Три речі, які варто налаштувати першого ж дня

Перше: двофакторна автентифікація застосунком

Двофакторка буває двох видів, і різниця між ними принципова.

Другий рядок — уся суть. Атака на номер телефона не потребує вашого пристрою взагалі: достатньо переконати оператора видати нову SIM-картку. Застосунок-автентифікатор цю дорогу закриває.

Як налаштувати без помилок

1. Встановіть автентифікатор із офіційного магазинуНе за посиланням із чату й не «збірку» зі стороннього сайту.
2. Збережіть ключ, а не лише QR-кодТекстовий рядок під кодом дозволяє відновити доступ на новому пристрої.
3. Випишіть резервні коди на папірНе в нотатки телефона — саме той пристрій ви й можете втратити.
4. Перевірте вхід одразуВийдіть і зайдіть знову, поки все свіже і є час це виправити.

Друге: антифішинговий код

Це коротка фраза, яку ви задаєте самі й яку біржа підставляє у всі свої листи до вас. Механіка проста до банальності, а ефект великий: лист без вашої фрази — не від біржі, і читати його далі не треба.

• Придумайте щось, що впізнаєте миттєво, але що не вгадується: не ім'я, не дату народження.
• Не публікуйте цю фразу ніде й нікому не називайте — навіть «підтримці».
• Перевіряйте її саме в тілі листа, а не в темі — тему підробити простіше.

Це найдешевший захист із трьох і найчастіше пропущений. Він майже повністю знімає ефективність підроблених листів на кшталт «підозріла активність, підтвердіть акаунт». Як розпізнавати підробки в інших каналах — у трьох перевірках.

Третє: білий список адрес для виведення

Увімкнений білий список означає, що вивести кошти можна лише на адреси, які ви заздалегідь зберегли. Додавання нової адреси зазвичай супроводжується паузою — від доби і більше.

Саме ця пауза й потрібна. Навіть якщо зловмисник отримав повний доступ до акаунта, виводити йому нікуди: його адреси в списку немає, а поки чекає добу — ви встигаєте помітити й зреагувати.

1. Додайте свої адреси заздалегідьСпокійно, до того, як вони знадобляться терміново.
2. Підпишіть кожну зрозумілоІз зазначенням мережі. Це заразом захищає від помилки з мережею.
3. Не вимикайте список заради одного разуСаме «одного разу» зазвичай і виявляється тим випадком.

Що ще варто зробити того ж дня

• Увімкніть двофакторку на поштовій скриньці. Пошта — це ключ від усього іншого, і про неї забувають.
• Задайте пароль, який більше ніде не використовується. Менеджер паролів робить це безболісним.
• Перевірте список активних сесій і пристроїв, вийдіть із усіх незнайомих.
• Вимкніть показ балансу на екрані блокування, якщо застосунок це дозволяє.

Що саме зупиняє кожне налаштування

Корисно бачити не список справ, а відповідність «загроза — механізм». Тоді зрозуміло, чому пропустити один пункт не можна компенсувати старанністю в інших.

Останній рядок пояснює, чому пошта стоїть у цьому списку нарівні з біржею: скринька — це ключ від відновлення всього іншого, і зловмисники йдуть саме туди.

Пристрої, сесії й те, що варто переглядати раз на місяць

Налаштування робляться один раз, але кілька речей варто час від часу передивлятися — це займає хвилину.

• Список активних сесій і пристроїв: усе незнайоме — завершити.
• Список адрес у білому списку: прибрати ті, якими більше не користуєтеся.
• Прив'язані застосунки й API-ключі, якщо ви колись їх створювали.
• Актуальність пошти й номера телефона, прив'язаних до акаунта.

Окремо про телефон: якщо ви змінюєте номер, зніміть прив'язку до старого до того, як він перестане бути вашим. Номери повертаються в обіг і видаються іншим людям, і разом із номером до них інколи переходять чужі процедури відновлення.

Дві речі, актуальні саме тут

Загальні поради вище справедливі скрізь. Але є два сценарії, які українському читачеві варто прорахувати окремо.

Перше: номер телефона. Перевипуск SIM-картки на іншу людину — це не екзотика, і саме тому вище сказано переводити двофакторку на застосунок. Додайте до цього побутове: якщо ви змінюєте оператора, їдете надовго за кордон або номер може просто перестати обслуговуватися, усе, що прив'язане до SMS, стає ненадійним раніше, ніж ви про це згадаєте. Прив'язку до старого номера знімайте до того, як він перестане бути вашим.

Друге: втрата доступу до пристрою. Телефон можна не лише загубити — його можна залишити там, куди ви зараз не повернетеся. Тому резервні коди на папері тут не формальність, а єдиний шлях назад; тримайте їх окремо від пристрою і бажано не за тією ж адресою. Якщо є можливість, майте другий пристрій з тим самим автентифікатором.

І дрібниця, яку часто пропускають: пошта, до якої прив'язаний акаунт, має бути на сервісі, доступ до якого ви збережете за будь-яких обставин. Скринька від роботодавця або від провайдера — не той випадок.

Звички, які важать більше за налаштування

Технічні заходи зупиняють технічні атаки. Але більшість реальних втрат починається не зі зламу, а з розмови.

• Код підтвердження не називають нікому. Взагалі нікому, без винятків для «підтримки».
• Заходять лише зі своєї закладки або офіційного застосунку — не з посилання в чаті.
• Ніколи не встановлюють «оновлену версію» застосунку зі стороннього сайту.
• Не обговорюють розмір своїх активів у публічних чатах.
• Кожну термінову вимогу зустрічають паузою: справжні процедури терміновості не потребують.

Якщо доступ уже втрачено

1. Змініть пароль пошти першимЧасто зламують саме її, а акаунт біржі — уже наслідок.
2. Завершіть усі сесії в акаунтіІз будь-якого пристрою, де ви ще залогінені.
3. Зверніться до підтримки самі, з офіційного застосункуНе через посилання, які надійдуть вам у відповідь на скаргу в соцмережах.
4. Не платіть «фахівцям із повернення»Це другий шар шахрайства, націлений саме на постраждалих.

Перевірити, чи все з цього переліку у вас зроблено, зручно чек-листом готовності. А розібратися, чому в біржового акаунта немає сід-фрази й чому це змінює логіку захисту, — у матеріалі про ключі.