Безопасность аккаунтов музыканта: доступы, почта и 2FA

Историю «потерял доступ к карточке артиста» слышал каждый, кто давно в музыке. Обычно это не изощрённый взлом, а цепочка бытовых решений: пароль от почты повторяется на десятке сайтов, двухфакторная защита не включена, а логин от кабинета когда-то отправили подрядчику в мессенджере. Разберём, что защищать в первую очередь, как выдавать доступы и что делать, если контроль всё-таки потерян.

Что на самом деле является активом

Не аккаунт в соцсети и даже не профиль на площадке, а почта, на которую всё зарегистрировано. Получив к ней доступ, посторонний восстанавливает пароли ко всему остальному.

Порядок ценности:

1. Почта — ключ ко всему.
2. Кабинет дистрибьютора — через него управляется каталог и приходят деньги.
3. Кабинеты артиста на площадках — оформление, статистика, питчинг.
4. Соцсети и мессенджеры — аудитория и репутация.
5. Хранилища файлов — архив проектов, стемы, мастера.

Базовый набор защиты

• Уникальные пароли на каждый сервис — через менеджер паролей, а не в заметках телефона.
• Двухфакторная аутентификация везде, где она есть. Приложение-аутентификатор надёжнее кода в сообщении: номер телефона можно перехватить.
• Резервные коды сохранены отдельно от устройства с аутентификатором. Чаще всего доступ теряют не из-за взлома, а из-за потери или поломки телефона.
• Проверка активных сессий раз в несколько месяцев: в настройках безопасности видно, откуда выполнен вход.
• Отзыв сторонних приложений, которым вы когда-то дали доступ к аккаунту и больше ими не пользуетесь.

Доступы подрядчикам: роли, а не пароли

Ситуация возникает постоянно: дизайнеру нужно загрузить обложку, менеджеру — посмотреть статистику, подрядчику по продвижению — что-то настроить.

Правильно:

• пригласить с ограниченной ролью там, где площадка это поддерживает;
• выполнить действие своими руками на созвоне с демонстрацией экрана;
• выгрузить нужные данные и передать их файлом.

Неправильно:

• отправить логин и пароль в мессенджере;
• дать доступ к почте «на время»;
• оставить доступ после окончания работы.

Разница принципиальная: роль отзывается одним нажатием, а переданный пароль — только сменой пароля и выходом из всех сессий. Смежная тема — мошенничество в музыке, где просьба «дать доступ, чтобы всё настроить» является одной из типовых схем.

Фишинг: как это выглядит

Письмо «от площадки» или «от дистрибьютора», в котором:

• домен похож на настоящий, но отличается символом или зоной;
• создаётся срочность: «профиль будет удалён в течение 24 часов», «подтвердите права на релиз сегодня»;
• есть ссылка на форму ввода логина и пароля.

Площадки не запрашивают пароли по почте. Правильная реакция одна: не переходить по ссылке, открыть кабинет самостоятельно через закладку и проверить, есть ли там уведомление. Если письмо выглядит убедительно — напишите в поддержку сервиса напрямую.

Если доступ потерян

Порядок действий, где важна скорость:

1. Сменить пароль почты и включить двухфакторную защиту, если её не было.
2. Отозвать активные сессии и доступ сторонних приложений.
3. Сменить пароли связанных сервисов — начиная с дистрибьютора.
4. Написать в поддержку взломанного сервиса, приложив доказательства владения: чеки, договоры, скриншоты, дату регистрации.
5. Предупредить дистрибьютора — чтобы через ваш профиль не залили чужие релизы.
6. Проверить платёжные реквизиты в кабинете выплат: их подмена — типичная цель взлома.

Отдельная процедура для карточки артиста на площадках описана в статье как восстановить доступ к карточке артиста, а что делать, если в вашем профиле появились чужие треки, — в статье трек попал не в ту карточку артиста.

Доступы внутри группы

Типичный сценарий распада: всё зарегистрировано на одного участника, и остальные теряют управление каталогом и соцсетями. Решается заранее:

• общий почтовый ящик под сервисы с доступом у двух-трёх человек;
• менеджер паролей с общим хранилищем;
• письменная договорённость, что происходит с активами при уходе участника — часть более широкой темы, разобранной в статье права в музыкальной группе;
• список активов: где что зарегистрировано и на кого.

Чек-лист

1. Заведена отдельная почта под музыкальные сервисы
2. На почте включена двухфакторная аутентификация
3. Пароли уникальные и хранятся в менеджере паролей
4. Резервные коды сохранены отдельно от телефона
5. 2FA включена в кабинете дистрибьютора и на площадках
6. Подрядчики работают через роли, а не через ваш пароль
7. Отозваны доступы старых сторонних приложений
8. Составлен список активов: где что зарегистрировано
9. В группе доступ к ключевым аккаунтам есть более чем у одного человека
10. Раз в несколько месяцев проверяются активные сессии

Коротко

Главный актив — почта, на которую зарегистрированы сервисы: через неё восстанавливается доступ ко всему остальному, включая кабинет дистрибьютора и каталог. Поэтому базовый набор такой: отдельный ящик под музыку, двухфакторная аутентификация везде, уникальные пароли в менеджере и резервные коды, сохранённые отдельно от телефона.

Подрядчикам выдают роли, а не пароли: роль отзывается одним нажатием. Письма «от площадки» с угрозой удаления профиля и ссылкой на ввод пароля — фишинг, проверять надо в кабинете, а не по ссылке. А при потере доступа порядок фиксированный: почта, сессии, связанные сервисы, поддержка, дистрибьютор и проверка платёжных реквизитов.