Как не ломать маркетинговый стек: базовый чек-лист для security и ops

Маркетинговые системы чаще ломаются не через «хакерский взлом», а через накопленные мелочи: лишние токены, открытые webhooks, доступы подрядчиков, тени-аккаунты в ad-платформах и S3-бакеты с экспортами. Уязвимость почти всегда становится заметной уже после утечки сегментов, подмены конверсий или всплеска фрод-трафика.

Проверьте четыре слоя:
— идентичности: MFA, ротация API-ключей, отдельные роли для агентств и фрилансеров;
— данные: сегменты, списки email, события пикселя, выгрузки CRM должны быть минимально доступными;
— интеграции: каждый connector, pixel, webhook и server-side endpoint нужно инвентаризировать;
— журналы: кто менял правила атрибуции, UTM-логики и экспорт аудиторий.

Отдельно смотрите на «тихие» риски: consent manager с лишними доменами, cookie sync с непонятными партнёрами, storage с публичным листингом, stale OAuth-токены в ESP и CDP. Для ad-fraud полезно сравнивать аномалии по времени, гео и устройствам, а не только по CTR: ботнеты часто оставляют ровный, механический профиль.

Если коротко: инвентаризация активов и прав даёт больше пользы, чем бесконечные обсуждения «нулевого риска». Когда вы видите, где живут данные и кто их трогает, расследование и локализация инцидента становятся в разы проще.