Почему смена пароля не выгоняет взломщика

утром попалось на глаза статья про то, как смена пароля не выгоняет взломщика — и понял, что это не про «слабый пароль», а про то, как работают системы доступа. И что у многих сайтов — те же дыры, только в другом месте.

Почему смена пароля — это не выход

Смена пароля — это не «выбросить хакера». Это просто запретить выдавать новые пропуска. А уже выданные — продолжают работать. Даже если вы поменяли пароль на новый, атакующий может быть внутри через токен, сессию или правило пересылки. Это не ошибка. Это работа системы.

На мой взгляд, главная ошибка — думать, что пароль — это ключ, который отключает доступ. На деле он — только способ получить пропуск. И если пропуск уже выдан, он живёт, пока не истечёт. Или пока не отзовут.

Что внутри — и как это работает

Когда вы входите в сервис, система даёт вам временный пропуск — сессионную куку, токен, пароль приложения. Он живёт от нескольких дней до нескольких месяцев. И смена пароля не отменяет его. Это как заменить замок, но оставить ключ у друга.

Атакующий, попав в аккаунт, обычно сразу выдаёт себе доступ через приложение, настраивает пересылку писем или меняет резервную почту. И после смены пароля — он остаётся. Потому что не нуждается в пароле. Он уже внутри.

Как понять, что это касается вашего сайта

Я проверяю это первым делом, когда вижу, что у клиента есть доступ к почте, которая используется для входа на сайт или управления. Особенно если есть форма заявки, где пользователь вводит почту — это значит, что аккаунт может быть оператором персональных данных.

Если у сайта есть доступ к почте, где можно настроить пересылку, токены приложений или делегирование — значит, у злоумышленника есть путь, который не зависит от пароля. И он может работать в тени.

Что я делаю, когда вижу риск

Я начинаю с отзыва всех активных сессий. Не с пароля. Сначала — выкидываю все пропуска. Потому что иначе атакующий может успеть закрепиться заново.

Потом — меняю пароль, обязательно новый. Проверяю, нет ли подозрительных приложений, правил пересылки, делегирования. И обязательно смотрю, не заменена ли резервная почта. Это самый частый способ вернуться.

Что здесь даёт поддержка

На нашей поддержке это закрывается заранее. Мы не ждём, пока что-то сломается. Мы проверяем, кто ещё может быть внутри, даже если вы не знаете, что зашли.

Работаем с 2002 года, более 100 клиентов по всему миру. У нас нет авралов — только проверки, которые делаем до того, как вы об этом узнаете.

Главный итог не в том, что мы починим, а в том, что вы перестанете думать о сайте. И не будете ждать, пока что-то сломается.

Свободный аудит сайта — проверим, где могут быть «живые» сессии, даже если вы не знаете, что они есть.