Compte Google Ads piraté pendant que vous le gérez : qui paie ?

Le schéma est tristement classique. Un dimanche, une notification : « dépense inhabituelle détectée sur le compte ». Vous vous connectez. En quelques heures, un tiers a pris la main sur le compte Google Ads d'un client, créé de nouvelles campagnes pointant vers des sites douteux, et fait dépenser plusieurs milliers d'euros vers ces destinations frauduleuses. Le moyen de paiement enregistré du client a été ponctionné. Le lundi matin, c'est vous qu'on appelle.

Comment est-ce arrivé ? Le plus souvent par une porte que vous teniez sans le savoir : un accès partagé, un mot de passe réutilisé sur plusieurs services, une session restée ouverte sur un poste compromis, ou un e-mail de phishing imitant le support de la régie. Le pirate n'a pas eu besoin de « casser » quoi que ce soit : il s'est connecté.

La compromission d'un compte publicitaire est rarement un exploit technique. C'est presque toujours une faille de gestion des accès — et la gestion des accès, c'est précisément votre domaine.

Voici le point que beaucoup de freelances ignorent. À partir du moment où vous détenez les identifiants d'un compte publicitaire, ou que vous y avez un accès administrateur, vous n'êtes plus un simple exécutant : vous exercez une forme de garde sur cet outil et sur les données qu'il contient.

Cette garde emporte un devoir de diligence. On attend d'un professionnel de l'acquisition qu'il sécurise les accès dont il dispose, comme on attend d'un dépositaire qu'il protège la chose confiée. Si la compromission résulte d'une négligence de votre part — un mot de passe partagé en clair par e-mail, l'absence de double authentification, un accès laissé actif après la fin d'une mission — votre responsabilité est directement engagée.

À l'inverse, si vous avez mis en œuvre les mesures raisonnables (accès individuels, double authentification, principe du moindre privilège) et que la faille vient du côté du client (son poste infecté, son propre mot de passe faible), la responsabilité bascule vers lui. Toute la bataille juridique se joue sur la démonstration du niveau de diligence.

Quand on parle de compte piraté, on pense au budget envolé. C'est le préjudice visible, mais ce n'est pas toujours le plus douloureux. Décomposons :

La perte d'historique d'optimisation est la plus sournoise : un compte Ads qui a « appris » pendant des mois vaut bien plus qu'un compte neuf. Sa réinitialisation forcée fait repartir l'algorithme de zéro, avec des semaines de performance dégradée à la clé. Ce manque à gagner s'ajoute au budget détourné.

Tous les piratages ne se valent pas au regard de votre responsabilité. La question décisive est : auriez-vous pu raisonnablement l'empêcher ?

• Faute caractérisée (vous payez). Mot de passe partagé en clair, pas de double authentification, accès d'un ancien collaborateur jamais révoqué, session ouverte sur un poste public. Ici, votre négligence a ouvert la porte.
• Zone grise (on partage). Phishing ciblé auquel vous avez cédé malgré une vigilance normale, faille d'un outil tiers que vous utilisiez de bonne foi. La responsabilité dépend du degré de sophistication de l'attaque et de vos mesures.
• Aléa hors de votre maîtrise (vous êtes couvert sans faute). Compromission d'un service de la régie elle-même, attaque que des mesures raisonnables n'auraient pas arrêtée. Vous n'êtes pas fautif, mais le préjudice reste à indemniser — d'où l'intérêt de la garantie cyber.

C'est cette gradation qui explique pourquoi une simple RC Pro ne suffit pas : elle couvre la faute professionnelle, mais la fraude sur compte confié et la perte budgétaire liée à une cyberattaque relèvent d'une garantie dédiée.

La meilleure défense juridique, c'est de pouvoir prouver une hygiène de sécurité irréprochable. Six habitudes suffisent à transformer votre profil de risque :

1. Jamais de mot de passe partagé. Utilisez les accès délégués natifs des régies (Google Ads Manager, Meta Business Manager) qui permettent d'attribuer des rôles nominatifs sans transmettre d'identifiants.
2. Double authentification partout. Sur votre compte comme sur ceux que vous administrez. C'est la mesure la plus citée et la plus efficace.
3. Moindre privilège. N'accordez que le niveau d'accès strictement nécessaire à chaque intervenant.
4. Révocation systématique en fin de mission. Retirez vos accès dès la fin d'un contrat et exigez le retrait des accès des collaborateurs sortants.
5. Gestionnaire de mots de passe. Bannissez la réutilisation de mots de passe entre services.
6. Méfiance face aux e-mails « support ». Les régies ne demandent jamais vos identifiants par e-mail. Tout message pressant en ce sens est suspect.

Quand le compte est déjà piraté, votre réactivité fait la différence entre un incident maîtrisé et une catastrophe. Les premières heures sont à la fois techniques et juridiques — et l'ordre des gestes compte.

1. Suspendre l'hémorragie. Mettez en pause toutes les campagnes, retirez ou plafonnez le moyen de paiement, révoquez tous les accès suspects. Chaque minute coûte du budget.
2. Reprendre la main sur les accès. Changez les mots de passe, forcez la déconnexion de toutes les sessions, vérifiez les adresses e-mail de récupération que le pirate a pu modifier pour garder un pied dans la place.
3. Documenter avant que les traces disparaissent. Capturez les journaux d'activité du compte, les campagnes frauduleuses créées, les montants dépensés, l'horodatage de l'intrusion. Ces éléments sont la pièce maîtresse de toute contestation auprès de la régie et de l'assureur.
4. Alerter le client par écrit, sans reconnaissance de responsabilité. Informez factuellement : ce qui s'est passé, ce que vous faites, ce que vous attendez de lui. N'écrivez jamais « c'est ma faute, je rembourse » avant d'avoir déclaré le sinistre.
5. Contester le débit auprès de la régie. Google et Meta disposent de procédures de signalement d'activité frauduleuse pouvant aboutir, dans certains cas, à un remboursement partiel des dépenses détournées.
6. Déclarer le sinistre à votre assureur cyber dans les délais contractuels, en joignant les éléments collectés.

Un traffic manager qui suit cette séquence transforme un sinistre potentiellement à cinq chiffres en dossier maîtrisé, où sa diligence post-incident plaide en sa faveur.

Un traffic manager cumule deux familles de risques distinctes, et il faut les couvrir toutes les deux. La RC Pro répond de la faute professionnelle — un paramétrage raté, un budget mal piloté. La garantie cyber répond, elle, de la compromission des comptes et des flux de données que vous administrez : fraude, détournement de budget, atteinte aux données du client.

Confondre les deux, c'est laisser un trou béant : une RC Pro seule ne prendra pas en charge un compte vidé par un pirate, et une cyber seule ne couvrira pas une erreur de ciblage. Vérifiez aussi que votre garantie cyber inclut bien la fraude sur comptes tiers confiés et pas seulement la protection de vos propres systèmes : c'est une nuance qui change tout pour un métier où l'on administre les comptes des autres. Pour un professionnel qui détient les clés numériques de plusieurs marques, le binôme RC Pro + cyber est la base. Le détail des garanties calibrées pour votre activité est présenté sur la page assurance traffic manager.