Conta de ads comprometida: senha, extensão e laptop — o rito

O incidente clássico da agência de publicidade quase nunca chega como filme de hacker. Chega como gasto que o time não fez, extensão que ninguém instalou, gestor que clicou no e-mail do “Ads Manager”, notebook do plantão que sumiu no Uber. Senha, extensão, laptop: três portas, um rito. Revogar. Rotacionar. Guardar prova. Só depois discutir criativo e apelação.

Este texto é o roteiro de acesso. Não é o roteiro de conta desativada por política. Restrição de anúncio e conta tomada são eixos diferentes. Misturar os dois no Slack vira BM gêmea e zero contenção.

Classifique o eixo em quinze minutos

Antes de abrir dez abas, diga o que aconteceu.

Credencial. Senha vazada, 2FA no grupo, phishing, convite aceito por engano, ex-colaborador ainda dentro.

Máquina. Malware, extensão estranha, cookie roubado, laptop perdido ou roubado, USB do “suporte”.

Insider ou erro. Pessoa certa, ação errada: export, convite amplo, publicação na conta vizinha. Não é invasor. Ainda é incidente.

Plataforma. Restrição, checkpoint, pagamento. Não trate como comprometimento se não houver sinal de acesso estranho. Trate no procedimento de restrição.

Sinais de comprometimento de verdade: dono não consegue logar; campanhas que o time não criou; destinos de pixel novos; usuários novos na BM; gasto em horário e geo que o roteiro não prevê; extensão com nome de proxy ou de “otimizador” fora da lista.

Na dúvida entre restrição e comprometimento, preserve evidência e revogue sessão. Revogar sessão de gente legítima custa um relogin. Deixar atacante dentro custa a conta.

Minuto a minuto: contenção, não heroísmo

Uma pessoa conduz. Não um grupo de vinte no WhatsApp. As outras executam recortes.

1. Tire a máquina suspeita da operação. Laptop do plantão, Chrome da casa, VM. Não continue “só olhando” no mesmo processo. Olhar é sessão.

2. Revogue sessões nas plataformas. BM, MCC, e-mail, Shopify, seller. Invalide cookie. Troque senha. Troque 2FA. Se o 2FA estava no telefone da pessoa ou no grupo, saia desse modelo no mesmo dia. Cofre da operação, não SMS no WhatsApp.

3. Revogue pessoas. Convites novos e antigos. Ex-freelancer. Agência anterior. Usuário “backup” com Gmail. Cada um é porta.

4. Revogue ferramentas. Extensão, app conectado, API, relatório com OAuth. Token no Notion conta como ferramenta.

5. Congele gasto se houver anomalia. Pausa com dono e log. Não é o mesmo rito de “quem autoriza pausa de performance”. É contenção.

6. Preserve. Horário, prints da lista de usuários, lista de extensões, logs de abertura de perfil, e-mail de phishing. Não apague o histórico para “limpar”. Limpar evidência é o segundo incidente.

7. Comunique o recorte. Cliente se a conta é dele. Jurídico se há dado. Plataforma pelos canais oficiais, sem mentir o eixo.

Ninguém nasce conta nova nesse bloco. Ninguém cola proxy novo “para despistar”. Ninguém manda a senha nova no mesmo grupo onde a antiga vazou.

Senha: o vetor que o grupo ainda ama

Senha de BM no WhatsApp, no Notion, no card do Trello, no e-mail “segue acesso”. Comprometimento aqui é estatística, não sofisticação.

Contenção extra: trate o grupo como vazado. Todos os acessos que passaram por ele entram na rotação. Não só o da conta que “deu problema”. O print antigo continua no celular de quem já saiu.

Prevenção que cabe no procedimento: convite com papel; cofre no browser da operação. Lauth Pass guarda senha e 2FA no perfil, não no grupo. Isso reduz o raio da próxima vez. Não desfaz o convite que o atacante já aceitou. Por isso revogação vem primeiro.

2FA no SMS do diretor é o outro clássico. No incidente, o SMS é interceptável e o diretor está em reunião. Mude o fator. Hardware ou app no cofre da operação, com recuperação escrita fora do WhatsApp.

Extensão e malware: o perfil que deixou de ser perfil

Extensão nova com nome genérico. Proxy que não é o da ficha. “Otimizador de ads”. Tema de Chrome. Qualquer coisa que pede permissão de ler dados de todos os sites.

Trate o perfil como sujo. Não “desliga a extensão e segue”. Cookie pode ter saído. Sessão pode estar clonada.

Rito: isolar a máquina — ver o recorte de malware em máquina de mídia. Recriar o perfil de navegação da identidade depois da máquina limpa, não copiar cookie do perfil sujo. Cookie de perfil comprometido é o ovo do incidente. Importar é reinfetar.

Agência que compartilha perfil entre pessoas: todas as pessoas que abriram aquele perfil no período entram no recorte de revogação. O log de abertura existe para isso. Sem log, o recorte vira “o time inteiro”, o que é caro e ainda assim incompleto.

Laptop perdido, BYOD e o plantão

Notebook no Uber, na casa, no escritório do cliente. Disco sem cifra. Chrome com sessão de produção. Senha lembrada no navegador pessoal.

Contenção: revogar sessões como se a máquina estivesse nas mãos de alguém que vai abrir o Ads. Porque pode estar. Não espere o Uber devolver.

Depois: inventário do que estava na máquina. Se o inventário não existe, o incidente revela a falha anterior. Perfil deveria viver no sistema da operação, não só no Chrome local. Saída de gente e IR se encontram aqui. O texto de offboarding do gestor é o rito de pessoa. Este é o rito de credencial. Os dois revogam. Os dois atualizam dono.

BYOD: o incidente no computador da casa mistura banco pessoal e BM de cliente. A agência não formata o PC da pessoa por conta própria. Isola as contas da agência. Exige troca de senhas pessoais que tenham colado. Oferece máquina corporativa da próxima vez. Política de BYOD escrita depois do incidente ainda é melhor do que nunca.

O que não fazer no calor

Não clonar BM. Não mentir na apelação que o problema foi “o browser”. Não publicar senha nova no Slack do cliente. Não acusar o estagiário no grupo geral antes da ficha. Não formatar o disco. Não ligar para o “suporte” do e-mail de phishing. Não misturar contenção com otimização de campanha.

Não tratar restrição de criativo como hack. O inverso também: não tratar gasto anômalo como “a plataforma bugou” sem olhar usuários novos.

Cultura sem caça às bruxas no pós: o postmortem muda o procedimento. Senha no grupo, extensão livre, BYOD sem perfil. Punir a pessoa e manter o grupo de senha garante o próximo incidente.

Comunicação: fato, eixo, limite

Interno, em canal restrito: o que sabemos, o que não sabemos, quem conduz, próximo horário de update. Sem plateia.

Cliente: a conta X teve acesso indevido ou suspeito; já revogamos A, B e C; campanhas Y foram pausadas; não prometemos restauração de verba; próximo contato em Z horas. Jurídico lê antes se houver lista de clientes ou pixel no meio.

Plataforma: canal oficial. Eixo de comprometimento. Sem narrativa de laboratório. Sem pedido de exceção teatral.

Imprensa e rede social: em geral, não. Conta de ads comprometida não é story. Exceção para vazamento amplo de dado, com jurídico.

Recuperação e o perfil novo de verdade

Quando as sessões antigas estão mortas e a máquina está limpa, a identidade de anúncio continua a mesma — se o titular é o mesmo. Recuperação é recuperar o acesso legítimo. Não é fingir anunciante novo.

Perfil de navegação novo, vazio, proxy da ficha, teste de vazamento, login, 2FA no cofre. Cookie velho não entra. Extensão só da lista. Papéis reconstruídos do inventário, não da memória. Log do IR anexado à ficha da identidade.

Se a plataforma manteve a restrição, isso pode ser política, pagamento ou reputação de conta. IR de credencial não zera ToS. Separe os eixos na reunião de amanhã.

Exercício que o time deveria fazer antes

Uma vez por semestre: simular laptop perdido ou senha no grupo. Medir tempo até revogar BM, MCC e perfil. Medir se o log existe. Medir se o 2FA estava no WhatsApp. O número que importa não é o ROAS da semana. É o tempo com a porta aberta.

Agência que nunca ensaiou vai ensaiar no domingo, com o cliente no telefone. O roteiro cabe numa página. Dono do IR, lista de revogação, onde está o cofre, quem fala com o cliente. Sem isso, o herói improvisa. Improviso é como a senha foi parar no grupo.

Papéis no incidente: um conduz, os outros executam

Sem papéis, vinte pessoas no chat e zero revogação.

Condutor. Uma pessoa. Decide a ordem. Não precisa ser o head. Precisa estar acordada. Troca de condutor no meio só se o primeiro for o vetor — laptop dele, phishing nele.

Ops de acesso. Revoga sessão, senha, 2FA, convite, perfil. Mãos no sistema. Não debate criativo.

Comunicação. Cliente, interno, jurídico. Um rascunho, um canal. O condutor não escreve o e-mail enquanto revoga.

Máquina. TI ou a pessoa que segura o laptop. Isola máquina, lista extensão, não formata.

Quem protege o rito. Head que segura o comercial que quer “voltar no ar agora” com BM nova.

Na agência pequena, a mesma pessoa empilha dois papéis. Não empilha todos. Condutor e comunicação juntos ainda vai. Condutor e “nasce uma conta” não vai.

As primeiras 24 horas, em blocos

Hora 0–1: classificar eixo, isolar máquina, revogar sessão das identidades tocadas. Lista escrita do que foi tocado. Se a lista é “talvez o parque”, priorize produção com gasto.

Hora 1–3: 2FA novo, usuários novos na BM, apps conectados, tokens. Cruzar com o histórico de abertura de perfil. Quem abriu nas últimas 48 horas entra na entrevista curta: o que clicou, qual e-mail, qual extensão.

Hora 3–8: comunicar recorte. Preservar evidência. Pausar gasto anômalo. Não otimizar campanha “já que estamos aqui”.

Hora 8–24: máquina limpa ou substituída. Decisão de recriar perfil de navegação. Não importar cookie sujo. Reconstruir papéis do inventário. Atualizar o cliente com o que mudou desde o primeiro aviso.

Depois de 24h: se a plataforma ainda restringe, o eixo pode ser outro. Não force IR de credencial para sempre. Troque de roteiro. Postmortem com data, não “quando o CPC voltar”.

Depois: o procedimento que o incidente merecia

Todo IR que não muda o procedimento vai se repetir. Senha ainda no grupo? Extensão ainda livre? BYOD ainda sem perfil? 2FA ainda no SMS do diretor? Escreva a mudança. Dono. Prazo. Verificação no exercício semestral.

O comercial quer a lição “foi um hacker sofisticado”. Às vezes foi. Na maioria, foi o grupo, o Notion, o Chrome da casa. A lição honesta dói e funciona. A lição de filme acalma o cliente e mantém a porta aberta.

Fornecedor, agência e o IR compartilhado

Se o vetor foi a agência, o anunciante conduz a comunicação da marca e a agência conduz a revogação no recorte dela. Contrato deveria dizer quem é condutor. Sem cláusula, os dois mandam e-mail e nenhum revoga o OAuth.

Se o vetor foi ferramenta — extensão, app conectado, relatório com token —, trate o vendor como sessão. Revogue o app. Rotacione. Abra ticket com o fornecedor pedindo log do horário, não controle remoto no perfil de produção.

Se o vetor foi ex-colaborador, o IR e a saída da pessoa são o mesmo rito atrasado. Complete os dois. Não escolha só a senha da BM e deixe o perfil de navegação vivo no notebook que ele levou.

Na prática brasileira, o incidente mais comum ainda é senha no grupo e extensão “de produtividade”. O roteiro acima não precisa de SOC. Precisa de uma pessoa acordada, uma lista de revogação e a disciplina de não nascer BM no calor. O resto é conversa. Conversa sem revogação é teatro.