Слабая защита аккаунтов ломает не рекламу, а весь маркетинговый контур

Слабая защита аккаунтов ломает не рекламу, а весь маркетинговый контур

Почти все инциденты в CRM, ESP и ad-platform начинаются с одного аккаунта: почта, SSO, доступ к кабинету подрядчика, токен API. Дальше атакующий не шумит — он меняет реквизиты, создаёт правила пересылки, выгружает сегменты, правит пиксели и ждёт, пока трафик сам начнёт течь в нужную сторону.

Что проверять в первую очередь:
— все ли критичные сервисы сидят на одном и том же почтовом ящике;
— есть ли отдельные роли для чтения, запуска кампаний и администрирования;
— можно ли выдать доступ подрядчику без полного владения кабинетом;
— где лежат API-ключи и кто умеет их отзывать;
— остались ли активные сессии у уволенных и временных сотрудников.

Дальше смотрите на поведение, а не только на вход: нетипичный экспорт списков, новые forwarding rules, массовое создание webhooks, изменения в tracking domain и consent-скриптах. Для маркетингового стека опасен не только вход в аккаунт, но и тихая правка интеграции, которую замечают уже по просевшей атрибуции.

Отдельно держите под контролем recovery-каналы: запасные email, номера, резервные админы, токены в менеджерах паролей. Если атакующий забрал почту, он часто не взламывает всё остальное — он просто сбрасывает доступы по цепочке.

Минимум, который работает: разнести роли, ограничить подрядчиков, регулярно отзывать ключи и мониторить изменения в связках почта–SSO–кабинет.