Як захистити акаунти й цифрову особу.

Почніть з електронної пошти

1. 1Увімкніть другий крок входу для пошти, банку, медичних сервісів і соцмереж: зламана пошта може відкрити доступ до інших ваших акаунтів ¹.

Оберіть найсильніший другий крок

1. 1Віддавайте перевагу ключам доступу (passkeys) або апаратним ключам безпеки. NCSC каже, що ключі доступу «зупиняють фішинг»: на кожному сайті діє власний ключ, тому підроблений сайт не може ним скористатися ². NIST визначає стійку до фішингу автентифікацію як криптографічну й прив'язану до перевіряючої сторони (приклад: WebAuthn), а паролі, одноразові коди й коди поза каналом такими не вважає ³.
2. 2Застосунок-автентифікатор чи біометрія кращі, ніж нічого. CISA наводить SMS-коди, застосунки й біометрію без ранжування ¹. NIST розглядає SMS і голосові дзвінки як «обмежений» автентифікатор і забороняє електронну пошту для передавання кодів поза каналом ³. Джерела розставляють акценти по-різному.

Паролі

1. 1Користуйтеся менеджером паролів, унікальним паролем для кожного сайту й двоетапним входом у сам менеджер ².
2. 2Дотримуйтеся сучасних порад NIST: не змінюйте паролі за графіком, а лише за ознак компрометації. Не нав'язуйте правил складу. Мінімум 15 символів, якщо пароль є єдиним фактором, і 8, якщо він лише частина багатофакторної автентифікації ³.

Відновлення доступу: про що забувають

1. 1Збережіть коди відновлення офлайн і створіть резервні способи відновлення, як-от ключі відновлення чи довірені контакти ².
2. 2Вважайте номер телефону активом безпеки: за визначенням NIST, зміна зареєстрованого номера є прив'язкою нового автентифікатора ³.
3. 3Пам'ятайте, що заміна SIM-картки й перенесення номера є індикаторами ризику для кодів із SMS ³.

Підміна особи

1. 1Зареєструйте своє ім'я чи псевдонім на основних платформах і заведіть одну сторінку зі списком своїх офіційних каналів.
2. 2Повідомляйте про самозванців через механізми скарг платформ. Наприклад, YouTube вимагає, щоб скаргу на порушення приватності подавала сама постраждала особа ⁵.
3. 3Повідомлення від «друзів» із проханням позичити гроші можуть надходити зі зламаного акаунта. За словами Мінцифри, близько 44% дорослих їх отримували (дослідження в заяві не уточнено) ⁶. Перевірте голосом чи іншим каналом (див. посібник «Клонований голос і фальшиві дзвінки»).

Зменште, чим можуть скористатися шахраї

1. 1Зробіть акаунти приватними, обмежте публічні записи голосу й відео та перегляньте, що ви публікуєте ^{4 8}.

Якщо акаунт зламано

1. 1Відновлюйте доступ із чистого пристрою.
2. 2Змініть пароль.
3. 3Завершіть усі активні сеанси.
4. 4Знову ввімкніть двоетапний вхід.
5. 5Попередьте контакти, що з акаунта могли надсилати шахрайські повідомлення.
6. 6Повідомте Кіберполіцію ⁷.

Обмеження