Назад
11 апреля 2021 в 16:36

Как я убедился в том, что СберБанк напрямую сливает данные клиентов телефонным мошенникам

Вполне очевидно, что при нынешнем размахе телефонного мошенничества следует завести отдельный телефонный номер для получения СМС в рамках услуги "Мобильный банк" СберБанка. Этот же специальный номер следует использовать для приема СМС двухфакторной аутентификации при использовании СберБанк Онлайн. Никаким знакомым, родственникам этот специальный номер не сообщается, в мессенджерах, соцсетях не засвечивается. Более того, номер не используется в работе с партнерами по СберID. Таким образом, о принадлежности такого секретного номера вам как клиенту СберБанка будут знать только в самом банке. Я тоже на это надеялся. До недавнего времени.

На другой публичный номер, который использовался для регистрации на различных сайтах и интернет-сервисах, многочисленные звонки от мошенников поступают уже не первый год. Поскольку запись разговоров с незнакомых номеров у меня включается автоматически, то собралась целая коллекция таких записей. Достаточно при регистрации указать свою фамилию с небольшой опечаткой или не указывать отчество, или "перепутать" фамилию и отчество и звонящий "засветит" источник утечки. Заказ в пункте выдачи в любом случае отдадут, если вы оплачиваете его при получении.

Итак, первая улика против СберБанка. В марте 2021 года начался шквал мошеннических звонков на мой секретный номер. Мошенники называли себя сотрудниками СберБанка, обращались по правильной фамилии, имени и отчеству, называли мой год рождения. Утечку данных от сотового оператора я исключаю, потому что у оператора моя фамилия несколько искажена, а все мошенники обращались ко мне правильно. В начале разговора я обычно сообщаю, что плохо расслышал собеседника и он вынужден два-три раза внятно повторить обращение ко мне, что важно для качественной записи. Ну и для того, чтобы поиздеваться над говорящим. Более того, при разговоре я обычно не подтверждаю, что мошенник говорит именно с тем, ФИО которого он назвал. Это сбивает мошенников с толку и они отключаются. Но в марте меня убеждали, что ошибки быть не может, что я ввожу их в заблуждение и продолжали разговор.

Вторая улика против СберБанка. Абсолютно такой же схемой с секретным номером пользовалась моя родственница. Номер оформлен на меня. И вот в апреле 2021 года на него стали звонить мошенники, называвая её правильно по фамилии, имени, отчеству. Это исключает утечку от оператора сотовой связи.

Третья улика. Все вышеизложенное было представлено в СберБанк в подробном обращении на двух страницах, с требованием установить виновных в утечке персональных данных. Вот ответ СберБанка полностью: "Благодарим за данные, предоставленные в обращении № ***** На основании поступивших данных банк формирует стратегию защиты клиентов от возможных мошеннических действий. Меры безопасности при использовании банковских продуктов и услуг размещены на сайте в разделе «Ваша безопасность» sberbank.ru". Таким образом, СберБанк не отрицает утечку данных, не сообщает о проведённом или проводимом служебном расследовании по заявленным фактам, и тем самым неявно признает такие утечки персональных данных и невозможность противодействия им.

Эта ситуация описана в народном рейтинге:
https://www.banki.ru/services/responses/bank/response/10497377/
Ждем ответа официального представителя СберБанка.

Вопрос для уважаемых участников форума: как часто посетители banki.ru сталкиваются с доказанными фактами утечки данных клиентов именно из СберБанка? Очевидно, что без крота где-то внутри СберБанка такое невозможно...
281
1,4k
Комментарии
99+

1 ноября 2021 в 17:26
----------
Цитата

slowpoke пишет:
Банки ЕС и США используют tan генераторы

----------

Опять 25, уже обсуждалось в соседней ветке. Проблема не в доставке кодов, а в том, что клиенты сами совершают деструктивные действия, сами снимают деньги и переводят их мошенникам, и в этом случае никакие генераторы, шифр-блокноты не помогут, а только создадут лишние проблемы для остальных клиентов.
Ответить

1 ноября 2021 в 18:04
----------
Цитата

m*******@orc.ru пишет:
Проблема не в доставке кодов, а в том, что клиенты сами совершают деструктивные действия, сами снимают деньги и переводят их мошенникам, и в этом случае никакие генераторы, шифр-блокноты не помогут, а только создадут лишние проблемы для остальных клиентов.

----------


Но если попробовать мыслить логически, то тогда следует признать, что клиенты банков в РФ в целом значительно тупее клиентов банков в ЕС и США, поскольку в РФ (1) они сами переводят деньги мошенникам; (2) не могут освоить работу с простой коробочкой при переводах оn-linе.

Получается, что в ЕС и США проблема в технических средствах, поэтому они там так беспокоятся об этом, а в РФ - именно в клиентах, поэтому chip-TAN, photo-TAN, mobileID в РФ бесполезны?

Логическое противоречие легко разрешается, если догадаться, что в РФ дело совсем не в клиентах, а в регуляторе и наплевательском отношении банков к клиентам.
Ответить

1 ноября 2021 в 20:42
----------
Цитата

Mar4el пишет:
Не буду спорить, просто не в теме.))))

----------

и это правильно. При наличии контролируемого номера украсть деньги с привязанной учетной записи ДБО не представляет сложности. К сожалению. Поэтому номер, сообщаемый банку, лучше никогда не "отдавать" на сторону.
----------
Цитата

ia2015 пишет:
как клиенты самостоятельно меняют CR2025 в устройствах с оптической связью

----------

Судя по привлечению цитаты автора-специалиста об устрицах, специалистом в данной сфере Вы не являетесь, а знакомство с изделиями Kobil ограничено интернет-лекциями. Уточню, у Вас лично есть счет в шпаркассе? Нет, неудивительно. Поэтому я с самого начала писал, что для немца не гика эти Ваши слова: TAN и т.д. - пустой звук. Гики - да, пользуются. Была статистика - из 15млн устройств (за 15 лет!) используется менее 30000. Найти не могу ;)
Нормативы pds2, на которые, кстати, ссылается Kobil, рассматривают использование sms-канала наравне с любыми другими средствами получение одноразового пароля. :)
Статья о FCC, на которую Вы ссылаетесь, является даже не проектом, а предложением к изменению законодательства о связи, т.е. к банкам вообще отношения не имеет напрямую. Фраза "The FCC’s proposed regulations will require phone carriers to ..." как бы намекает, что кем в отношении кого планируется. А вот, чем занимается FCC: The Federal Communications Commission (FCC) is an independent agency of the United States federal government that regulates communications by radio, television, wire, satellite, and cable across the United States. Банки - другая епархия. Другая комиссия.

Тут вижу slowpoke подтянулся. Ждем с нетерпением новых откровений типа/уровня "отправить банкомат на экспертизу".

А вообще ia2015 - Вам уже четко написали, что проблема не в способе доставки одноразового пароля, а в том, что клиенты сами сообщают пароли третьим лицам. Проблема не в техническом, а в человеческом факторе. А техническими средствами решить проблемы человеческого аспекта невозможно.

Относительно положения -
----------
Цитата

ia2015 пишет:
Но если попробовать мыслить логически, то тогда следует признать, что клиенты банков в РФ в целом значительно тупее клиентов банков в ЕС и США, поскольку в РФ (1) они сами переводят деньги мошенникам; (2) не могут освоить работу с простой коробочкой при переводах оn-linе.

----------

попробуйте найти что-то похожее на banki.ru в немецкоязычном или англоязычном интернете. Найдете? Почитайте.
В России есть ли сериал о воровстве с персональных банковских счетов? В англоязычном мире такой сериал есть. Популярный, что намекает :D Чаще встречается. Объемы больше. В целом и в среднем.

Пробовать мыслить логически нужно в профессиональной деятельности. Иначе будет как в книге Джерома К.Джерома о родильной лихорадке.
Ответить

1 ноября 2021 в 22:02
----------
Цитата

Client507 пишет:
Поэтому я с самого начала писал, что для немца не гика эти Ваши слова: TAN и т.д. - пустой звук. Гики - да, пользуются. Была статистика - из 15млн устройств (за 15 лет!) используется менее 30000. Найти не могу

----------


А вот, интересно, где это в немецкоязычном интернете написано? Буду весьма признателен за прямую ссылку, уважаемый Client507 ... Заранее благодарю. Про перевод - не беспокойтесь, я знаю три языка, не считая, разумеется, разных языков программирования.

Опять вспоминаю незабвенное про вкус устриц. Каюсь, это я написал. Кто-то обиделся, наверное...
Ответить

2 ноября 2021 в 14:17
----------
Цитата

Client507 пишет:
Судя по привлечению цитаты автора-специалиста об устрицах, специалистом в данной сфере Вы не являетесь, а знакомство с изделиями Kobil ограничено интернет-лекциями.

----------

Вас уже не удивляет что пользователи могут самостоятельно менять батарейки в tan генераторах? А то было смешно читать про "сброс ключей", что свидетельствует о полном непонимании технологии работы tan генераторов.

----------
Цитата

Client507 пишет:
Вам уже четко написали, что проблема не в способе доставки одноразового пароля, а в том, что клиенты сами сообщают пароли третьим лицам.

----------

Странная ситуация. Клиенты банков ЕС и США не сообщают мошенникам коды, сгенерированные tan генераторами. А клиенты российских банков сообщают мошенникам коды, полученные через СМС.
Ответить

2 ноября 2021 в 14:57
----------
Цитата

slowpoke пишет:
Странная ситуация. Клиенты банков ЕС и США не сообщают мошенникам коды, сгенерированные tan генераторами. А клиенты российских банков сообщают мошенникам коды, полученные через СМС.

----------
Вполне логичная.

Клиенты банков ЕС и США не сообщают мошенникам коды, сгенерированные TAN-генераторами, потому что не пользуются TAN-генераторами.

А коды из СМС у клиентов банков РФ мошенники выманивают не для подтверждения транзакций, а для "кражи личности".
Ответить

3 ноября 2021 в 10:54
----------
Цитата

uGNot пишет:
Клиенты банков ЕС и США не сообщают мошенникам коды, сгенерированные TAN-генераторами, потому что не пользуются TAN-генераторами.

----------

Клиенты банков ЕС и США, которые не пользуются tan генераторами, не могут совершать операции в ИБ/МБ и онлайн-покупки с 3ds.

Кстати, местные "знатоки" понимают алгоритм работы tan генератора? Зачем в tan генератор вставляется чиповая банковская карта? А то действительно получается обсуждение вкуса устриц с теми кто их не ел. :)
Ответить

3 ноября 2021 в 12:16
----------
Цитата

slowpoke пишет:
Клиенты банков ЕС и США, которые не пользуются tan генераторами, не могут совершать операции в ИБ/МБ и онлайн-покупки с 3ds.

----------

В США распространены операции без подтверждения 3DS, а также карты без чипа.
Ответить

3 ноября 2021 в 22:57
----------
Цитата

slowpoke пишет:
Клиенты банков ЕС и США, которые не пользуются tan генераторами, не могут совершать операции в ИБ/МБ и онлайн-покупки с 3ds.

Кстати, местные "знатоки" понимают алгоритм работы tan генератора? Зачем в tan генератор вставляется чиповая банковская карта? А то действительно получается обсуждение вкуса устриц с теми кто их не ел. изображение

----------
Хотя бы пяточек банков из США, где нельзя пользоваться ИБ/МБ без TAN-генератора (в который чиповая карта вставляется) не назовете?
Ответить

4 ноября 2021 в 04:44
Зашёл сейчас в фак по оплате вполне европейского антивируса Авира, там про ваши TAN тоже есть, что они необязательны и могут заменяться отпечатком пальца, например:

----------
Цитата

Online payments that were formerly paid with credit card and security number (PIN) will be extended by a second security factor (2FA).

As a purchaser you will now require two of these three factors:

Knowledge: Password, PIN
Possession: Smart card, TAN generator, registered smartphone
Inherence: Fingerprint, facial features

----------


Если кратко: надо 2 из 3 факторов: пасс-пин, тан-смартфон, авторизация по пальцу-лицу.
Ответить

4 ноября 2021 в 10:47
Совершенно верно, разнообразных технических возможносте подтверждения оn-line переводов полно. Вот информация от немецкого общества (защиты прав) потребителей:

https://www.verbraucherzentrale.de/wissen/geld-versicherungen/sparen-und-anlegen/onlinebanking-wie-sicher-ist-welches-tanverfahren-21921

mTAN – die SMS aufs Handy
Die Methode ist relativ sicher, aber das Handy kann gestohlen / die TAN
kann abgefangen werden. Das zuständige Bundesamt BSI warnt vor SMS-TAN und
empfiehlt, auf das Verfahren zu verzichten.


mTAN - SMS на мобильный телефон
Метод относительно безопасен, но сотовый телефон можно украсть / TAN можно перехватить. Федеральное ведомство BSI предостерегает от использования SMS-TAN и рекомендует не использовать эту процедуру.

Здесь на форуме я пытаюсь втолковать, что mTAN must die, а уж практикуемая в РФ (пере)регистрация в ДБО только по номеру карты и одной SMS - тем более.
Ответить

Все продукты Банки.ру

Показать ещеСкрыть