Эксперт Гусев предупредил бизнес, что старые сообщения с рабочими паролями открывают доступ к корпоративным системам спустя годы

Отправленный коллеге рабочий пароль в мессенджере или по почте может оставаться угрозой даже спустя годы, потому что при доступе к переписке или синхронизируемому устройству злоумышленники находят забытые учётные данные и пробуют войти в корпоративные сервисы. Об этом «Газете.Ru» рассказал технический директор HASPBOX Александр Гусев.

Рабочие чаты и почтовые ящики превращаются в неофициальные хранилища конфиденциальной информации, ведь сотрудники пересылают друг другу пароли, записывают логины в таблицы и сохраняют комбинации в заметках, чтобы быстрее решать повседневные задачи. Со временем сообщения теряются в архиве переписки, но сами данные никуда не исчезают. Даже давно не используемый пароль может пригодиться атакующему, ведь переписки годами лежат на серверах и синхронизируются между устройствами, и при взломе аккаунта злоумышленник проверит найденные комбинации на корпоративной почте, VPN и облачных платформах.

Опасная привычка — использовать один пароль для рабочих и личных учётных записей, ведь если данные утекут через сторонний сайт, преступники попробуют ту же комбинацию в корпоративной инфраструктуре, и пароль, который кажется крепким сам по себе, при повторном использовании защиты не даёт.

Александр Гусев обратил внимание на риски общих учётных записей, из-за которых:

• компании труднее понять, кто выполнил то или иное действие;
• после увольнения или смены должности одного из пользователей приходится менять общий пароль для всех, а эту процедуру нередко откладывают;
• бывший сотрудник может сохранить доступ к ресурсам, которыми больше не должен пользоваться.

Персональные аккаунты позволяют точнее контролировать действия пользователей и закрывать доступ конкретному человеку без смены учётных данных всей команды. Привычка записывать пароли на бумаге остаётся распространённой, и по исследованию «Лаборатории Касперского» и hh.ru, 21% опрошенных россиян записывают рабочие пароли в блокнот, по 8% хранят их в браузере или заметках мобильного, а менеджерами паролей пользуются 17% участников.

Александр Гусев порекомендовал переносить учётные данные из таблиц и переписок в корпоративное хранилище паролей, для критичных систем использовать индивидуальные аккаунты, а двухфакторную аутентификацию применять везде, где она доступна. Компаниям нужно регулярно пересматривать права доступа, закрывать неиспользуемые записи и менять пароли, если они могли попасть к посторонним, а старые сообщения с конфиденциальными данными считать потенциальным источником утечки, а не безобидным архивом.

Одних запретов мало, потому что, если сотрудникам неудобно получать и хранить пароли разрешённым способом, они продолжат передавать их через привычные каналы, поэтому безопасные инструменты должны быть простыми. Главный риск связан не только со слабыми паролями, но и с тем, где и как долго они хранятся, и сообщение, отправленное ради экономии пары минут, способно стать точкой входа в корпоративную сеть спустя годы.

Ранее сообщалось, что россияне могут защитить аккаунты пожилых родственников на «Госуслугах» через доверенный контакт. Депутат Госдумы Георгий Камнев отметил, что такой человек получает уведомления о восстановлении пароля, но полного доступа к кабинету не имеет.