Il furto di account pubblicitari è un costo operativo

Il report Mimecast ha registrato 1,86 milioni di rilevazioni solo nella seconda metà del 2025

Un account Meta o Google Ads con un budget mensile di 5.000 dollari può essere prosciugato in poche ore. Non è un bug: è il modello di business di un ecosistema criminale che, secondo il nuovo report “Ad Account Theft” di Mimecast, ha generato 6,4 milioni di rilevazioni in quattro anni. Il dato non descrive un rischio teorico, ma una tassa occulta che ogni media buyer paga in termini di budget perso, metriche inquinate e ore di recovery. Ignorarlo significa accettare un costo per acquisizione (CPA, quanto si spende per ottenere un cliente) strutturalmente più alto e un ritorno sulla spesa pubblicitaria (ROAS) che non riflette la reale efficacia delle campagne.

6,4 milioni di rilevazioni: il costo occulto del paid media

Il numero messo a fuoco da Mimecast ha una scala che deve far riflettere chi pianifica budget. Sei milioni e quattrocentomila rilevazioni di furto sistematico di account Meta Business Manager e Google Ads rappresentano una pressione costante, non un picco isolato. E se guardiamo alla seconda metà dello scorso anno, la tendenza non rallenta: sempre Mimecast ha registrato circa 1,86 milioni di rilevazioni tra luglio e dicembre 2025, segno che l’attività dei criminali si mantiene su volumi industriali.

Per capire cosa è a rischio bastano due cifre. Nel 2025 Google ha incassato 224 miliardi di dollari dalle sole entrate pubblicitarie basate sulla ricerca, mentre Meta ne ha generati altri 196 miliardi. Su questi binari corrono i budget degli inserzionisti, e ogni account violato è un varco diretto su quel flusso di denaro. Un singolo account compromesso con un plafond mensile di 5.000 dollari può essere svuotato in poche ore, spesso con campagne fraudolente che i criminali lanciano prima che il legittimo proprietario si accorga dell’accesso. Il danno non si limita alla perdita secca: il CPA schizza, il ROAS crolla, e le conversioni reali vengono sepolte da dati fittizi, rendendo impossibile ottimizzare.

Chi gestisce campagne sa che una variazione anomala del costo per clic o un calo improvviso del tasso di conversione può innescare decisioni sbagliate, come aumentare le offerte su segmenti in realtà già compromessi. Il furto di account trasforma ogni insight in rumore, e il tempo speso per bonificare la situazione è tempo sottratto all’ottimizzazione che genera fatturato. Non è più solo un ticket aperto con il supporto della piattaforma: è una variabile che incide sul P&L della pubblicità.

DuckTail e NodeStealer: un ecosistema che impara più in fretta delle difese

Dietro i numeri non c’è un attore improvvisato. Già a maggio 2023, Meta spiegava dal suo blog di ingegneria che famiglie di malware come DuckTail e NodeStealer erano monitorate da anni e si evolvevano proprio in risposta alle azioni di contrasto della piattaforma. DuckTail, in particolare, è attivo da diversi anni e ha modificato tecniche e vettori di attacco ogni volta che Meta stringeva le maglie della sicurezza. È l’indice di un’industria che adotta cicli di sviluppo agili almeno quanto quelli dei team interni delle big tech.

La conseguenza operativa è che le protezioni native non bastano. Un account può essere violato tramite un link malevolo inviato su LinkedIn o Messenger, spesso camuffato da opportunità di collaborazione. L’autenticazione a due fattori da sola non ferma un furto di sessione ben orchestrato. E mentre i criminali affinano il loro stack tecnologico, il danno per chi gestisce campagne si concretizza in budget bruciati su creative rubate, pixel inquinati e pubblico destinatario deviato verso offerte fraudolente. Non si tratta più di se si verrà attaccati, ma di quanto costa l’attacco quando arriva.

Proteggere il budget o pagare: il vero trade-off della sicurezza

Le piattaforme rivendicano risultati massicci sul fronte della sicurezza. Google, nel suo report sulla sicurezza degli annunci relativo al 2025, ha dichiarato di aver bloccato o rimosso oltre 8,3 miliardi di annunci e di aver sospeso 24,9 milioni di account. Sono cifre che comunicano un impegno imponente. Meta, però, si trova ad affrontare un’accusa diversa: la Consumer Federation of America ha intentato un’azione legale sostenendo che l’azienda inganni gli utenti di Washington D.C. riguardo alle reali misure adottate contro le frodi sulla piattaforma. Il quadro, quindi, è meno rassicurante di quanto i numeri sulle sospensioni lascino intendere.

Per chi alloca budget pubblicitario, questo significa che non si può delegare completamente la sicurezza alle piattaforme. Così come si accantona una percentuale per testare nuove creatività o per coprire eventuali fluttuazioni del CPM, occorre prevedere una quota di risorse — tempo del team, strumenti di monitoraggio, formazione — dedicata alla protezione degli account. Un account bloccato per sospetta compromissione può restare inattivo per giorni, bloccando campagne che generano fatturato, e il mancato guadagno va considerato un costo della (in)sicurezza quanto il budget direttamente rubato.

Non è più solo una questione di cybersecurity: ogni euro speso in ads va protetto con lo stesso rigore di una conversione, altrimenti è come lasciare il budget in strada.