Kto zarządza Twoim fanpage'em? Ukryte ryzyko uprawnień

Bezpieczeństwo cyfrowe małej firmy często kojarzy się z ochroną strony internetowej, silnymi hasłami do poczty czy zabezpieczeniem bazy danych klientów. Tymczasem poważne zagrożenie może czaić się w miejscach, które na co dzień wydają się całkowicie bezpieczne – w mediach społecznościowych. Zarządzanie profilami firmowymi bywa spychane na dalszy plan, a kwestie dostępu pozostają poza kontrolą działu IT.

Historia opisana przez Sergueya Shindera pokazuje, jak łatwo stracić panowanie nad wizerunkiem marki w sieci. Pewnej jesieni o godzinie 23:00 na profilu firmy na LinkedIn pojawiło się nieautoryzowane ogłoszenie o pracę skierowane do kierowców. Post zawierał link do zewnętrznego formularza, który wyłudzał numery kont bankowych oraz skany paszportów rzekomo w celach płacowych. Publikacja wisiała przez dziewięć godzin i została udostępniona około czterdzieści razy, zanim rano marketingowiec ją usunął. Sprawa została zgłoszona do platformy oraz na policję.

Przeprowadzony po incydencie audyt przyniósł zaskakujące wyniki. Okazało się, że nikt w firmie nie posiadał kompletnej listy osób mogących publikować w jej imieniu. Na czterech platformach społecznościowych aż dziewięćnaście osób miało uprawnienia administratora lub mogło dodawać treści. Co najbardziej alarmujące, siedem z tych osób dawno już nie pracowało w firmie – w tym były kierownik marketingu, dwóch stażystów oraz agencja designu, z którą współpraca zakończyła się w 2023 roku.

Skąd wzięły się luki w dostępie do profili firmowych?

Źródłem problemu okazało się konto zewnętrznej agencji reklamowej. Jeden z jej pracowników użył ponownie hasła z innej, wcześniej zhakowanej strony internetowej, co doprowadziło do przejęcia konta. Agencja nawet nie wiedziała o incydencie, dopóki nie skontaktowała się z nią poszkodowana firma. Co istotne, standardowe procedury offboardingu, takie jak wyłączenie konta pracownika w firmowej sieci, nie miały tutaj żadnego zastosowania.

Wszystkie działania w social mediach opierały się na prywatnych kontach użytkowników poszczególnych platform, do których uprawnienia były dodawane pojedynczo przez lata. Takie rozwiązania całkowicie omijały firmowy system logowania jednokrotnego (SSO), a dwuskładnikowe uwierzytelnianie było pozostawione decyzji każdej z osób z osobna. Brak centralnego nadzoru sprawił, że profile żyły własnym życiem, a uprawnienia former pracowników pozostawały aktywne bezterminowo.

Jakie działania wdrożono po incydencie?

Po wykryciu luki w zabezpieczeniach struktura zarządzania mediami społecznościowymi została całkowicie przebudowana. Obecnie każda platforma ma wyznaczonego głównego właściciela w dziale marketingu oraz drugiego właściciela w zespole IT. Wprowadzono zasadę, że minimalnie dwie osoby będące aktualnymi pracownikami firmy muszą posiadać uprawnienia administracyjne, a żadne podmioty zewnętrzne nie mogą dysponować wyższymi uprawnieniami niż te niezbędne do publikacji postów. Powiązany temat opisaliśmy w artykule „Ile kosztuje grafika AI? Zestawienie 12 generatorów bez ściemy”.

Współpraca z agencjami została uregulowana formalnie. Dostęp do profili jest przyznawany wyłącznie na czas trwania kontraktu, którego data zakończenia figuruje w rejestrze umów – po tym terminie uprawnienia są automatycznie odbierane. Co więcej, w miejscach, gdzie platformy oferują narzędzia do zarządzania biznesowego, dostęp przechodzi przez dedykowane systemy firmowe, a nie przez prywatne zaproszenia profilowe.

Nowe zasady bezpieczeństwa i weryfikacji

Każda osoba zarządzająca profilami firmowymi została zobowiązana do korzystania z dwuskładnikowego uwierzytelniania (2FA). Wprowadzono również nowy punkt do wewnętrznej listy kontrolnej dla odchodzących pracowników – od teraz procedura offboardingu zawsze uwzględnia sprawdzenie, czy dana osoba posiada jakiekolwiek role na firmowych stronach społecznościowych.

Dodatkowo wdrożono cykliczne działania kontrolne. Cała lista osób posiadających uprawnienia administratorskie w mediach społecznościowych podlega rygorystycznemu przeglądowi co kwartał. Jak zauważył autor incydentu, profil firmowy przemawia głosem organizacji do każdego klienta oraz kandydata do pracy, dlatego wymaga ochrony na poziomie nie mniejszym niż kluczowe zasoby biznesowe.

Co to oznacza dla małej firmy?

Właściciele mniejszych firm często powierzają prowadzenie mediów społecznościowych zewnętrznym wykonawcom, praktykantom lub kolejnym pracownikom, zapominając o audycie uprawnień. Brak formalnego rejestru dostępu oznacza, że w razie nagłego zakończenia współpracy z podwykonawcą lub rotacji kadr, dawni współpracownicy zachowują klucze do wizerunku marki. Taka sytuacja stwarza ogromne ryzyko – od publikacji kompromitujących treści po oszustwa finansowe wymierzone w klientów. Warto pamiętać, że dbanie o cyfrowe bezpieczeństwo i sprawne procesy w firmie to fundament stabilnego rozwoju, niezależnie od tego, czy rozwijasz swój biznes lokalnie na Śląsku, czy w skali kraju. Czasem kluczowe dla ochrony firmy może okazać się wsparcie specjalistów i odpowiednia diagnoza potrzeb firmy, która pozwala wykryć zaniedbania w obszarze technologicznym i organizacyjnym.

Podsumowanie

Zarządzanie obecnością w sieci wymaga takiej samej dyscypliny jak prowadzenie księgowości czy ochrona danych osobowych. Pozostawienie aktywnych kont byłych pracowników i agencji w mediach społecznościowych to zaproszenie dla cyberprzestępców. Regularne audyty uprawnień, centralizacja dostępu oraz skrupulatna lista kontrolna przy odchodzeniu pracowników z organizacji to minimalny standard, który pozwala uniknąć kryzysów wizerunkowych i utraty zaufania klientów.