zabezpieczenia konta

Zabezpieczenia konta obejmują silne hasło, uwierzytelnianie dwuskładnikowe i kontrolę reguł skrzynki.

Silne hasło jako pierwsza warstwa ochrony

Zabezpieczenia konta zaczynają się od unikalnego hasła używanego tylko w jednym serwisie. Jeżeli to samo hasło chroni pocztę, sklep internetowy i konto w mediach społecznościowych, wyciek danych z jednego miejsca może ułatwić przejęcie pozostałych kont. W praktyce bezpieczniejszym rozwiązaniem jest długie hasło lub fraza składająca się z kilku niepowiązanych słów, znaków interpunkcyjnych i cyfr. Nie powinno ono zawierać imienia, daty urodzenia, nazwy firmy, numeru telefonu ani łatwego do odgadnięcia schematu, takiego jak kolejne cyfry.

Hasła warto przechowywać w menedżerze haseł, który generuje losowe dane logowania i szyfruje zapisany magazyn. Hasło główne do menedżera musi być szczególnie długie i nie może być używane w innym miejscu. Nie należy zapisywać haseł w zwykłym pliku tekstowym ani przesyłać ich w wiadomościach. Gdy serwis informuje o wycieku lub podejrzanej aktywności, hasło trzeba zmienić bezpośrednio na jego stronie, wpisując adres ręcznie albo korzystając z własnej zakładki, a nie z linku otrzymanego w nieoczekiwanej wiadomości.

Uwierzytelnianie dwuskładnikowe i odzyskiwanie dostępu

Uwierzytelnianie dwuskładnikowe wymaga, oprócz hasła, drugiego potwierdzenia tożsamości. Może nim być kod generowany przez aplikację uwierzytelniającą, klucz bezpieczeństwa zgodny z FIDO2 lub WebAuthn albo kod wysłany wiadomością SMS. Klucz sprzętowy i aplikacja uwierzytelniająca zwykle ograniczają ryzyko związane z przejęciem numeru telefonu lub przekierowaniem wiadomości. Kod jednorazowy należy wpisywać wyłącznie w oknie logowania właściwej usługi. Pracownik pomocy technicznej nie powinien prosić o podanie takiego kodu przez telefon lub komunikator.

Podczas włączania dodatkowego składnika system często wyświetla kody odzyskiwania. Są one przeznaczone na wypadek utraty telefonu lub klucza i powinny być przechowywane poza urządzeniem, którego dotyczą, na przykład w bezpiecznym menedżerze haseł albo w formie wydrukowanej. Trzeba również sprawdzić aktualność adresu pomocniczego i numeru telefonu do odzyskiwania konta. Nieaktualne dane mogą uniemożliwić legalny powrót do konta, a dane dostępne dla innych osób mogą ułatwić atak.

Kontrola sesji, urządzeń i reguł skrzynki

W ustawieniach konta warto regularnie przeglądać listę aktywnych sesji, zalogowanych urządzeń i aplikacji korzystających z dostępu. Nieznane urządzenie, obca lokalizacja lub aplikacja, której użytkownik nie kojarzy, wymaga wylogowania i odebrania uprawnień. Po zmianie hasła należy sprawdzić, czy usługa oferuje wylogowanie ze wszystkich pozostałych sesji, ponieważ samo ustawienie nowego hasła nie zawsze natychmiast kończy wcześniej wydane tokeny dostępu.

W przypadku kont pocztowych trzeba kontrolować nie tylko hasło, lecz także reguły wiadomości, przekazywanie poczty i adresy pomocnicze. Atakujący może utworzyć regułę przenoszącą korespondencję do ukrytego folderu albo ustawić automatyczne przekazywanie wiadomości na zewnętrzny adres. Takie ustawienia mogą pozostać aktywne po zmianie hasła, dlatego należy je usunąć, jeśli nie zostały utworzone świadomie. Należy także sprawdzić foldery „Wysłane”, „Usunięte” i „Spam”, podpisy wiadomości oraz zapisane kontakty. Nietypowe wiadomości wysłane z konta mogą wskazywać na przejęcie sesji lub użycie aplikacji z nadanymi uprawnieniami.

Bezpieczne korzystanie z konta na komputerze

Ochrona konta zależy również od urządzenia, z którego następuje logowanie. System operacyjny, przeglądarka i program zabezpieczający powinny otrzymywać aktualizacje, ponieważ poprawki usuwają znane podatności. Nie należy instalować nieznanych rozszerzeń przeglądarki ani uruchamiać załączników i programów pobranych z przypadkowych stron. Podczas logowania do poczty lub banku trzeba sprawdzić nazwę domeny w pasku adresu oraz obecność szyfrowanego połączenia HTTPS, pamiętając, że sama kłódka nie potwierdza wiarygodności strony.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki można sprawdzić objawy wskazujące na złośliwe oprogramowanie, nieautoryzowane programy startowe lub problemy z przeglądarką. Po podejrzeniu infekcji nie powinno się logować z tego samego urządzenia do najważniejszych usług, dopóki komputer nie zostanie sprawdzony. Hasło należy zmieniać z zaufanego urządzenia, a po usunięciu zagrożenia ponownie przejrzeć sesje, aplikacje i reguły konta.