認証システムのアプリが推奨されています。SMS（テキストメッセージ）よりも安全です。
• 再設定用の情報を最新にしておく。電話番号などが古いままだと、認証できなくなったときにアカウントへ戻れなくなるおそれがあります。
• 機種変更の前にコードを移行する。認証アプリのコードを新しい端末に移行してから古い端末を手放します。移行しないとロックアウトされるおそれがあります。
• 一度有効にしたら無効化しない。2段階認証の無効化は推奨されていません。

パスキーは設定できていますか？

Google広告では、アカウントのリンクの更新、ユーザーのアクセス権の変更、新規ユーザーの追加、請求先情報の変更といった「機密情報に関する操作」を行う際に、パスキーによる本人確認が求められるようになっています。パスキーが必要になったアカウントには、メールと管理画面の通知で案内が届きます。

パスキーは、端末の画面ロック（顔認証・指紋認証・PIN）を使って本人確認する仕組みです。パスワードと違って盗み見や使い回しの心配がなく、フィッシングにも強いのが特長です。

注意したいのは、パスキーがないと上記の重要な操作ができなくなることです。新しい担当者を追加したいときに作業が止まらないよう、通知が届く前に用意しておくと安心です。

設定手順

設定時の注意点

• パスキーは個人専用。共有は認められていません。代理店は、担当者ごとに個別のアクセス権を付与する必要があります。
• 共有の端末で作らない。自分専用の端末で作成します。シークレットモードでは作成できないことがあります。
• 端末の画面ロックが必要。顔認証・指紋認証・PINのいずれかを設定しておきます。
• 別の端末のパスキーを使う場合は Bluetooth をオンにする。操作するパソコンとパスキーのある端末の両方で Bluetooth をオンにし、近くに置く必要があります。
• Android には制限がある。現時点では、Androidで自動作成されたパスキーやAndroidのブラウザでは、確認を完了できない場合があります。
• SSOを使っていても必要。Oktaなどのシングルサインオンでログインしている場合も、重要な操作の承認にはGoogle広告のパスキーが必要です。

アカウントの管理はできていますか？

2段階認証やパスキーを設定しても、そもそも誰がアクセスできるのかを把握できていなければ、守りに穴が残ります。［管理者］＞［アクセスとセキュリティ］の画面で、次の点を確認しましょう。

ユーザーの一覧を棚卸しする

• 退職者・異動者・取引の終わった代理店や制作会社のユーザーが残っていないか
• 個人のGmailアドレスなど、所属のわからないユーザーがいないか
• 各ユーザーの権限が、業務に必要な範囲になっているか（レポートを見るだけの人は「閲覧のみ」にするなど）

Google広告のアクセス権には、管理者・標準・閲覧のみ・メールのみ・請求などの種類があります。管理者権限は、ユーザーの追加や削除ができる強い権限です。付与する人は必要最小限にとどめましょう。

管理者は社内に2人以上置く

管理者が1人だけだと、その人が退職したりログインできなくなったりしたときに、誰も権限を管理できなくなります。後述の「複数の関係者による承認」も、管理者が1人のアカウントでは機能しません。社内の管理者は、部署の異なる2人以上にしておくのがおすすめです。

あわせて使いたい2つのセキュリティ機能

※ 複数の関係者による承認は、管理者の人数などの条件を満たすアカウントで適用されます。管理者が1人になると一時停止されます。適用条件はGoogle広告ヘルプでご確認ください。

ログイン用のアカウントを共用しない

「広告運用用」のGoogleアカウントを1つ作り、複数人でパスワードを共有して使う運用は避けましょう。誰が操作したのかわからなくなるうえ、パスワードが漏れたときの被害が大きくなります。パスキーも個人専用で、共有は認められていません。アクセスする人ごとに、本人のGoogleアカウントで権限を付与するのが基本です。

リンクしているアカウントを確認する

MCCアカウントや、Googleアナリティクスなどのリンク先も確認しておきましょう。心当たりのないMCCアカウントとリンクしていないか、取引の終わった代理店のMCCが残っていないかを見直します。

不正アクセスが疑われるときは

見覚えのないキャンペーンや広告、ユーザーの追加、急な費用の増加に気づいたら、すぐに次の対応を取ってください。

詳しい対処法は、Google広告アカウントのセキュリティ対策：不正アクセスから守る方法でも解説しています。

よくある質問

Q. 2段階認証を設定していれば、パスキーは不要ですか

役割が違うため、両方の設定をおすすめします。2段階認証は主にログイン時の本人確認です。パスキーは、ユーザーの追加や請求先の変更など、重要な操作をするときの本人確認に使われます。パスキーが求められるアカウントでは、パスキーがないとこれらの操作ができません。

Q. パスキーを作ったのに、すぐに使えません

反映まで時間がかかる仕様です。新しいパスキーがGoogle広告で使えるようになるまで、1〜2日かかります。作成直後は一定期間使えないため、ユーザーの追加などの予定がある場合は、早めに作成しておきましょう。

Q. 代理店に運用を任せています。広告主側では何をすればよいですか

管理者権限を広告主側で持ち、ユーザーの一覧を定期的に確認しましょう。広告主側にも管理者を2人以上置き、代理店の担当者が個人ごとのアカウントでアクセスしているか、取引の終わった会社のユーザーが残っていないかを、四半期に一度などのタイミングで確認するのがおすすめです。

Q. 管理者が1人しかいない状態で、その人がログインできなくなりました

まずは、リンクしているMCCアカウント（代理店など）に管理者権限を持つ人がいないかを確認します。いない場合は、Google広告のサポートに相談してください。こうした事態を防ぐためにも、管理者は2人以上にしておくことが大切です。

まとめ

Google広告のセキュリティ対策は、2段階認証でログインを守る、パスキーで重要な操作を守る、アカウント管理で入口そのものを絞る、の3つが基本です。どれも管理画面から設定でき、一度整えておけば日々の運用の手間はほとんど増えません。

まずは冒頭のセルフチェック10項目で、自社のアカウントの状態を確認してみてください。「わからない」が多かった場合は、ユーザーの一覧の棚卸しから始めるのがおすすめです。誰がアクセスできるかがわかれば、2段階認証やパスキーの設定状況も確認しやすくなります。

※本記事の内容は2026年10月時点のGoogle広告ヘルプの公開情報をもとにしています。
Google広告の管理画面や機能の提供状況は変更されることがあるため、最新の情報はGoogle広告ヘルプをご確認ください。