Безопасность аккаунтов музыканта: доступы, почта и 2FA

Доступы подрядчикам: роли, а не пароли

Ситуация возникает постоянно: дизайнеру нужно загрузить обложку, менеджеру — посмотреть статистику, подрядчику по продвижению — что-то настроить.

Правильно:

• пригласить с ограниченной ролью там, где площадка это поддерживает;
• выполнить действие своими руками на созвоне с демонстрацией экрана;
• выгрузить нужные данные и передать их файлом.

Неправильно:

• отправить логин и пароль в мессенджере;
• дать доступ к почте «на время»;
• оставить доступ после окончания работы.

Разница принципиальная: роль отзывается одним нажатием, а переданный пароль — только сменой пароля и выходом из всех сессий. Смежная тема — мошенничество в музыке, где просьба «дать доступ, чтобы всё настроить» является одной из типовых схем.

Фишинг: как это выглядит

Письмо «от площадки» или «от дистрибьютора», в котором:

• домен похож на настоящий, но отличается символом или зоной;
• создаётся срочность: «профиль будет удалён в течение 24 часов», «подтвердите права на релиз сегодня»;
• есть ссылка на форму ввода логина и пароля.

Площадки не запрашивают пароли по почте. Правильная реакция одна: не переходить по ссылке, открыть кабинет самостоятельно через закладку и проверить, есть ли там уведомление. Если письмо выглядит убедительно — напишите в поддержку сервиса напрямую.

Если доступ потерян

Порядок действий, где важна скорость:

1. Сменить пароль почты и включить двухфакторную защиту, если её не было.
2. Отозвать активные сессии и доступ сторонних приложений.
3. Сменить пароли связанных сервисов — начиная с дистрибьютора.
4. Написать в поддержку взломанного сервиса, приложив доказательства владения: чеки, договоры, скриншоты, дату регистрации.
5. Предупредить дистрибьютора — чтобы через ваш профиль не залили чужие релизы.
6. Проверить платёжные реквизиты в кабинете выплат: их подмена — типичная цель взлома.

Отдельная процедура для карточки артиста на площадках описана в статье как восстановить доступ к карточке артиста, а что делать, если в вашем профиле появились чужие треки, — в статье трек попал не в ту карточку артиста.

Доступы внутри группы

Типичный сценарий распада: всё зарегистрировано на одного участника, и остальные теряют управление каталогом и соцсетями. Решается заранее:

• общий почтовый ящик под сервисы с доступом у двух-трёх человек;
• менеджер паролей с общим хранилищем;
• письменная договорённость, что происходит с активами при уходе участника — часть более широкой темы, разобранной в статье права в музыкальной группе;
• список активов: где что зарегистрировано и на кого.

Чек-лист

1. Заведена отдельная почта под музыкальные сервисы
2. На почте включена двухфакторная аутентификация
3. Пароли уникальные и хранятся в менеджере паролей
4. Резервные коды сохранены отдельно от телефона
5. 2FA включена в кабинете дистрибьютора и на площадках
6. Подрядчики работают через роли, а не через ваш пароль
7. Отозваны доступы старых сторонних приложений
8. Составлен список активов: где что зарегистрировано
9. В группе доступ к ключевым аккаунтам есть более чем у одного человека
10. Раз в несколько месяцев проверяются активные сессии

Почему аккаунт в соцсети не актив — как перевести аудиторию между площадками.

Самый частый сценарий потери — потерян доступ к почте проекта.

Второй слой безопасности — не технический, а человеческий: границы с фанатами.

Коротко

Главный актив — почта, на которую зарегистрированы сервисы: через неё восстанавливается доступ ко всему остальному, включая кабинет дистрибьютора и каталог. Поэтому базовый набор такой: отдельный ящик под музыку, двухфакторная аутентификация везде, уникальные пароли в менеджере и резервные коды, сохранённые отдельно от телефона.

Подрядчикам выдают роли, а не пароли: роль отзывается одним нажатием. Письма «от площадки» с угрозой удаления профиля и ссылкой на ввод пароля — фишинг, проверять надо в кабинете, а не по ссылке. А при потере доступа порядок фиксированный: почта, сессии, связанные сервисы, поддержка, дистрибьютор и проверка платёжных реквизитов.