トークンとCookieを使うFacebook広告ツール：セキュリティ詳解

グレーハットのFacebook広告ツールが動作するには、一つのものが必要です。あなたのFacebookアカウントへのアクセスです。そのアクセスをどうやって得るのか、そしてそのアクセスで何が露出するのか。それがFacebook広告のトークンとCookieのセキュリティの核心であり、多くのメディアバイヤーが一度も問わない問題です。本記事では、よくある2つの近道、つまりアクセストークンの共有とセッションCookieの共有を、公式のルートと比較します。

本記事は防御のためのガイドです。何が露出し、どう身を守るかを説明するものであり、これらの手法の実行方法を説明するものではありません。公式ツールとグレーハットツールのより広い比較については、Meta広告APIの公式ツールとグレーハットツールのガイドをご覧ください。

Facebookの認証の仕組み

広告ツールにとって、Facebookの認証には2つの方法しかありません。MetaがOAuthでツールにアクセスを発行するか、ツールがあなたのブラウザがすでに持っているアクセスを借りるかです。本記事の内容はすべてこの違いから導かれます。

公式のOAuthフロー

Wevionのような正規のアプリケーションがFacebookアカウントに接続するときは、MetaのOAuth 2.0フローに従います。

1. あなたが開始する：アプリケーション内で、Metaアカウントを接続するボタンをクリックします。
2. Metaがダイアログを表示する：Metaがホストする画面に、アプリが要求する内容が正確に一覧表示されます。
3. あなたが同意する：権限を承認するか拒否します。
4. Metaがトークンを発行する：トークンは承認された権限だけを対象とし、アプリの登録IDに発行されます。
5. あなたが管理し続ける：トークンには定められた有効期間があり、アプリはいつでも削除できます。

この方法で接続したアプリは、Facebookの設定の「ビジネス統合」に一覧表示され、アプリはMetaのプラットフォーム利用規約に縛られます。Wevionはこの方法で動作します。OAuthを通じてMetaが発行するユーザートークンで接続し、ビジネス管理者はシステムユーザートークンを追加することもできますが、メインの経路はOAuthです。

グレーハットツールが代わりにしていること

グレーハットツールはこのフローを省きます。Metaにアクセスの発行を求める代わりに、あなたのブラウザがすでに持っている認証情報で動作します。

• ログイン中のセッションのアクセストークン
• ブラウザのログイン状態を保つセッションCookie

いずれの場合も、ツールは範囲を限定した権限の付与も、Metaがそのアクセスを承認したアプリも、あなたが削除できる接続済みアプリもないまま、アクセスを手にします。

アクセストークン：その正体と届く範囲

アクセストークンは、誰がリクエストしていて何が許可されているかをMetaのサーバーに伝える認証情報です。広告マネージャで作業しているとき、ブラウザは裏側でトークンを使っています。一部のグレーハットツールが扱うのは、まさにこの種類のトークンです。

「EAABトークン」とは

「EAAB」はMetaの公式用語ではありません。文字列がこの4文字で始まるアクセストークンを、メディアバイヤーがそう呼んでいる通称です。Facebookのアクセストークンは「EAA」で始まり、Facebook自身の広告画面が使うものは通常「EAAB」で始まります。Metaはこの接頭辞の意味を公開していないため、ネット上の「公式」な展開形には注意してください。

トークンが届く範囲

トークンは、取り出された元のセッションの権限を持ちます。広告の文脈では、通常次のようなものが含まれます。

トークンの種類と有効期間

Metaのアクセストークンのドキュメントでは複数の種類のトークンが説明されており、それぞれ振る舞いが異なります。

Metaのドキュメントには、パスワード変更などでトークンが早期に失効し得ることも記載されています。システムユーザートークンは個人ではなくビジネスポートフォリオに属するため、管理者はサーバー間のアクセスに使います。それでも範囲は慎重に絞り、不要になったら取り消す必要があります。

セッションCookie：より広い露出

セッションCookieは、ブラウザのFacebookへのログイン状態を保ちます。トークンが届くのはその権限が許す範囲ですが、セッションCookieはアカウント全体に届き得ます。Facebookから見ると、すでにログインしているあなたのブラウザに見えるからです。

だからこそ、認証情報の窃取はアカウントへの侵入経路としてこれほど一般的なのです。Verizonの2025年データ侵害調査報告書によると、侵害の初期侵入経路として最も多かったのは認証情報の悪用で、22%でした。セッションCookieを第三者に渡せば、それが失われ得る場所がもう一つ増えます。

二段階認証は、このケースをあまりカバーしません。2FAが守るのはログインする瞬間であり、すでに認証済みのセッションはそのチェックを通過しています。Cookieは決してエクスポートも共有もしないように、と勧められるのはこのためであり、Cookieを求めるツールには最大限の注意が必要です。

トークンベースとCookieベースのアクセス

ツールのカテゴリーと接続方法

特定のベンダーを挙げるよりも、カテゴリーを知り、どのツールにもどれに当たるのかを尋ねるほうが役に立ちます。

アクセスの共有で危険にさらされるもの

トークンやCookieをツールに渡すと、複数の障害点を持つ連鎖が生まれ、そのすべての点でプロバイダーを信頼することになります。

1. 転送：認証情報はプロバイダーに送られる途中で暗号化されているか
2. 保存：保存時に暗号化されているか、誰がデータベースを読めるか
3. アクセス管理：どのスタッフがあなたの認証情報を見られるか
4. インシデント対応：プロバイダーが侵害されたらどうなるか
5. 保持期間：サービスの利用をやめた後、認証情報はどれだけ保持されるか

多くのグレーハットツールでは、これらの答えが公開されていません。そして多数の広告主の有効なセッションを保持するプロバイダーは、それ自体が価値の高い標的です。問うべきは今日信頼できそうに見えるかどうかではなく、それが侵害されたら明日何に届くか、です。

更新チャネルが攻撃面になるとき

自動更新される拡張機能は配布チャネルであり、その更新パイプラインもあなたが信頼している対象の一部になります。権限を承認するのはインストール時の一度だけで、その後は権限の内側で動くコードが、改めて確認されることなく変わり得ます。パイプラインを握る者が、それを信頼するすべてのブラウザで何が動くかを、同時に決められるのです。

これは通常のアドバイスを逆転させます。「ソフトウェアは常に最新に」はほぼいつも正しいのですが、汚染された更新が依存しているのもまさにその習慣です。これは特定の製品やカテゴリーに限った話ではありません。ブラウザレベルのアクセスを持つコンポーネントは、どれもパイプラインを通じて配信されます。

実際に意味すること

• そうしたコンポーネントが届く範囲：そのプロファイルでブラウザが読めるものすべて。セッションCookie、ページのメモリやローカルストレージ内のトークン、他の拡張機能のデータ、クリップボードを含みます。
• 通常は届かない範囲：別のブラウザプロファイルにあるもの。プロファイルの分離は機能する境界であり、費用もかかりません。
• 影響範囲を決めるのはベンダーではなくプロファイルです。 ウォレットとビジネスマネージャのセッションの両方を持つプロファイルは、コンポーネントが一つ侵害されるだけで両方を失い得ます。
• 結果は対称ではありません。 制限された広告アカウントは異議申し立てできることが多いですが、空にされたウォレットは戻りません。取り返しのつかないものは別の場所に置きましょう。

つまり役に立つ問いは、あなた自身の環境についてのものです。広告アカウントにログインしているプロファイルをどの拡張機能が見られるのか、そのプロファイルに他に何があるのか、明日の更新は何に届くのか。

ブラウザプロファイルツールの位置づけ

ブラウザプロファイルツール（アンチディテクトブラウザとも呼ばれます）が解決するのは、アクセスとアイデンティティです。利用を認められたアカウントごとに別々のプロファイルを用意し、パスワードを回さずにチームで作業できるようにします。これは、1つのワークスペースで6つの広告プラットフォームにまたがってキャンペーンの入稿、ルール、予算、計測を行うこととは別の仕事であり、後者がWevionの役割です。実際の環境では両者が並行して使われることも多く、その組み合わせ方はWevionとアンチディテクトブラウザの比較で整理しています。WevionはOAuthでMeta公式のマーケティングAPIに接続するため、私たちの側からCookieを求めることは一切ありません。

OAuthとトークン抽出の直接比較

OAuthもトークン抽出も、最終的にはツールがトークンを持つ点では同じです。違うのは、誰が発行したのか、何を対象にするのか、そして取り消せるかどうかです。

この違いは程度の問題ではありません。OAuthは、第三者に何ができるかをあなたが管理するために存在します。セッションを借りれば、その管理がなくなります。

Wevionは広告運用プラットフォームです。Meta、Google、TikTok、Taboola、Snapchat、Outbrainを公式API経由で接続し（Meta、Google、TikTok、SnapchatではOAuth）、データを約15分ごとに同期します。AIコパイロットのWavoはあなたの承認を前提に変更を提案し、ルールはあなたが設定した条件でのみ動作します。

環境の評価と保護の方法

グレーハットツールを使ったことがあるかどうかに関係なく、短い監査で今あなたの広告アカウントに何が届くのかがわかり、いくつかの習慣でその状態を保てます。

すぐに確認すること

1. アカウントセンター、パスワードとセキュリティ、ログインしている場所：心当たりのないデバイスや場所からのセッションがないか確認します。
2. Facebookの設定、ビジネス統合、アプリとウェブサイト：心当たりのないアプリや使っていないアプリを削除します。
3. ビジネス設定、メンバー、システムユーザー：見覚えのないメンバー、保留中の招待、自分で作成していないシステムユーザートークンがないか確認します。
4. 広告アカウントのアクティビティ：最近の変更に、自分が行っていないものがないか確認します。
5. ブラウザ拡張機能：Facebookにログインしているすべてのプロファイルで、不要なもの、特にすべてのウェブサイトにアクセスできるものを削除します。

侵害が疑われる場合

1. アカウントセンターから、すべてのセッションからログアウトします。
2. Facebookのパスワードを変更します。
3. 二段階認証を有効にします。SMSよりも認証アプリが望ましいです。
4. 見覚えのないアプリを削除し、信頼できるものだけを再認可します。
5. 自分が行っていないキャンペーンや予算の変更がないか、広告アカウントを確認します。
6. ビジネスポートフォリオに見覚えのないメンバーやシステムユーザーがいないか確認します。
7. 不正アクセスをMetaのビジネスヘルプセンターから報告し、影響を受けた広告アカウントの支払い方法の差し替えも検討します。

日頃の習慣

• 広告アカウント専用のブラウザプロファイルを用意する。 拡張機能は少なく、お金に関わるものは置かないようにします。
• ビジネスポートフォリオの全員に二段階認証を必須にする。
• 接続済みアプリとシステムユーザーを定期的に見直す。 人が離れたときやツールの利用をやめたときは、アクセスを取り消します。
• チームに基本を教える。 トークンやCookieは決して共有しない、公式のOAuth接続を使う、異常があればすぐに報告する。

安全な広告管理への道

トークンやCookieの共有によるリスクは、理論上の話ではありません。セキュリティの中身が見えないプロバイダーに、範囲の限定されない広いアクセスを渡すことから、そのまま生じるものです。公式APIツールは、この種類のリスクを取り除きます。

• 範囲限定の権限：ツールが何にアクセスできるかをあなたが決める
• Metaが発行するトークン：アクセスはMeta自身の仕組みで管理される
• あなたが管理する取り消し：いつでも設定画面からアプリを削除できる
• 可視性：接続済みのアプリはすべて設定画面に表示される
• プラットフォームのルール：アプリはMetaのプラットフォーム利用規約に縛られ、高度な権限にはアプリレビューを経る
• パスワードやCookieの共有なし：ツールがあなたのパスワードやセッションを見ることはない

これは、多くのバイヤーをログイン情報の共有に向かわせるチームの問題も解決します。Wevionでは、Meta自身のダイアログでMetaアカウントを一度接続し、ロールと権限を設定して同僚をメールで招待するだけなので、誰もFacebookのログイン情報を渡す必要がありません。別のルートをとるツールについては、Facebookオートローンチツールの比較をご覧ください。

トークンやCookieの共有をやめる準備はできましたか？Wevionの14日間無料トライアルを始めましょう。Meta公式API、OAuth認証で、パスワードもCookieも共有しません。

関連記事：

• Meta広告API：公式ツールとグレーハットのリスクを解説
• Wevionとアンチディテクトブラウザ
• Facebookオートローンチツール比較 2026
• オートローンチと公式API：どちらを選ぶべきか