SMSで届く6桁のコードは、米国のCISAとFBIが2024年12月18日の共同ガイダンスで「認証の第2要素として使わないこと」と明記した方式です。広告アカウントの認証を今日見直すなら、やることは7か所で、順番はGoogleアカウントでのパスキー（パスワードの代わりに、端末の指紋・顔認証や画面ロックで本人確認する仕組み）作成、Google広告の2段階認証の強制、クライアントセンター（MCC）での配下への強制、パスキーの恒久強制、GTMの2段階認証要求、Metaのビジネスポートフォリオでの全員への要求、携帯キャリアでのSIM再発行の暗証番号（PIN）設定です。

順番の先頭にパスキー作成が来るのは、Google広告で新しく登録したパスキーが使えるまでに待機期間があるからです。2026年7月15日以降、ユーザーのアクセス変更や請求情報の変更といった操作にパスキーが求められるようになっており、登録してすぐに設定変更へ進むと、その日の作業が途中で止まります。

1. 2026年にGoogle広告の認証要件はどう変わったか

2026年4月21日、Google広告のAPI（外部のツールからGoogle広告を操作する接続口）で新規に認証トークンを発行する際に多要素認証が必須になりました。Search Engine Landが4月17日に報じ、仕様はAPIの公式ドキュメントにあります。影響はAPIを直接使う開発者だけでなく、Google広告エディタ、スクリプト、BigQueryへのデータ転送、Looker Studioの接続にも及びます。既存のトークンはそのまま動きますが、再認証のタイミングで止まります。

2026年7月15日からは、アカウントのリンク変更、ユーザーのアクセス変更、請求情報の変更といった「sensitive actions」に、Googleのパスキーによる本人確認が求められるようになりました。Googleからのメール通知をSearch Engine Roundtableが5月8日に報じ、仕様は公式ヘルプ「パスキーを使用して機密情報に関する操作を完了する」にあります。さらに8月5日からは、APIでも強制対象のユーザーは新規トークンの発行にパスキーが必要で、パスワードのみ、認証アプリのコード、SMSは拒否されます。

一方で、Google広告の全ユーザーにログイン時の2段階認証を一律に義務づけるという記載は、2026年10月時点の公式ヘルプにありません。義務化されているのは、APIの範囲と、MCCや個別アカウントの管理者が自分で「強制」を選んだ範囲です。つまり、自社のアカウントで2段階認証が要求されるかどうかは、Googleではなく自社の設定が決めています。

2. SMS認証が足りない理由：中継されるコード、乗っ取られる電話番号

CISAとFBIの2024年12月18日のガイダンスは、米国の通信事業者への不正侵入が報じられた時期に出されたもので、「SMSによる多要素認証はフィッシング耐性がない」と書き、FIDO規格のハードウェアキー（USB端子などに挿して使う物理的な鍵）、その代替としてパスキーを推奨しています。特にMicrosoft、Apple、Googleのアカウントで有効化し、有効化したら弱い方式を無効化すること、SIMスワップ（携帯電話の番号を他人のSIMに移して乗っ取る手口）の対策として携帯キャリアに追加の暗証番号を設定することも求めています。

偽のログイン画面にパスワードを入れると、攻撃者は裏で本物のログインを試みます。本物のサイトがSMSでコードを送り、本人は偽画面にそのコードを入れ、攻撃者がそれを本物に入力する。コードは正しいので、ログインは成功します。スマートフォンに「ログインしようとしていますか」と出る確認プロンプトも、本人が「はい」を押せば同じです。2025年11月に米国の代理店がMCCごと乗っ取られた事例では、2段階認証は設定されていました。

パスキーが違うのは、鍵が「どのサイトに対して作られたか」を端末が覚えている点です。偽サイトでは、本物のサイト用の鍵が使われないため、中継する材料が生まれません。電話番号に頼らないので、SIMスワップの影響も受けません。FBIのIC3が2026年4月7日に公開した2025年の年次報告では、サイバー犯罪の被害額が約209億ドルで前年比26%増、通報は100万件超、SIMスワップは上位5つの脅威の10%を占めたとCyberScoopが報じています。

3. 今日設定する7か所

場所と注意点を表にします。Google広告の日本語の画面名は公式ヘルプの日本語版で確認したもの、Metaの項目は公式ヘルプ本文を取得できていないため、画面上の表記はご自身の環境で確かめてください。

①から⑤までで1時間、⑥と⑦で30分が目安です。②の強制は、設定した管理者本人にも適用されます。個別アカウントの管理者が有効にすると、そのアカウントにアクセスする全員が、ログイン時に2段階認証を求められるようになります。代理店や制作会社のユーザーも含まれるため、有効化の前日までに一報を入れておくと、翌朝の「ログインできない」連絡を減らせます。

⑤のGTMは、計測タグを書き換えられる経路を狭める設定です。カスタムHTMLタグは任意のスクリプトをサイトに載せられるので、GTMのユーザーが乗っ取られると、広告の計測だけでなくサイトの訪問者に別のコードが配られます。公式ヘルプには既定値の記載がないため、ONになっているかは自分で開いて見ます。混入したコードの見つけ方はGTMの改ざん・不正タグを見つける手順、タグの棚卸し自体はGTMの計測タグを半日で棚卸しする手順に譲ります。GA4には独自の2段階認証の設定が見当たらず、Googleアカウント側の設定に依存していると考えられます。

4. 設定するときの落とし穴

④の恒久強制は、ONにするとSMSのコード、メールのコード、電話のプロンプトは重要操作で使えなくなり、誰も解除できません。全管理者がパスキーを登録し、待機期間（公式ヘルプ内の記載は1〜2日から7日まで幅があります）を過ぎてからONにします。管理者が1人の会社で、その人がパスキーを入れた端末をなくすと、復旧の手段が細くなります。パスキーは2台以上の端末に作っておくのが実務上の落としどころです。

代理店が1つのIDを複数人で使い回す共有ログインの運用では、パスキーが個人の端末に紐づくため成立しません。先に個人ごとのアクセス付与に切り替える必要があり、公式ヘルプも代理店に共有ログインをやめるよう求めています。

パスキーの保存先にも制約があります。Androidのブラウザに保存したパスキーは対象外とされ、Oktaなどのシングルサインオンでログインしている会社でも、Googleのパスキーを別に作る必要があります。保存先とは別に、Gmailなどのフリーメールでログインしているユーザーが重要操作をブロックされ、会社のドメインへの切り替えを求められるパイロットが進んでいます。対象者にはメールで通知されますが、個人事業主がGmailで広告を運用している場合の影響範囲は確認できていません。

設定を終えた後の錯覚も、落とし穴の1つです。2段階認証を強制し、パスキーを入れた時点で、入口の防御は上がります。ただ、どちらも、すでにユーザー一覧に紛れている人を追い出す機能ではありません。設定とは切り離して覚えておく点です。

ユーザー一覧に並ぶ人のうち、誰がまだSMSのままで、誰のパスキーが待機中で、誰が半年ログインしていないか。この3つは設定画面のON/OFFと違って一目では分からず、アカウントの管理者が1人ずつ追わないとそろわない情報で、しかも自分で招いた人の状態を自分で疑うのは、構造として後回しになりやすい作業です。

※ 誰がどの認証方式で、どの権限を持ち、いつから使っていないかを、招いた本人ではない目で月に一度見てもらいたい方へ ― 読み取り専用の権限だけで済み、代理店との契約を変える必要もありません。実際の診断レポートのサンプル（無料）を用意しています。

5. 設定した半年後、「全員に強制」はまだ効いているか

④の待機期間を除けば、管理画面を開ける権限だけで、表の7か所は半日で設定し終わります。2026年に入ってGoogleが認証要件を段階的に引き上げている以上、自社で先に済ませておくほうが、ある日突然「この操作にはパスキーが必要です」と止められるより楽です。

設定の翌日から始まるのが、人の出入りに合わせて認証の状態を追い続ける仕事です。新しい担当者が入れば、その人のパスキーが有効になるまで重要操作ができません。代理店の担当者が替われば、前任者のアクセスが残っていないかを見る必要があります。外す手順は退職者と前の代理店の権限を外す四半期の棚卸しにまとめています。半年前に設定した「全員に強制」は、半年後に入った人にも効いていますが、その人がSMSを第2要素に選んでいれば、入口の強さは元に戻ります。

7か所の設定は自社で済ませられます。そこから先、誰がどの認証方式で、どの権限を持ち、いつから使っていないかを、招いた本人ではない目で定期的に照らす作業は、設定の仕事ではなくアカウントの状態を診る仕事です。初期設定のうち後から直しにくい5項目は別に整理してあり、認証の恒久強制もその仲間に加わりました。

※ 認証・権限・計測タグの状態を、設定作業とは別の「診る」仕事として毎月任せたい方へ ― 現役の運用者がアカウントの状態を見る形があります。実際の診断レポートのサンプル（無料）で確認項目をご覧いただけます。

よくある質問

Q. 認証アプリのコードを使っています。SMSよりは安全なので、パスキーは不要ではありませんか？

A. SIMスワップの影響を受けない点では認証アプリのほうが上です。ただし、本人が偽のログイン画面にコードを入力すれば中継される点はSMSと同じで、CISAとFBIのガイダンスはフィッシング耐性のある方式としてFIDO規格のキーとパスキーを挙げています。Google広告では2026年7月15日以降、重要操作にパスキーが求められる場面が増えており、認証アプリだけでは操作の途中で止まる場面が出てきます。ログインは認証アプリ、重要操作はパスキー、という2段構えが当面の形です。

Q. 代理店が「共有アカウントでログインしているのでパスキーは難しい」と言います。どうすればよいですか？

A. 共有アカウントの運用自体を、担当者ごとの個別アクセスに切り替えてもらう依頼が先です。Googleの公式ヘルプも代理店に共有ログインをやめるよう求めており、個別アクセスにしないと、誰がどの変更をしたかが変更履歴に残らず、退職者のアクセスを個別に外すこともできません。切り替えの依頼は「貴社の担当者3名それぞれのメールアドレスに、標準の権限で招待し直す」のように、人数と権限を具体的に書いて伝えると進みます。

Q. パスキーとは何ですか？2段階認証との違いは？

A. パスキーは、パスワードの代わりに、端末の指紋・顔認証や画面ロックで本人確認する仕組みです。鍵がどのサイト用に作られたかを端末が覚えているため、偽のログイン画面では使われず、SMSや認証アプリのコードのように中継されません。2段階認証はパスワードに確認を1段足す仕組みで、その確認にSMSを使うかパスキーを使うかで強さが変わります。