Аккаунт в маркетинговом стеке ломают не по паролю, а через доступы, роли и токены

Если у вас есть ESP, CRM, CDP, рекламные кабинеты и BI, один компрометированный логин редко становится проблемой сам по себе. Проблема начинается, когда у аккаунта слишком широкая роль, активны старые сессии и сервисные ключи лежат без учёта.

Что проверять в первую очередь:
— SSO и MFA: отдельно для людей и сервисных аккаунтов
— роли в ad-кабинетах, CRM и CDP: только нужные права
— активные сессии, refresh-token и API-key: где выдано, кем и на какой срок
— почтовые алиасы для восстановления: не должны быть общими на отдел

Для маркетинговых команд особенно опасны «временные» доступы, которые живут месяцами: агентские учётки, токены интеграций, доступ подрядчиков к сегментам и экспортам. Именно через них чаще утекают списки аудиторий, события конверсий и настройки пикселей.

Полезная привычка — вести инвентаризацию не по людям, а по объектам: кабинет, роль, токен, интеграция, владелец, дата ревокации. Тогда при инциденте вы не гадаете, кто ещё видит сегменты и кто может запускать кампании от вашего имени.

Если нужен быстрый контроль, начните с ревизии прав и выключения всего, что не имеет явного владельца. Удалённый доступ без владельца — это не удобство, а будущая точка утечки.