Come mettere in sicurezza un account Meta: 5 controlli da fare oggi

Perché oggi un account Meta è più esposto rispetto a qualche anno fa

Faccio un piccolo passo indietro per inquadrare bene il problema.

Meta come piattaforma ha sempre cercato di migliorare la sicurezza negli ultimi anni: ha introdotto il Security Center dentro il Business Manager, ruoli granulari per gli accessi alle ads, possibilità di forzare la 2FA per tutti gli admin di una BM. Strumenti che anni fa non c’erano. Quindi non è che “Meta protegge meno”, anzi.

Quello che è cambiato è altro, e ha a che fare con come si è evoluta la struttura stessa di un account business in relazione anche a come si è evoluto il settore:

• Più punti di ingresso: profili Facebook personali, account Instagram Professional, partner esterni, integrazioni third-party (CRM, automation, dashboard). Ogni canale è una porta in più alla fine.
• Differenti Identities: anche compromettere un IG personale di un collaboratore può creare danni sugli asset collegati a un BM.
• Phishing più mirato: i tentativi di phishing negli anni sono diventati sempre più sofisticati e non sono spesso mail generiche ma anche DM finti da “Meta Support”, falsi messaggi su violazioni di policy, falsi inviti come admin di pagina. Sono cuciti su misura.
• Crescita dell’IA: con l’evoluzione dei modelli IA le barriere di ingresso per sviluppare software sono diventate sempre più basse e ciò vuol dire che letteralmente chiunque, senza competenze da sviluppatore né consapevolezza di come gestire i token di sicurezza, può collegare app Meta per automatizzare alcuni aspetti del proprio lavoro. Immagina un token attraverso cui un dev può autorizzare operazioni di scrittura sui tuoi account. Basta un’app, anche fuori dal tuo BM, per farlo.

In altre parole: gli strumenti per proteggersi ci sono e sono migliori di prima, ma anche l’onere di configurarli correttamente. E in più ci sono più cose da configurare.

La cosa che mi ha colpito di più dei casi che ho visto è che spesso il “buco” non è sofisticato. Non si tratta di hacker geniali con macchinoni dedicati. Si tratta di account vecchi, abbandonati, con password mai cambiate, o anche con piccole accortezze che non sono mai state applicate.

Vediamo ora il tutto.

Attiva l’autenticazione a due fattori (su tutto, davvero)

Lo so, lo dicono in tutte le guide del mondo. Ma onestamente, per essere una cosa così basilare, è incredibile quante persone non l’abbiano ancora attivata sui punti giusti.

Il “punti giusti” è la parte che si sottovaluta sempre. La 2FA va attivata su:

• Il tuo profilo Facebook personale (è da lì che si entra al Business Manager).
• Tutti i profili Instagram collegati al tuo business, non solo quello principale.
• Tutti gli admin del Business Manager, non solo te.
• Anche i collaboratori con permessi sulle ads, non solo gli admin: chi può toccare le campagne deve avere la 2FA, punto.

E soprattutto: usa un’app authenticator (Google Authenticator, Authy, 1Password) o una passkey con accesso biometrico, non l’SMS. Gli SMS sono intercettabili con tecniche di SIM swap.

Su Meta puoi verificare la 2FA andando in Account Center > Password e sicurezza > Autenticazione a due fattori.

Fai un audit degli accessi a Business Manager e ad account

Questo è il passaggio che, a mio avviso, fa la differenza più grande di tutti.

Apri il tuo Business Manager, vai su Utenti, e scorri queste sezioni.

Persone: chi sono gli utenti aggiunti come admin/employee? Riconosci tutti i nomi? Ci sono ex collaboratori, ex agenzie, ex stagisti? Persone che non lavorano più con te? La regola d’oro è “fuori tutti”.

Partner: questa è la sezione più delicata, perché un partner non è un singolo utente bensì un’altra azienda con i suoi admin. Se hai dato accesso “in partnership” a un’agenzia 2 anni fa e poi avete chiuso il rapporto, quell’agenzia tecnicamente potrebbe ancora avere accesso ai tuoi asset (e ai loro admin nessuno glielo va a togliere).

Controllare però gli utenti del BM non è sufficiente. Vanno controllate anche le pagine

Pagine: chi sono gli admin delle tue pagine Facebook? E delle pagine Instagram collegate?

Per ogni accesso fatti tre domande:

1. Questa persona/agenzia lavora ancora con me?
2. Ha bisogno di questo livello di permessi per fare quello che deve fare?
3. Se domani perdesse il telefono, mi metterebbe in difficoltà?

Se anche una sola risposta è “non lo so”, agisci di conseguenza. Riduci i permessi, rimuovi l’accesso, o quantomeno chiedi una conferma diretta a quella persona.

Questo audit va fatto regolarmente su ogni Business Manager e in generale su ogni mix di properties. Non per paranoia, ma perché le situazioni possono cambiare: un freelance entra ed esce, un’agenzia partner viene cambiata, un dipendente lascia. Senza un controllo periodico ti ritrovi un BM con 40 utenti dei quali ne riconosci 12 e questo può rappresentare un problema a lungo termine.

Ricordi ad esempio quando accennavamo all’app Meta che con token può accedere agli account potenzialmente senza controllo? Ecco, una persona con accesso in modifica all’account pubblicitario può fare tutto questo senza che tu te ne accorga. Assicurati che tutti coloro che hanno accesso all’ad account siano persone fidate e assicurati soprattutto che mantengano totale sicurezza dei loro account.

Attenzione: è importante anche verificare la presenza di più admin all’interno del BM. Immagina di essere il singolo admin di un BM ed essere privati del profilo personale: che succede al BM? Si spera nell’assistenza per recuperarlo? Non lo dico per esagerazione, è successo davvero ad un ex cliente che conosco.

Distingui i ruoli: partner esterni vs singoli utenti

Questo è uno degli errori più subdoli che vedo.

Quando hai un’agenzia che ti gestisce le ads, non aggiungerla come “utente” del tuo Business Manager. Aggiungila come partner, condividendo gli asset (ad account, pagina, catalogo, pixel) tramite la sezione Partner del Business Settings.

La differenza pratica è enorme:

• Come utente: aggiungi una persona specifica con il suo profilo Facebook personale. Se quella persona lascia l’agenzia, il suo accesso resta. E se il suo Facebook viene compromesso, sei nei guai tu.
• Come partner: condividi con la BM dell’agenzia. La gestione dei singoli utenti dell’agenzia è in capo a loro. Se cambi agenzia, revochi la partnership e in un click hai chiuso tutti gli accessi (anche quelli di persone di cui magari non sapevi nemmeno l’esistenza).

Per i freelance il discorso può essere diverso magari. Se è un singolo che lavora con te ogni giorno, puoi anche aggiungerlo come utente diretto – ma con il minimo permesso necessario per fare il suo lavoro. Un copywriter non ha bisogno di essere admin del Business. Un video editor non ha bisogno di accedere all’ad account. Quasi sempre un ruolo di sola visualizzazione delle performance, o di gestione campagne senza touch sui pagamenti, basta e avanza.

Mai e poi mai dare il login del tuo profilo personale a un collaboratore (succede ancora, e mi viene il mal di pancia ogni volta che lo sento). E mai aggiungere come admin del Business qualcuno che non ti rende conto direttamente.

Sembrano cavolate ma diminuiscono sensibilmente il rischio di perdere asset.

Controlla i profili Instagram collegati alle tue ads

Negli ultimi anni Meta ha reso sempre più accessibile la possibilità di pubblicare e gestire ads dai profili Instagram Professional collegati a una pagina Facebook business.

Lato strategia di prodotto è una direzione coerente (abbassa la barriera per chi vuole boostare un post dall’app), ma ha un effetto collaterale.

Ogni profilo IG che è (o è stato) collegato in qualche modo alla tua infrastruttura advertising adesso è un potenziale punto di accesso al tuo budget.

E qui arriva il problema. Profili IG vecchi, magari aperti anni fa quando avevi appena lanciato il brand, magari di un ex stagista che ha “boostato qualche post per provare”, restano collegati. La password di quel profilo è probabilmente “BrandName2019”.

Cosa fare, nel concreto:

• Vai sulla tua pagina Facebook > Impostazioni > Account Instagram collegati (oppure dal Business Manager nella sezione Account). Verifica quali profili IG sono effettivamente collegati.
• Per ogni profilo IG aziendale o collegato al business, attiva la 2FA con app authenticator e cambia la password.
• Se ci sono profili IG vecchi, di test, di ex collaboratori, disconnettili. Se non servono più, considera anche di chiuderli del tutto.
• Verifica nelle impostazioni del Business Manager quali account Instagram sono effettivamente “tuoi” (cioè acquisiti dal Business) e quali invece sono “ospiti” (collegati ma non controllati direttamente da te).

Questo controllo è semplice ma utile per verificare se ci sono potenziali situazioni di sicurezza che vanno gestite.

Imposta una routine di controllo (e le notifiche giuste)

Tutti i punti sopra valgono se li fai oggi. Ma valgono ancora di più se li fai con costanza.

Quello che consiglio di mettere in piedi è una routine semplice ma sistematica:

• Ogni mese: 5 minuti di audit su Business Settings > Persone e Partner. Riconosci tutti? Ok, vai avanti. Trovi qualcosa di strano? Indaga. Aggiungi controllo degli utenti attivi per verificare gli accessi di ognuno (dalla sezione Utenti).
• Ogni evento “trigger”: fine collaborazione con un freelance, cambio agenzia, dipendente che lascia > audit immediato. Le 2 settimane in cui un ex collaboratore arrabbiato ha ancora accessi sono le 2 settimane più rischiose della vita del tuo ad account (meglio non provare per credere, alla fine va ricordato che la fortuna è cieca ma la sfortuna ci vede più che bene).

E poi attiva tutte le notifiche di sicurezza che Meta mette a disposizione (da BM > Notifications): email per nuovi login, push per accessi da dispositivi non riconosciuti, alert per modifiche ai metodi di pagamento.

Non risolveranno il problema da sole, ma ti danno un margine di reazione che fa la differenza tra “scopro un’anomalia in 2 minuti” e “scopro un’anomalia tra una settimana, quando il danno è potenzialmente fatto”.

Esempio: un hacker riesce a bucare il sistema e entra sull’account, e modifica i budget delle campagne (sembra surreale, ma succede). Se scopri subito grazie alla notifica un accesso non autorizzato, anche se non dovessi avere il tempo di buttarlo fuori, ti accorgeresti comunque del problema nel tempo utile a bloccare le carte di pagamento.

Bonus 1: leggere i log per accorgersi di un problema (anche se non sei tecnico)

Le notifiche ti avvisano quando succede qualcosa di evidente: login da un paese strano, cambio di un metodo di pagamento. Ma molte intrusioni iniziano con segnali più sottili: un permesso aggiunto che pensi di aver fatto tu ma non te lo ricordi, una piccola modifica al budget di una campagna, un partner attivato “in silenzio”. Per essere al corrente di tutto questo servono i log.

Ce ne sono tanti dentro l’ecosistema Meta, ma per chi non è tecnico ne basta tenere d’occhio tre. Sono accessibili da interfaccia.

Cronologia attività dell’ad account (Ads Manager)

Questo è IL log da controllare se sospetti che qualcuno abbia toccato le tue campagne.

Come arrivarci: vai in Ads Manager, seleziona una campagna (o un ad set, o un ad), apri il pannello laterale a destra e clicca su “Cronologia attività”. Vedrai una riga per ogni modifica fatta – chi l’ha fatta, quando, e cosa è cambiato.

Cose a cui prestare attenzione:

• Modifiche al budget fuori dalle ore di lavoro (tipo un budget raddoppiato alle 03:47 di domenica).
• Nuove audience aggiunte da utenti che non riconosci.
• Campagne nuove che non hai pubblicato tu.
• Modifiche al pixel o ai metodi di pagamento.

Se vedi qualcosa che non torna, è quasi sempre il primo campanello d’allarme.

Questo processo è automatizzabile anche via API, ma chiaramente in quel caso serve un minimo di conoscenza tecnica.

Storico attività del Business Manager (Business History)

Mentre il primo log ti mostra le modifiche alle ads, questo ti mostra le modifiche alla struttura degli accessi: chi è stato aggiunto, chi è stato rimosso, chi ha cambiato ruolo, quali partnership sono state attivate. È forse il più utile per la sicurezza in senso stretto.

Come arrivarci: Business Settings > Info azienda > “Storico attività” > Esporta. Ti scarica un Excel con tutto lo storico fino a 1 anno indietro. Solo gli admin del Business possono farlo.

Cose a cui prestare attenzione:

• Nuovi utenti aggiunti che non hai aggiunto tu (con la mail di chi).
• Cambi di ruolo che non ricordi di aver autorizzato.
• Partnership con altre BM aggiunte di recente.
• Asset (pagine, ad account, pixel) trasferiti o aggiunti.

L’export è in Excel quindi puoi filtrare per data e per tipo di evento. Se l’idea è fare un controllo serio questo è il file giusto.

Dove hai effettuato l’accesso (Account Center)

Questo è il più immediato, ed è il primo posto dove guardare se hai un sospetto che il tuo profilo personale sia stato compromesso.

Come arrivarci: Account Center > Password e sicurezza > Dove hai effettuato l’accesso. Vedi tutte le sessioni attive con dispositivo, città approssimativa e ora dell’accesso.

Cose a cui prestare attenzione:

• Login da città in cui non sei mai stato.
• Dispositivi che non riconosci (browser, sistema operativo).
• Sessioni rimaste attive da molto tempo su dispositivi che non usi più.

Se trovi qualcosa di strano: disconnetti subito quella sessione, cambia password, controlla la 2FA.

Mettere su un controllo periodico di questi tre log non è difficile.

Sono gli stessi check che possono intercettare problemi ancora prima che si presentino. Non deve diventare un’ossessione (nella maggior parte dei casi basta stare attenti in generale a dove teniamo le chiavi e ai link che clicchiamo) ma nemmeno essere totalmente presa sotto gamba.

Bonus 2: cosa fare se ti hanno (già) bucato l’account

Spero non sia il tuo caso ma, se è successo, procedi in questo modo:

1. Cambia password immediatamente del profilo Facebook personale che era admin (e di tutti i profili Instagram collegati).
2. Termina tutte le sessioni attive: Account Center > Password e sicurezza > Dove hai effettuato l’accesso. Disconnetti tutto tranne il dispositivo che stai usando.
3. Vai su facebook.com/hacked e segui la procedura guidata di recupero account.
4. Apri il Business Settings e rimuovi qualsiasi utente o partner che non riconosci. Controlla anche se sono state aggiunte nuove pagine, pixel o ad account che non avevi creato tu.
5. Verifica i metodi di pagamento dell’ad account. Se hanno aggiunto carte non tue, rimuovile (e contatta Meta per segnalare).
6. Ferma le campagne attive finché non hai capito cosa è successo. È il modo più rapido per evitare problemi (a volte gli hacker mettono online nuove campagne o modificano quelle attuali, cercando di spendere il tuo budget sulle loro pagine).
7. Contatta il supporto Meta tramite il Business Help Center (business.facebook.com/help). Se hai un partner Meta o un account manager dedicato, scrivi anche a lui in copia (l’escalation interna è quasi sempre più veloce del flusso self-service).
8. Documenta tutto: screenshot dei log attività (ti tornano utili adesso), email di notifica Meta, timestamp di quando hai notato il problema. Ti servirà sia per il recupero che, eventualmente, per una contestazione delle spese.

Se vedi che le spese fraudolente sono importanti, non aspettare il supporto Meta: blocca subito la carta come accennato prima.

Non sarà bellissimo, ma sicuramente è più efficace che attendere il supporto.

Conclusioni

La sicurezza di un account Meta non è qualcosa che fai una volta e dimentichi. È un’abitudine, fatta di piccoli controlli ricorrenti.

Ricapitolando, le 5 cose da fare oggi:

• 2FA su tutto, sempre con app authenticator (SMS meglio di no per stare tranquilli).
• Audit degli accessi al Business Manager (e metterlo a procedura ricorrente).
• Agenzie come partner, freelance come utenti con permessi minimi (anche se mantenere gli esterni come partner è sempre meglio).
• Controllo dei vari profili e pagine collegate.
• Impostare una routine periodica + notifiche di sicurezza attive.

Più i due bonus che, a mio avviso, fanno davvero la differenza tra un account “in ordine” e uno blindato: leggere i log con costanza per scoprire le anomalie prima che diventino problemi, e avere una procedura d’emergenza pronta se mai dovesse servire.

Un account bucato significa, nel migliore dei casi, qualche ora di stress e qualche centinaio di euro spesi male. Nel peggiore, significa la perdita di anni di storico, un ad account bruciato, e settimane di lavoro per ricostruire tutto.

La differenza tra i due scenari sta quasi sempre in questi controlli, fatti per tempo.

Se finora non li hai fatti il mio consiglio è di cominciare a farlo. Non fare l’errore di sottovalutare la cosa dicendoti “tanto è impossibile che succeda a me”.

Il mantra dovrebbe essere “non succede, ma se succede…”.

E se ti è capitato di essere bucato (o quasi) e vuoi raccontare la tua, fammi sapere nei comment: è il tipo di esperienza che merita di essere condivisa, perché su questi temi il passaparola tra advertiser è più utile di qualsiasi guida ufficiale.

Se vuoi confrontarti su questi e altri temi advertising mi trovi anche su LinkedIn.

A presto,
Simone