Защита маркетинговых платформ от взлома и фишинговых атак

По данным Cybersecurity Insiders, маркетинговые платформы — Hubspot, Pardot, Mailchimp и аналоги — превратились в приоритетную мишень: через них уводят клиентские базы, рассылают malware, подменяют рекламные креативы и бьют по репутации бренда. Для инженера почтовой инфраструктуры это не абстрактная новость. Скомпрометированный маркетинговый стек рассылает фишинг от имени вашего домена, проходя SPF и DKIM.

Почему именно почтовый инженер в зоне риска

Маркетинговая платформа шлёт письма с From в вашем домене. При компрометации атакующий получает валидные credentials, сегменты подписчиков с PII, и — главное — возможность подписывать DKIM от вашего имени. DMARC-репорт по-прежнему показывает alignment pass. PTR для исходящих IP настроен. На стороне ESP всё легитимно, кроме содержимого письма.

Точка максимального риска: платформа с высоким sender reputation у крупных ESP, хранящая API-ключи в plaintext и доступная подрядчикам без MFA. Любая такая связка — приоритет для изоляции и ротации.

Минимальный набор контролей

Настройте немедленно:

1. Выделенный поддомен для маркетинга (m.example.com). Собственные SPF, DKIM, DMARC. Политика — p=quarantine, затем p=reject.

2. Отдельные API-ключи на каждую платформу. Ротация — не реже 90 дней. Никаких ключей в shared vault без audit log.

3. MFA на Hubspot, Pardot, Mailchimp, Klaviyo. Аппаратные ключи (WebAuthn/FIDO2), не SMS и не TOTP без backup.

4. Мониторинг DMARC-репортов: резкий рост failed DKIM alignment, новые source IP, неизвестные signature selectors, всплеск forensic reports.

5. PTR-записи для всех исходящих IP маркетинговой платформы. Без PTR ESP блокируют ещё до проверки содержимого.

6. Отдельный feedback loop для маркетингового поддомена, чтобы компрометация не топила основной domain reputation.

Удобство оборачивается брешью не только в email-стеке. Та же логика — в сервисе «совет вместо направления» в NHS, который из-за сокращённого контроля стал угрозой безопасности пациентов. Любая автоматизация, призванная снизить нагрузку ценой контроля, со временем превращается в attack surface.

Что отслеживать постоянно

• Аномалии auth log платформы: API-вызовы вне рабочего времени, сессии из нетипичных ASN, множественные неудачные аутентификации.
• BIMI-сертификаты и list-unsubscribe headers. Подмена BIMI = подмена логотипа в inbox у каждого получателя.
• Сигналы от ESP о падении sender score.
• Third-party скрипты на лендингах: каждый tag manager — потенциальный data exfiltration канал.
• Статус credential rotation: уволенные подрядчики, истёкшие токены, orphaned integrations, отозванные OAuth grants.

Скомпрометированный маркетинговый стек — это open relay с вашим DKIM signature. Сегрегируйте домены, ротируйте ключи, мониторьте DMARC-репорты ежедневно.