Личный кабинет управляет реальными деньгами: из него оформляют возвраты, меняют реквизиты для выплат и выпускают ключи доступа к API. Пароль здесь — единственный барьер, и второй фактор превращает украденный пароль из аварии в неудобство.
Что защищает второй фактор
- Реквизиты выплат: подмена счёта — самый быстрый способ увести деньги продавца.
- Ключи API: с ними можно создавать платежи и читать данные операций.
- Возвраты: массовое оформление возвратов на чужие карты выглядит как обычная работа магазина.
Почему пароля мало
- Пароль утекает вместе с любым другим сервисом, где его повторно использовали.
- Фишинговая страница собирает пароль так же легко, как настоящая форма входа.
- Заражённый компьютер сотрудника отдаёт пароль без его участия.
Что сделать сегодня
- Включите двухфакторную аутентификацию в настройках аккаунта.
- Заведите отдельные учётные записи сотрудникам вместо общего пароля на всех.
- Раздайте роли по задачам: бухгалтеру не нужны ключи API, разработчику — выплаты.
Как безопасно обращаться с ключами API — в отдельном ответе.
