Аккаунт маркетингового стека — это не почта, а ключ к бюджету, пикселям и CRM

Аккаунт маркетингового стека — это не почта, а ключ к бюджету, пикселям и CRM

Уязвимый аккаунт в MarTech редко выглядит как «взлом». Чаще это тихий захват доступа к ESP, CDP, рекламным кабинетам или доменным DNS-записям. Дальше атакующий меняет правила, переназначает роли, подменяет webhook-и и уводит данные без шума.

Что проверять в первую очередь:
— включён ли MFA для всех ролей, включая подрядчиков;
— есть ли отдельные аккаунты для закупки, аналитики и администрирования;
— ограничены ли права на экспорт сегментов, списков и аудиторий;
— виден ли полный audit log по входам, изменениям и API-ключам.

Самые опасные места — сервисные учётки и интеграции. Если API-ключ живёт в одном Slack-канале или в общем password manager без ротации, компрометация одной роли превращается в доступ ко всему контуру. Отдельно проверьте, кто может создавать новые токены, менять callback URL и подключать сторонние приложения.

Для маркетинговых команд полезно держать короткий список контрольных событий: новый OAuth-клиент, массовый экспорт контактов, смена домена отправки, добавление администратора, отключение MFA. Эти события должны уходить не только в логи SaaS, но и в SIEM или хотя бы в защищённый канал уведомлений.

Если нужен один базовый принцип: минимальные права для людей и сервисов, плюс регулярная ревизия интеграций. В аккаунтной безопасности почти всегда проигрывают не на пароле, а на лишнем доступе.