Один пароль после чужой утечки: почему «нас это не касается» не работает

Компания читает новость про утечку магазина или форума и закрывает вкладку: мы там не зарегистрированы, наши клиенты не пострадали. Через неделю кто-то входит в корпоративную почту. Пароль был тот же, что человек использовал на стороне. Это не «взлом вашего сайта». Это повторное использование секрета, который уже лежит в чужой базе.

Проверять, всплывал ли адрес в известных утечках, полезно как гигиена. Это не защита. Защита - разные пароли и второй фактор на том, что нельзя отдавать: почта, хостинг, CMS, реестр домена, реклама. Клиентский кабинет вашего магазина тоже стоит ограничить по попыткам входа, иначе чужая база придёт уже к вам в гости.

Что сделать на этой неделе

• Сменить пароли, которые повторяются между почтой и сайтом. Начать с руководителя и того, кто платит подрядчикам.
• Включить второй фактор. SMS - слабый запасной, не основной.
• Посмотреть неудачные входы, если панель это умеет. Серия из разных стран - уже сигнал.
• Не публиковать на сайте «логин admin, пароль отправили на почту» в инструкции для клиентов.

Lexora в аудите как раз ищет повтор и общий доступ, а не коллекционирует новости про чужие утечки. Если вход уже случился, это реагирование: сессии, секреты, что успели выгрузить. Пентест покажет, можно ли перебирать кабинет пачками. Базовый аудит новым клиентам бесплатный и часто дешевле, чем один уведённый рекламный бюджет.