Аккаунт маркетолога взламывают не по паролю, а через связки доступа

Аккаунт маркетолога взламывают не по паролю, а через связки доступа

В рекламных и CRM-аккаунтах риск обычно не в «слабом пароле», а в том, что один вход даёт сразу несколько систем: ad account, ESP, CDP, BI, S3-выгрузки. Поэтому база — инвентаризация связок: кто имеет доступ, через какой IdP (identity provider, провайдер учётных записей), и какие токены живут дольше сессии.

Проверяйте три слоя:
— админские роли в рекламных кабинетах и их дубли;
— API-ключи и сервисные аккаунты, которые никто не пересматривал;
— почтовые ящики, где приходят письма о смене прав и восстановлении доступа.

Отдельно смотрите на «тихие» векторы: пересланные письма, общие inbox’ы, старые интеграции между трекингом, CRM и CDP. Именно там обычно остаются токены, ссылки на восстановление и доступ к сегментам. Если аккаунт менеджера уже не нужен, его надо не просто отключить, а убрать из всех групп, приложений и разрешений.

Рабочий минимум: включить единый вход, разделить админов и операторов, завести ревизию прав раз в квартал и хранить список всех внешних интеграций в одном месте. Когда доступы описаны как схема, а не как набор «кто-то когда-то подключал», инциденты в маркетинговом стеке сильно проще локализовать.