Το feed σου ξαφνικά προωθεί έναν σύνδεσμο για κρυπτονομίσματα που δεν ενέκρινες ποτέ. Μηνύματα επαναφοράς κωδικού πλημμυρίζουν ένα inbox που νόμιζες ασφαλές. Ένας εξωτερικός συνεργάτης έχει ακόμα πρόσβαση διαχειριστή έξι μήνες μετά το τέλος του έργου. Καθένα από αυτά είναι ένα κενό ασφαλείας που περιμένει να γίνει δημόσια κρίση.
Οι χακαρισμένοι λογαριασμοί social media κινούνται πιο γρήγορα από τα περισσότερα προβλήματα δημοσίων σχέσεων, επειδή οι ακόλουθοι εμπιστεύονται το ίδιο το κανάλι. Όταν μιλά ο λογαριασμός της επωνυμίας, ο κόσμος θεωρεί ότι μιλάς εσύ. Εδώ θα δεις τις συνήθειες πρόληψης και τα πρώτα βήματα ανάκτησης, αν παραβιαστεί η πρόσβαση.
Γιατί η ασφάλεια λογαριασμών social media είναι θέμα κρίσης;
Ένας παραβιασμένος λογαριασμός μπορεί να δημοσιεύσει απάτες, προσβλητικό περιεχόμενο ή ψευδείς δηλώσεις που αποδίδονται στην επωνυμία σου. Οι ακόλουθοι μπορεί να πατήσουν κακόβουλους συνδέσμους πριν ανακτήσεις τον έλεγχο. Τα στιγμιότυπα οθόνης επιβιώνουν ακόμα κι αν διαγράψεις τις αναρτήσεις.
Τα περιστατικά ασφαλείας επικαλύπτονται με τον κίνδυνο για τη φήμη και τον νομικό κίνδυνο. Οι πελάτες που χάνουν χρήματα σε μια απάτη που δημοσιεύτηκε από τον λογαριασμό σου θα κατηγορήσουν την επωνυμία σου, ακόμη κι αν ήσουν κι εσύ θύμα.
Η πρόληψη κοστίζει λιγότερο από την ανάκτηση. Τα περισσότερα hacks εκμεταλλεύονται επαναχρησιμοποιημένους κωδικούς, την απουσία ελέγχου ταυτότητας δύο παραγόντων ή κοινά logins που αποθηκεύονται σε συνομιλίες.
Ποια βασικά μέτρα ασφαλείας πρέπει να έχει κάθε λογαριασμός επωνυμίας;
Ενεργοποίησε τον έλεγχο ταυτότητας δύο παραγόντων σε κάθε επαγγελματικό λογαριασμό και στις διευθύνσεις email που χρησιμοποιείς για ανάκτηση. Χρησιμοποίησε μοναδικούς κωδικούς, αποθηκευμένους σε έναν κοινό διαχειριστή κωδικών της ομάδας, και όχι τους ίδιους προσωπικούς κωδικούς σε πολλά μέρη.
Περιόρισε τους ρόλους διαχειριστή. Δεν χρειάζεται όποιος δημοσιεύει περιεχόμενο να έχει πρόσβαση στην τιμολόγηση ή δικαιώματα διαχείρισης χρηστών. Έλεγχε τη λίστα ρόλων κάθε μήνα και αφαίρεσε αμέσως τους συνεργάτες που έφυγαν.
Απόφυγε να συνδέεσαι από κοινόχρηστες δημόσιες συσκευές. Αν πρέπει, αποσυνδέσου πλήρως και μην αποθηκεύεις ποτέ κωδικούς σε προφίλ προγράμματος περιήγησης που χρησιμοποιούν και άλλοι.
Πώς στοχεύουν τα phishing attacks τις ομάδες social;
Τα μηνύματα phishing μιμούνται την υποστήριξη της πλατφόρμας, ειδοποιήσεις στατιστικών ή προσκλήσεις συνεργασίας. Σε πιέζουν να πατήσεις σε μια σελίδα σύνδεσης που κλέβει τα στοιχεία σου. Οι πραγματικές πλατφόρμες σπάνια ζητούν κωδικούς μέσω άμεσων μηνυμάτων.
Εκπαίδευσε όποιον έχει πρόσβαση να επαληθεύει τους συνδέσμους, πληκτρολογώντας χειροκίνητα την επίσημη διεύθυνση ή χρησιμοποιώντας αποθηκευμένους σελιδοδείκτες. Όταν ένα μήνυμα ισχυρίζεται ότι ο λογαριασμός αναστέλλεται επειγόντως, σταμάτα και επιβεβαίωσε μέσω των επίσημων καναλιών βοήθειας.
Κατάγραψε τα εγκεκριμένα εργαλεία για προγραμματισμό και στατιστικά, ώστε οι υπάλληλοι να αναγνωρίζουν τις ανεπίσημες εφαρμογές που ζητούν πρόσβαση στον λογαριασμό.
Τι κάνεις αν χακαριστεί ο λογαριασμός σου;
Δράσε με σειρά. Δοκίμασε αμέσως τις επίσημες διαδικασίες ανάκτησης λογαριασμού. Άλλαξε τους κωδικούς στον λογαριασμό social, στο email ανάκτησης και σε όποιους συνδεδεμένους λογαριασμούς υπάρχουν. Ανάκαλεσε τις άγνωστες συνεδρίες και τις συνδεδεμένες εφαρμογές από τις ρυθμίσεις ασφαλείας.
Δημοσίευσε μια σύντομη προειδοποίηση στα άλλα κανάλια που ελέγχεις ακόμα. Πες στο κοινό να μην πατά συνδέσμους και να μη στέλνει χρήματα μέχρι να επιβεβαιώσεις ότι ανέκτησες τον έλεγχο. Καρφίτσωσε την προειδοποίηση, αν γίνεται.
Κατάγραψε τις ώρες των μη εξουσιοδοτημένων αναρτήσεων και τράβηξε στιγμιότυπα οθόνης για τις προσφυγές στην πλατφόρμα και για εσωτερική αξιολόγηση. Μετά την ανάκτηση, έλεγξε ποιος είχε πρόσβαση και πώς έγινε η είσοδος.
Αν η πλατφόρμα κλειδώσει τον λογαριασμό, ακολούθησε τη διαδικασία προσφυγής στο κεφάλαιο Ανάκτηση μετά από αποκλεισμό λογαριασμού social media. Η απώλεια ασφάλειας και οι αποκλεισμοί λόγω πολιτικής επικαλύπτονται συχνότερα απ' όσο περιμένουν οι ομάδες.
Πώς αποτρέπεις να ξανασυμβεί;
Κάνε τριμηνιαίο έλεγχο πρόσβασης. Οι ρόλοι, οι συσκευές και τα δικαιώματα των συνεργατών αλλάζουν συνεχώς. Συνδύασε τους ελέγχους με μια σύντομη επανάληψη εκπαίδευσης πάνω σε παραδείγματα phishing.
Φύλαξε τους κωδικούς ανάκτησης με ασφάλεια, όχι στην ίδια συνομιλία όπου διαρρέουν οι κωδικοί. Όρισε έναν εφεδρικό υπεύθυνο που μπορεί να ξεκινήσει την ανάκτηση, αν ο κύριος υπεύθυνος δεν είναι διαθέσιμος.
Σύνδεσε τις συνήθειες ασφαλείας με το σχέδιο κρίσης σου στο κεφάλαιο Πώς φτιάχνεις ένα σχέδιο αντίδρασης σε κρίση στα social media και κατέταξε τα hacks στους τύπους ασφαλείας στο κεφάλαιο Τύποι κρίσεων στα social media.
Συχνές ερωτήσεις
Αρκεί ο έλεγχος ταυτότητας δύο παραγόντων για να σταματήσουν τα hacks;
Ο έλεγχος ταυτότητας δύο παραγόντων σταματά τις περισσότερες κλοπές διαπιστευτηρίων, όχι όμως τις επιθέσεις SIM swap ή την κλοπή συσκευής, αν οι συνεδρίες μένουν ανοιχτές. Συνδύασέ τον με περιορισμό ρόλων, μοναδικούς κωδικούς και ελέγχους συνεδριών. Με τον δημιουργό ιστοσελίδων της WEMASY φτιάχνεις τις δικές σου σελίδες στην ιστοσελίδα σου. Άνοιξε τον δημιουργό ιστοσελίδων.
Πρέπει οι freelancers να παίρνουν πλήρη πρόσβαση διαχειριστή στους λογαριασμούς της επωνυμίας;
Δώσε τον ελάχιστο ρόλο που χρειάζεται για την εργασία, συχνά δημοσίευση περιεχομένου χωρίς διαχείριση χρηστών. Αφαίρεσε την πρόσβαση την ημέρα που τελειώνει η δουλειά. Τα κοινά, μόνιμα logins διαχειριστή είναι συνηθισμένο σημείο εισόδου για hacks.
Τι γίνεται αν ο hacker δημοσιεύσει προσβλητικό περιεχόμενο πριν ανακτήσεις τον έλεγχο;
Ανάκτησε πρώτα την πρόσβαση και μετά δημοσίευσε μια τεκμηριωμένη δήλωση ότι ο λογαριασμός παραβιάστηκε, ανέφερε τις επιβλαβείς αναρτήσεις που πρέπει να αγνοηθούν και εξήγησε πώς προστατεύεις τους πελάτες. Ακολούθησε τα βήματα για την viral αντίδραση, αν η οργή εξαπλωθεί.
Κάθε πότε πρέπει να αλλάζουν οι κωδικοί;
Άλλαξέ τους αμέσως μετά από αλλαγές προσωπικού, ύποπτο phishing ή οποιοδήποτε περιστατικό. Η τακτική εναλλαγή μετράει λιγότερο από τους μοναδικούς ισχυρούς κωδικούς σε συνδυασμό με έλεγχο ταυτότητας δύο παραγόντων, αλλά οι προγραμματισμένοι έλεγχοι εξακολουθούν να βοηθούν.
Μπορούν οι προγραμματισμένες αναρτήσεις να προκαλέσουν προβλήματα ασφαλείας;
Τα εργαλεία προγραμματισμού που συνδέονται με τον λογαριασμό σου γίνονται επιφάνεια επίθεσης, αν παραβιαστούν. Έλεγξε τις συνδεδεμένες εφαρμογές κατά τους ελέγχους πρόσβασης και αφαίρεσε όσες δεν χρησιμοποιείς πια.
Πρέπει να πεις στους πελάτες να αναφέρουν τις αναρτήσεις απάτης;
Ναι. Ζήτα τους να αναφέρουν τις αναρτήσεις πλαστοπροσωπίας ή απάτης μέσω των επίσημων εργαλείων της πλατφόρμας και να επαληθεύουν τους συνδέσμους μόνο στην ιστοσελίδα σου. Ένας σαφής σύνδεσμος προς το domain σου μειώνει τη βλάβη που ακολουθεί.