Защитите аккаунты, способные сбросить всё остальное
Цифровая идентичность — это не один аккаунт. Это цепочка, связывающая вашу основную почту, номер телефона, код разблокировки устройства, финансовые счета, облачное хранилище, порталы здравоохранения, налоговые записи и способы восстановления доступа к аккаунтам. Злоумышленник, захвативший основную почту, может сбросить несколько других аккаунтов, даже не взламывая их пароли напрямую. ИИ способен сделать фишинг и имитацию личности быстрее и убедительнее, но самой полезной защитой остаются обычные меры безопасности: уникальные учётные данные, устойчивый к фишингу вход, надёжное восстановление доступа, обновления и отработанная привычка проверки. CISA относит надёжные пароли, многофакторную аутентификацию, распознавание фишинга и своевременные обновления ПО к основным действиям для потребителя.
Это общие рекомендации для домохозяйств США, а не индивидуализированная юридическая, финансовая консультация или консультация по кибербезопасности. Людям, сталкивающимся со сталкингом, домашним насилием, целенаправленным преследованием или скомпрометированным устройством, может понадобиться план безопасности с квалифицированным консультантом или специалистом по безопасности до изменения аккаунтов, поскольку резкие изменения могут насторожить обидчика.
Начните с аккаунтов, которые контролируют восстановление доступа: основная почта, аккаунт платформы, мобильный оператор, менеджер паролей и финансовые счета. Затем переходите к менее ценным сервисам. Такой порядок снижает риск того, что слабое восстановление доступа обесценит более сильную защиту в другом месте.
Используйте менеджер паролей, затем избавьтесь от повторного использования
Используйте надёжный менеджер паролей для создания и хранения отдельного пароля для каждого аккаунта. Практическая цель — не запомнить десятки сложных строк, а сделать так, чтобы одна утечка была бесполезна против любого другого сервиса. Защитите менеджер длинным уникальным мастер-паролем и самым надёжным из доступных вариантов многофакторной аутентификации. Не храните мастер-пароль в незашифрованной заметке рядом с кодами восстановления.
Сначала меняйте пароли к аккаунтам с самыми серьёзными последствиями, затем обновляйте повторно используемые пароли по мере того, как вы их обнаруживаете. Если сервис сообщает об утечке, меняйте учётные данные через известное приложение или введённый вручную адрес, а не через ссылку из предупреждающего сообщения. Для общего доступа предпочитайте отдельные входы в сервис или функцию семейного доступа менеджера паролей, а не пересылку пароля текстом.
Предпочитайте passkeys или ключи безопасности, спланировав восстановление
Passkeys и ключи безопасности FIDO/WebAuthn спроектированы так, что учётные данные привязаны к легитимному сайту. Правильно настроенные passkeys устойчивы к фишингу, поскольку поддельный домен не может перехватить многоразовый секрет для настоящего сайта; NIST описывает эту привязку к имени проверяющей стороны, а также объясняет компромиссы синхронизируемых passkeys. Это делает их сильным выбором для почты, менеджеров паролей, облачных аккаунтов и финансовых сервисов там, где они предлагаются.
«Passkey» не всегда означает отдельный аппаратный ключ. Passkey может храниться на одном устройстве, синхронизироваться через аккаунт платформы или храниться на физическом ключе безопасности. Синхронизируемые passkeys улучшают удобство и восстановление между устройствами, но тогда аккаунт платформы и его процесс восстановления становятся частью периметра безопасности. Аппаратный ключ снижает зависимость от такого аккаунта синхронизации, но единственный ключ можно потерять или повредить. Для ценного аккаунта регистрируйте не менее двух аутентификаторов, если сервис это позволяет: один держите под рукой, а резервный — в надёжном отдельном месте.
Не удаляйте существующий способ входа, пока не протестируете новый в отдельной сессии и не проверите восстановление. Храните одноразовые коды восстановления офлайн, в запертом месте. Проверьте, создаёт ли добавление нового аутентификатора уведомление, можно ли отозвать старые сессии, и какие номера телефонов или адреса почты способны сбросить аккаунт. Актуальное руководство NIST по аутентификаторам рассматривает восстановление как отдельное событие жизненного цикла, а не как второстепенную деталь.
Если passkeys недоступны, используйте самый надёжный вариант MFA, поддерживаемый сервисом. Приложение-аутентификатор или аппаратный токен обычно лишены некоторых слабостей SMS. SMS обычно всё же лучше, чем один пароль, но не устойчив к фишингу и зависит от безопасности телефонного аккаунта. Добавьте PIN-код аккаунта у оператора, включите доступную блокировку переноса номера или замены SIM-карты и никогда не диктуйте одноразовый код позвонившему без предварительного запроса. Настоящему сотруднику поддержки не нужен код, авторизующий вход.
Укрепите восстановление доступа и устройства
Дважды в год и после смены номера телефона, почты, отношений или состава семьи проверяйте настройки восстановления аккаунтов. Удаляйте бывшие рабочие адреса, старые номера, неизвестные устройства, устаревшие пароли приложений и людей, которым больше не нужен доступ к восстановлению. Указывайте контакт для восстановления только в том случае, если этот человек понимает ответственность и способен защитить собственный аккаунт.
Включите автоматические обновления для телефонов, компьютеров, браузеров, менеджеров паролей и защитного ПО. Используйте код разблокировки устройства, не являющийся датой рождения или повторяющейся цифрой, включайте полное шифрование устройства там, где оно доступно, и настройте быструю блокировку экрана. Скройте предпросмотр сообщений на экране блокировки, если он раскрывает коды входа или личную информацию. Делайте резервные копии важных данных проверенным способом, но помните, что облачная копия доступна через облачный аккаунт — защищайте этот аккаунт соответственно. О настройке маршрутизатора, сегментации сети и защите подключённых устройств, стоящих за этими аккаунтами, см. Безопасность домашней сети и устройств.
Снижайте раскрытие личности, не гонясь за невидимостью
Приватные настройки соцсетей снижают случайную видимость, но не делают публикацию приватной навсегда. Удаляйте публичные даты рождения, домашние адреса, привычные локации, школы, даты поездок, имена родственников и номера телефонов, если им не нужно быть публичными. Спрашивайте родственников перед тем, как отмечать детей или публиковать чёткие записи голоса и лица. Цель — усложнить сборку убедительного предлога, а не пообещать, что клонирование станет невозможным.
Сайты поиска людей собирают данные из публичных записей, соцсетей и других брокеров данных. FTC объясняет, как найти процесс отказа от индексации на сайте, но такие отказы неполны и могут требовать повторения. Используйте отдельный адрес почты для запросов на удаление, предоставляйте только реально требуемые данные для верификации и ведите датированный список выполненных запросов. Не загружайте документы, удостоверяющие личность, на непроверенный сервис «удаления» без раздумий.
Замораживайте кредитную историю там, где это уместно
Заморозка кредитной истории ограничивает доступ к кредитному файлу и может затруднить открытие нового кредита на имя этого человека. Она не останавливает захват существующего счёта, злоупотребление банковским балансом, налоговое мошенничество, кражу медицинской идентичности или все формы мошенничества с личностью. В США заморозка бесплатна, должна оформляться отдельно в каждом из общенациональных кредитных бюро и может сниматься при необходимости в законном кредите. Защищайте аккаунты бюро и учётные данные для управления заморозкой.
Родители и опекуны могут запросить заморозку для несовершеннолетнего. У ребёнка обычно ещё не должно быть кредитного файла; IdentityTheft.gov описывает процесс проверки и заморозки файла ребёнка для каждого бюро. Храните полученные записи в надёжном месте, поскольку они содержат идентифицирующую информацию.
Мониторинг кредита может предупредить вас после изменения файла — он не предотвращает само изменение. Также проверяйте оповещения банка и карты и получайте кредитные отчёты через AnnualCreditReport.com — официально уполномоченный федеральный источник, а не через похожий сайт, найденный по рекламе.
Установите для семьи правило транзакций
Технология не может определить, законен ли правдоподобно выглядящий запрос. Установите правило: никакой неожиданный запрос денег, учётных данных, кодов восстановления, удалённого доступа к компьютеру или секретности не выполняется в рамках того же разговора. Завершите контакт и проверьте через номер, приложение или личный канал, уже известный как настоящий. Семейная фраза-пароль может помочь, но не используйте факт, доступный онлайн, и не считайте фразу разрешением на перевод денег. Обратный звонок и проверка вторым человеком дают более надёжное подтверждение.
Обучите этому протоколу всех, кто имеет доступ к аккаунту. Для крупных переводов спросите банк об оповещениях, лимитах или одобрении вторым лицом.
Если произошла кража личности или захват аккаунта
Действуйте с устройства, которому вы имеете основания доверять. Свяжитесь с пострадавшим учреждением через выписку, карту или официальный сайт; смените скомпрометированные учётные данные; отзовите неизвестные сессии; сохраните сообщения, детали транзакций и метки времени. Если информация о личности была использована ненадлежащим образом, IdentityTheft.gov составляет индивидуальный план восстановления и отчёт о краже личности FTC. Сообщайте о киберпреступлениях в Центр приёма жалоб на интернет-преступления ФБР, когда это уместно, но вводите адрес вручную, поскольку ФБР предупреждало о поддельных сайтах IC3.
Не платите «агенту по возврату», обещающему вернуть украденные деньги за предоплату. Возможность возврата зависит от способа оплаты и скорости обращения. Немедленно свяжитесь с банком, эмитентом карты, сервисом переводов или эмитентом подарочной карты и спросите, можно ли остановить или отменить транзакцию; FTC перечисляет правильный первый контакт для каждого типа платежа.
Реалистичные первые выходные
- Защитите основную почту и менеджер паролей уникальными учётными данными и устойчивым к фишингу MFA.
- Зарегистрируйте и протестируйте резервный аутентификатор; распечатайте или надёжно сохраните коды восстановления.
- Заблокируйте аккаунт мобильного оператора и проверьте адреса, номера, сессии и устройства восстановления доступа.
- Включите автоматические обновления и шифрование устройства на каждом поддерживаемом устройстве в доме.
- Заморозьте кредитную историю для членов семьи, которым не нужен частый доступ к новому кредиту.
- Договоритесь, что необычные запросы денег или учётных данных всегда требуют независимого обратного звонка и повторной проверки.
Ни один чек-лист не делает кражу личности невозможной. Реалистичный результат — устранить распространённые точки входа, сдержать компрометацию и ускорить восстановление.