Quando cambiare una password e cos'altro controllare
Una perdita, un modulo di firma falso o una sessione inspiegabile richiede l'azione. Un altro mese di passaggio non è motivo di scegliere una variazione prevedibile della stessa password.
In questa guida
NIST consiglia i sistemi di autenticazione contro le modifiche periodiche obbligatorie senza prove di compromesso. Questa è la guida per i verificatori, non un motivo per ignorare un incidente. Segui il processo della tua organizzazione sugli account di lavoro e segnala le preoccupazioni al suo amministratore.
Atto quando la divulgazione è plausibile
Modificare una password inserita in un modulo sospetto, condivisa con un'altra persona, associata ad attività non autorizzate o coperta da istruzioni di incidente del fornitore.
Verifica gli avvisi di incidente attraverso il sito ufficiale o l'app. Un'e-mail di reset urgente può essere phishing. È possibile modificare in modo sicuro la password tramite un indirizzo conosciuto durante l'indagine.
Utilizzare un dispositivo affidabile
Se il computer originale può contenere malware, utilizzare un altro dispositivo aggiornato. Altrimenti la nuova password può essere rubata immediatamente. Genera una password completamente nuova, salvala nel tuo manager, invia la modifica e verifica l'accesso. Non adattare la vecchia password o copiare un esempio da un articolo.
Chiudere altri percorsi nel conto
I dispositivi di revisione e la revoca della sessione, il telefono di recupero ed e-mail, autenticatori, chiavi di sicurezza, passkeys, app collegate e password dell'app. Per email, ispezionare l'inoltro, filtri e delegazione troppo.
Rimuovere l'accesso non familiare dopo aver compreso il suo scopo. Per un account di lavoro, coinvolgere l'amministratore piuttosto che rimuovere le integrazioni gestite in modo cieco.
Sostituire le password riutilizzate separatamente
Cambiare la password esposta ovunque sia stata riutilizzata, a partire dall'e-mail. Ogni sostituzione deve essere diversa. Cambiare solo il servizio violato lascia gli altri account vulnerabili.
I pagamenti non autorizzati o i messaggi hanno bisogno di un follow-up separato con la banca o il supporto ufficiale. Conservare i dettagli degli incidenti non sensibili; riparare il sign-in non annulla ciò che è successo.