Çalınan Meta ve Google Reklam Hesapları Kara Borsada Yüksek Fiyata Satılıyor

Meta Business Manager ve Google Ads hesaplarının ele geçirilmesi, artık sadece anlık bütçe hırsızlığı değil, karmaşık bir suç ekonomisinin ana unsuru haline geldi. Mimecast tarafından yayınlanan veriler, saldırganların bu hesapları sadece içindeki parayı tüketmek için değil, platformların güvenlik mekanizmalarını aşmak için birer araç olarak kullandığını ortaya koyuyor.

Saldırganlar için yeni açılmış bir hesap yerine, uzun süredir aktif olan ve düzenli harcama geçmişi bulunan hesaplar çok daha değerli. Mimecast araştırmacılarına göre, meşru bir harcama geçmişi olan hesaplar, platformların güvenlik kontrollerinden kolayca geçebiliyor. Bu durum, eski ve doğrulanmış hesapların yeraltı pazarında, yeni oluşturulan hesaplara kıyasla 2 ila 4 kat daha yüksek fiyatlarla satılmasına neden oluyor. Zscaler raporları, Meta Business Manager hesaplarının 15 dolar ile 340 dolar arasında değişen fiyatlarla alıcı bulduğunu, Google Ads hesaplarının ise 270 dolara kadar listelendiğini gösteriyor.

Saldırganlar, tespit edilmemek için artık kendi altyapılarını kurmak yerine, e-posta güvenlik araçlarının güven duyduğu platformları kötüye kullanıyor. Tespit edilen kampanyaların yaklaşık üçte biri Salesforce altyapısı üzerinden, dörtte biri ise Google Workspace ve SharePoint bağlantıları aracılığıyla gerçekleştiriliyor. Bu yöntem, saldırganların SPF ve DKIM gibi kimlik doğrulama kontrollerini kolayca geçmesini sağlıyor.

Siber suç faaliyetleri, DuckTail, NodeStealer, VietCredCare ve PXA Stealer gibi Vietnam bağlantılı zararlı yazılım aileleri tarafından yürütülüyor. Brezilya, Portekiz ve Çin merkezli operasyonların da bu ekosistemde aktif olduğu belirtiliyor. 2025 yılının ikinci yarısında 1,86 milyon tespit ile rekor seviyeye ulaşan bu saldırılar, kolluk kuvvetlerinin operasyonlarına rağmen hız kesmiyor. Bir operasyonla ağ çökertildiğinde kısa süreli bir düşüş yaşansa da, faaliyetler kısa sürede eski seviyelerine geri dönüyor.

Bir işletme, reklam hesabının ele geçirildiğini fark edip ödeme yöntemini kapatsa bile, hesabın kontrolünü geri almak aylar sürebiliyor. Saldırganlar, ele geçirdikleri hesaplara kendi yöneticilerini ekleyip asıl sahibinin yetkilerini kısıtlıyor. Platformların mevcut yapıları, bu tür durumlarda hızlı bir kurtarma süreci sunmuyor. Consumer Federation of America tarafından 2026 yılında açılan bir dava, Meta'nın günlük 15 milyar gösterime ulaşan dolandırıcılık reklamlarından yıllık 7 milyar dolar gelir elde ettiğini ve bu geliri kullanıcı güvenliğinin önünde tuttuğunu iddia ediyor.