Почему взлом аккаунта в маркетинговом стеке чаще начинается не с пароля, а с прав доступа

В маркетинговых командах один и тот же пользователь часто связан с CRM, ESP, CDP, рекламными кабинетами и аналитикой. Если у такого аккаунта лишние права, компрометация одного логина превращается в доступ к сегментам, токенам и экспортам данных.

Проверьте три слоя:
— кто имеет админские права в рекламных и CRM-аккаунтах;
— где включён общий доступ через группы, а не через персональные роли;
— какие интеграции живут на постоянных API-ключах без ротации и ограничений по scope.

Отдельно смотрите на восстановление доступа. Почта для reset, резервные коды, SSO и delegated access должны быть связаны с реальными владельцами, а не с общим ящиком команды. Общий mailbox удобен до первого инцидента: потом невозможно понять, кто менял настройки пикселя, UTM-шаблонов или webhook.

Для аккаунтов с доступом к трафику и данным полезен простой принцип: один сервис — один набор прав, один интеграционный токен — одна задача. Это снижает радиус поражения, если утечёт пароль, cookie-сессия или ключ от стороннего SaaS.

Если у аккаунта есть доступ к деньгам, аудиториям или PII, его надо считать критичным активом, а не рабочей почтой. Ограничение прав и прозрачная схема владельцев обычно дают больше, чем последующая чистка после инцидента.