Google называет пасскей защитой важных настроек аккаунта и указывает, что такой ключ нельзя передать другому человеку. Владельцу YouTube-канала нужно решить, как дать помощнику доступ для работы без передачи аккаунта и что проверить, если вход уже подтвердили.
Почему Google снова обсуждают в связи с пасскеями
Поводом стали сообщения о телефонном мошенничестве. Звонящий убеждает владельца аккаунта срочно обновить пасскей и подводит его к подтверждению чужого входа. Человек видит запрос на своём устройстве, но сначала должен понять, какое действие он подтверждает и кто попросил его это сделать.
В справке Google описан пример использования пасскея для входа в аккаунт Поисковой рекламы 360. Настроить ключ доступа могут все рекламодатели. Чтобы пользоваться им, на устройстве должна быть включена блокировка экрана с помощью Face ID, Touch ID или PIN-кода.
Настраивать ключ на каждом устройстве не обязательно. Google рекомендует сделать это на каждом устройстве, с которого владелец выполняет действия, связанные с безопасностью аккаунта Поисковой рекламы 360. Просьба звонящего «срочно обновить ключ» сама по себе не объясняет, почему на экране появился запрос на подтверждение.
Как мошенники получают доступ, не зная пароль
Злоумышленник может позвонить владельцу аккаунта под видом поддержки и прислать ссылку, похожую на официальную. Если человек откроет её и пройдёт вход, атакующий проведёт его через фишинговую страницу. Как пишет tssonline.ru, такая схема позволяет перехватить учётные данные и токен активного сеанса.
Есть и другой сценарий: жертву просят ввести код устройства на настоящей странице Microsoft. Страница подлинная, но введённый код разрешает доступ клиенту злоумышленников, описывает tssonline.ru. Человек сам подтверждает действие, поэтому одного взгляда на адрес сайта недостаточно, чтобы понять, кому он открывает вход.
Google позволяет настроить пасскей для всего аккаунта на одном подходящем устройстве, например личном смартфоне. Справка Google также перечисляет компьютеры с Windows 10, macOS Ventura и ChromeOS 109 или более поздними версиями. Если атакующим удалось получить активный сеанс, они стараются быстро закрепить доступ к аккаунту, сообщает tssonline.ru.
Почему нельзя передавать пасскей помощнику канала
Просьбу «передать пасскей» стоит проверить ещё до каких-либо действий с аккаунтом. Google указывает, что ключ доступа нельзя записать, скопировать или угадать. Если помощник просит прислать ему ключ сообщением, такая просьба не соответствует тому, как ключ работает. Обратите внимание на действие, которого он ждёт от вас: возможно, речь идёт о подтверждении входа.
Подтверждение чужого запроса может дать помощнику контроль над аккаунтом Google, хотя ему нужна работа с каналом YouTube. Для автора это разные полномочия. Если запрос появился по просьбе помощника, не одобряйте его ради доступа к каналу. Сначала разберитесь, чей именно вход вам предлагают подтвердить.
Как дать команде доступ к YouTube без пароля
Где добавить менеджера в YouTube Studio
Откройте разрешения канала в YouTube Studio и назначьте помощнику роль менеджера. Доступ получит конкретный участник команды, поэтому его права можно будет отозвать отдельно, не меняя способ входа в аккаунт Google. Если вы работаете с несколькими каналами, перед назначением сверьте название нужного канала в студии. Для канала с аккаунтом бренда это особенно полезная проверка.
Чем права владельца отличаются от прав менеджера
Менеджер получает назначенные ему права для работы с каналом, а владелец сохраняет контроль над своим аккаунтом Google. Это позволяет поручить помощнику работу на YouTube, не сообщая ему пароль от аккаунта. По информации Google, для изменения прав пользователей или связей аккаунта может потребоваться ключ доступа. Если ключ понадобится для такого действия, уведомление придёт по электронной почте и появится в сервисе.
Что проверить автору, если доступ уже подтвердили
Сначала завершите незнакомые сеансы в аккаунте Google и удалите способы входа, которые вы не добавляли. Проверьте двухэтапную проверку и данные для восстановления доступа. В случае, о котором пишет tssonline.ru, посторонний способ аутентификации позволял проходить последующие проверки без владельца, пока администраторы не отзывали сеансы и не удаляли его.
В YouTube Studio откройте список людей с доступом к каналу и проверьте каждую учётную запись с ролью менеджера или владельца. Удалите посторонние записи. Если название аккаунта вам незнакомо, не оставляйте ему права до выяснения, кто получил приглашение и может ли этот человек управлять каналом.
Если войти в аккаунт Google уже не получается, начните восстановление доступа по официальной инструкции Google. Для канала используйте также официальную инструкцию YouTube по восстановлению доступа. Вернув вход, проверьте настройки безопасности аккаунта и права на канал: восстановленный пароль сам по себе не удаляет посторонние способы входа или выданные кому-то роли.