Моя страница

11 апреля 2021 в 16:36

Как я убедился в том, что СберБанк напрямую сливает данные клиентов телефонным мошенникам

Вполне очевидно, что при нынешнем размахе телефонного мошенничества следует завести отдельный телефонный номер для получения СМС в рамках услуги "Мобильный банк" СберБанка. Этот же специальный номер следует использовать для приема СМС двухфакторной аутентификации при использовании СберБанк Онлайн. Никаким знакомым, родственникам этот специальный номер не сообщается, в мессенджерах, соцсетях не засвечивается. Более того, номер не используется в работе с партнерами по СберID. Таким образом, о принадлежности такого секретного номера вам как клиенту СберБанка будут знать только в самом банке. Я тоже на это надеялся. До недавнего времени.

На другой публичный номер, который использовался для регистрации на различных сайтах и интернет-сервисах, многочисленные звонки от мошенников поступают уже не первый год. Поскольку запись разговоров с незнакомых номеров у меня включается автоматически, то собралась целая коллекция таких записей. Достаточно при регистрации указать свою фамилию с небольшой опечаткой или не указывать отчество, или "перепутать" фамилию и отчество и звонящий "засветит" источник утечки. Заказ в пункте выдачи в любом случае отдадут, если вы оплачиваете его при получении.

Итак, первая улика против СберБанка. В марте 2021 года начался шквал мошеннических звонков на мой секретный номер. Мошенники называли себя сотрудниками СберБанка, обращались по правильной фамилии, имени и отчеству, называли мой год рождения. Утечку данных от сотового оператора я исключаю, потому что у оператора моя фамилия несколько искажена, а все мошенники обращались ко мне правильно. В начале разговора я обычно сообщаю, что плохо расслышал собеседника и он вынужден два-три раза внятно повторить обращение ко мне, что важно для качественной записи. Ну и для того, чтобы поиздеваться над говорящим. Более того, при разговоре я обычно не подтверждаю, что мошенник говорит именно с тем, ФИО которого он назвал. Это сбивает мошенников с толку и они отключаются. Но в марте меня убеждали, что ошибки быть не может, что я ввожу их в заблуждение и продолжали разговор.

Вторая улика против СберБанка. Абсолютно такой же схемой с секретным номером пользовалась моя родственница. Номер оформлен на меня. И вот в апреле 2021 года на него стали звонить мошенники, называвая её правильно по фамилии, имени, отчеству. Это исключает утечку от оператора сотовой связи.

Третья улика. Все вышеизложенное было представлено в СберБанк в подробном обращении на двух страницах, с требованием установить виновных в утечке персональных данных. Вот ответ СберБанка полностью: "Благодарим за данные, предоставленные в обращении № ***** На основании поступивших данных банк формирует стратегию защиты клиентов от возможных мошеннических действий. Меры безопасности при использовании банковских продуктов и услуг размещены на сайте в разделе «Ваша безопасность» sberbank.ru". Таким образом, СберБанк не отрицает утечку данных, не сообщает о проведённом или проводимом служебном расследовании по заявленным фактам, и тем самым неявно признает такие утечки персональных данных и невозможность противодействия им.

Эта ситуация описана в народном рейтинге:
https://www.banki.ru/services/responses/bank/response/10497377/
Ждем ответа официального представителя СберБанка.

Вопрос для уважаемых участников форума: как часто посетители banki.ru сталкиваются с доказанными фактами утечки данных клиентов именно из СберБанка? Очевидно, что без крота где-то внутри СберБанка такое невозможно...

281

1,4k

Комментарии

99+

Сначала старые Сначала новые

Сначала старые

Показать предыдущие (102)

user993581294775

10 октября 2021 в 12:09

----------
Цитата

ia2015 пишет:
поскольку по причине неработающей российской правовой/судебной системы все проблемы легко спихиваются на клиентов
----------

Ошибочное мнение.
Отношения клиента и банка регулируются договором между ними. И на этой стадии - заключения договора - правовая/судебная система вообще никаким боком.
Если клиенту не нравятся условия договора, его никто не заставляет его подписывать. Благо банков в стране около 400. Подписал = согласился с условиями банка. А раз согласился с условиями банка, будь любезен их выполнять, это клиенту любой суд скажет. В любой стране.

А если проанализировать каждый день возникающие здесь на форуме темы, то подавляющее большинство вопящих "Мошенники, ааа!" стали жертвами из-за дыр в собственной голове, которые тщетно пытаются выдать за "дыры" в банках. Психологически понятно: себя лохом никто не считает, виноваты все вокруг, но не я - правовая система, банки, правоохранительные органы и марсиане.

Вот примерчик хороший.
----------
Цитата

Полицейский не смог убедить пенсионерку, которая решила перевести деньги мошенникам.

Женщину, получавшую инструкции у банкомата по телефону, заметили работники банка и сразу вызвали полицию. Приехавший на место сотрудник МВД попытался объяснить пенсионерке, что ее хотят обмануть, но у него ничего не вышло.

Через несколько дней женщина пришла в отделение с заявлением о хищении почти 900 тысяч рублей.
----------

Ссылки на ВК здесь запрещены, это новость в паблике СочиОнлайн за 6 октября. Там же видео, которое снимал полицейский, пытаясь отговорить пенсионерку. Пенсионерка его посылала и на его глазах скормила банкомату деньги для мошенников.
Но виновато всё равно государство :D

Ответить

Mashiro-sama

10 октября 2021 в 12:17

----------
Цитата

Bismark9 пишет:
потом перестали их закупать и выдавать соответственно.
----------

Потому что не стало популярным у самих физ лиц. Основная масса клиентов, которые ищут "карта без ежемесячной платы, да с кэшбеком побольше" на предложение купить дополнительно этот криптокалькулятор смотрела на операционистов большими глазами "да и без него все работает, нафига нам вы его впарить пытаетесь, с нас больше денег только выкачать хотите". А банку вместо больших партий закупать эти устройства поштучно (для единиц клиентов что понимают что это и готовы их купить) невыгодно.

Ответить

user265641651846

10 октября 2021 в 12:22

----------
Цитата

Struzzo пишет:
Но виновато всё равно государство
----------
С бабкой все понятно. Но если посмотреть правде в глаза, все же виновато именно государство. Это его прямая обязанность, не только ловить мошенников, но и предотвращать даже возможность совершения преступлений. :yep:

Ответить

Bismark9

10 октября 2021 в 12:31

----------
Цитата

Mashiro-sama пишет:
на предложение купить дополнительно этот криптокалькулятор смотрела на операционистов большими глазами "да и без него все работает, нафига нам вы его впарить пытаетесь, с нас больше денег только выкачать хотите".
----------

НЕ скажу как было в ВТБ а в РСХБ желающих было не мало, не продавался а выдавался под залог 400-500 руб без оплаты за пользование им. Предлагался на сколько знаю премиальным клиентам, про отказы не слышал т.к был в жутком дефиците.

Ответить

user993581294775

10 октября 2021 в 12:58

----------
Цитата

ssslm пишет:
Но если посмотреть правде в глаза, все же виновато именно государство. Это его прямая обязанность, не только ловить мошенников, но и предотвращать даже возможность совершения преступлений
----------

Крайне показательное высказывание. Отлично иллюстрирует мышление ширнармасс.

Государство ловит мошенников (которые есть и будут всегда пока есть человечество) и предотвращает преступления (о которых вы даже и не знаете, так как они предотвращены).

Психологический тезис "виновато именно государство" по своей сути означает "государство, устрой мне такие условия, где никаких преступлений не было бы в принципе и мошенников тоже бы не было; а ну устрой немедленно, а то буду топать ножкой!".
Но полное отсутствие преступлений возможно только в полностью тоталитарном обществе, где зарегулировано вообще всё, всё под круглосуточным неусыпным контролем видеокамер и стукачей. Вы хотите жить в таком обществе? Я нет.

А там, где есть свобода воли (=свобода договариваться), там всегда будет и злоупотребление доверием, и мошенники, и финансовая безграмотность и требовательная инфантильность "государство, а ну сделай мне безопасно как в детском садике было".

Взрослеть пора. И если уж не научились нести ответственность за свои глупые поступки в финансовой сфере, научитесь хотя бы просчитывать последствия своих действий на шаг вперёд.
На два шага - задача уже непосильная, понимаю.

Ответить

ia2015

10 октября 2021 в 13:59

----------
Цитата

Bismark9 пишет:
НЕ скажу как было в ВТБ а в РСХБ желающих было не мало, не продавался а выдавался под залог 400-500 руб без оплаты за пользование им. Предлагался на сколько знаю премиальным клиентам, про отказы не слышал т.к был в жутком дефиците.
----------

Вот ещё обсуждение, правда, пятилетней давности:

https://www.banki.ru/forum/?PAGE_NAME=message&FID=13&TID=308953#forum-message-list

Действительно, не пошла эта технология в массы. :|
Видимо, банки средней руки опрометчиво пытались на этом заработать. В результате - продукт оказался нишевым.

Ответить

Client507

10 октября 2021 в 21:01

----------
Цитата

ia2015 пишет:
разрешите подвести итог нашей дискуссии про аппаратные генераторы одноразовых паролей и их применении в банках РФ и за её пределами.
----------

по пунктам
1. физические лица отказывались от подобных устройств, даже, если предлагалось использовать после внесения залоговой стоимости, не говоря уже о приобретении. Генерератор обязательно привязывается к внутреннему серверу банка. Смена элемента питания недоспустима, т.к. при этом происходит рассинхронизация часов и/или теряется доверие к ключам, зашитым в память аппаратного генератора.
2. и 3. не стоит путать фантазии продавцов генераторов паролей и реальность. Для рядового немца написанные Вами слова абсолютно непонятны и в реальной жизни им не использовались ни 15 лет назад, ни сейчас. Нет такого у рядового потребителя. Не гика, конечно.
4. В Германии ситуация с одноразовыми паролями регулируется положением psd2 (https://www.bundesbank.de/en/tasks/payment-systems/psd2/psd2-775954 - eng), в котором явно указано, что требуется использование 2 любых факторов из следующих:
Knowledge factors (e.g. PIN, password ...)
Possession factors (e.g. mobile phone, card, TAN generator ...)
Inherence factors (e.g. fingerprint ...)
Приятный Вашему слуху TAN generator - это программа для смарта, для справки.
Перечисленное было предоставлено банкам всем потрепевшим в описанных случаях, но не явилось гарантией защиты от мошенничества. Приведенный пример пост является идеальной иллюстрацией, что проблема лежит не в технической плоскости, а в голове владельца счета. Допущение факта, что деньги в виде наличных, которые держишь в руках, нужно внести на безопасный счет для повышения безопасности от кражи по каналам ДБО - это уже поле деятельности психиатра. Однако же имеет место.
5. Нравится это Вам или нет, но в описанных случаях банки России полностью удовлетворяют требованиям германского регулятора в деле обеспечения безопасности. Понимаю, что это утверждение идет в разрез с картиной мира в голове ssslm и им подобным, но что есть, то есть. Убедить, правда, в обратном невозможно. Нужен личный опыт, а не интернет-чтение :D

Ответить

ia2015

10 октября 2021 в 22:07

----------
Цитата

Client507 пишет:
Генерератор обязательно привязывается к внутреннему серверу банка. Смена элемента питания недоспустима, т.к. при этом происходит рассинхронизация часов и/или теряется доверие к ключам, зашитым в память аппаратного генератора.
----------

Уважаемый Client507,, спасибо за комментарии. Позже я укажу на некоторые ошибки в них, но начну самой очевидной. Да есть OTP или TAN генераторы устаревшего типа с синхронизацией по времени, NTP. Их надо нести в банк на замену элемента питания, синхронизацию, возможно перепрошивать. Возможно, что именно такие упоминались выше. Я не веду о них речь. Смотрите здесь

https://www.youtube.com/watch?v=PwDkLwBC_3g

как клиенты самостоятельно меняют CR2025 в устройствах с оптической связью про которые я здесь рассказываю. Там другой принцип синхронизации. Конечно, нам за державу обидно, но здесь нас обошли... :o

Ответить

uGNot

10 октября 2021 в 23:49

----------
Цитата

ia2015 пишет:
В РФ такие генераторы считаются роскошью и доступны только юрлицам.
----------
Для подавляющего большинства физиков даже 10 баксов за годовое обслуживание карты - дорого. Юрлицам TAN-генераторы вообще нужны как слону самокат - у них и так все транзакции подписываются ЭЦП с аппаратного токена.

----------
Цитата

ia2015 пишет:
По мнению банкиров чернь (физлица) обойдутся и без них и должны пользоваться SMS-TAN или pushTAN. В последних двух вариантах физлицам приходится только полагаться на добросовестность операторов связи, и сохранность их собственных телефонов.
----------
Доля мошенничеств, когда виноваты операторы связи пренебрежимо мала, к тому же в этом случае у жертв очень хорошие шансы в суде. Случаев, где была бы доказана вина провайдеров PUSH-сообщений, пока нет вообще. В подавляющем большинстве случаев виноваты сами жертвы, в остальном слишком вольное обращение банков с основами информационной безопасности.

----------
Цитата

ia2015 пишет:
При использовании pushTAN двухфакторность теряется - достаточно украсть/взломать одно устройство.
----------
Совсем не так. Двухфакторность теряется из-за того, что банки в угоду большинству, которому сложно и неудобно помнить и вводить логины/пароли, отказываются от фактора знания, оставляя только фактор владения. И TAN-генераторы тут ничем не помогут - это ровно тот же фактор владения, что и sms и push.

Да и в общем основная проблема не в защите каждой конкретной транзакции, а в том, что крайне легко сменить сам фактор обладания и банк никак его не проверяет. Если номер телефона есть в договоре с банком, то экземпляр мобильного приложения не фигурирует нигде. В некоторых банках даже невозможно узнать какие устройства привязаны к учетной записи клиента.

P.S. Не пытайтесь примерить забугорный опыт на нашу действительность, особенно дистанционно и не понимая сути проблемы.

Ответить

master12345

12 октября 2021 в 06:51

----------
Цитата

ia2015 пишет:
5. Банки РФ не заинтересованы во внедрении современных и надежных технологий защиты удаленных транзакций клиентов-физлиц, поскольку по причине неработающей российской правовой/судебной системы все проблемы легко спихиваются на клиентов.
----------

Менеджмент крупняка(квазигосударственная пентархия+Буква+2Дочки иностранцев) действительно нацелен исключительно на финансовые показатели, и ориентирован иерархически. Злые языки, с которыми я согласен только частично, утверждают, что при найме на работу его резюме просматривают на наличие успешно завершенных проектов по ст.159. ч.4, а не по внедрению чего-либо нацеленного на клиентов.
Но есть и банки, которые пусть и субъективно мною, но воспринимались клиентоориентированными, м. б. не столько в плане защиты ДБО, а вообще. Но тут какая то странность. Все кого я считал таковыми (начиная от Мастербанка и до Нейвы) лишились лицензии по подозрению в проведении сомнительных операций.(исключение Велосипедист, но у него крыша не по зубам аборигенам из надзора ЦБ) То ли фин. ресурс на инновации настолько огромен, что намутить его можно только схемами, то ли о клиентах думают исключительно как о прикрытии мошенники.

Ответить

ia2015

13 октября 2021 в 23:00

----------
Цитата

uGNot пишет:
В подавляющем большинстве случаев виноваты сами жертвы, в остальном слишком вольное обращение банков с основами информационной безопасности.

----------

Следуя Вашей логике тогда вообще не стоит беспокоиться об информационной безопасности. Зачем предлагать клиентам банков устанавливать сложные пароли, если методами фишинга они станут всё равно известны телефонным мошенникам?

Стоит ли вплетать в обсуждение технической стороны ДБО какую-то безумную бабушку?

Ответить

uGNot

13 октября 2021 в 23:35

----------
Цитата

ia2015 пишет:
Следуя Вашей логике тогда вообще не стоит беспокоиться об информационной безопасности. Зачем предлагать клиентам банков устанавливать сложные пароли, если методами фишинга они станут всё равно известны телефонным мошенникам?
----------
Вы вырываете цитату из контекста, а не следуете моей логике.
Существующие каналы (sms и push) достаточно надежны. Клиенты, использующие TAN-генераторы, как альтернативный фактор владения, точно так же будут становиться жертвами фишинга или кражи. Потому что проблема не в каждом из факторов по-отдельности, а в упразднении многофакторной аутентификации.

----------
Цитата

ia2015 пишет:
Стоит ли вплетать в обсуждение технической стороны ДБО какую-то безумную бабушку?
----------
В конечном итоге именно "безумным бабушкам" придется оплачивать заблуждения "слишком умных внучков". Проблема уже давно не в технической стороне ДБО, а в юридической.

Ответить

Andrej G

14 октября 2021 в 12:20

Мало купить новый номер, важно его не токсичность и отсутствие пользователей до вас. Вообщем-то с нового пула номеров брать нужно. Если вы с Мск или области, то пишите в личку. Нужно в специальных салонах операторов подключаться.

Ответить

Mar4el

14 октября 2021 в 14:00

----------
Цитата

Andrej G пишет:
Мало купить новый номер, важно его не токсичность и отсутствие пользователей до вас.
----------

Чем важно то? Примеры приведите пжта, мне просто интересно. Применительно по пользованию такой токсичной, как выражаетесь, симкой именно к банку. Симка же находится у вас на руках и вы, следуя правилам безопасности, пользуетесь симкой как положено (предполагаю).
Примеры того, что возможно будут поступать левые звонки и смс, связанные с предыдущими хозяевами симки, не рассматриваются, так как левые звонки и смс могут и на совершенно "чистые" номера, не имеющие истории пользования, поступать, не застрахован от этого никто. И это (звонки, смс касающиеся прежних хозяев) не имеет ровным счетом никакого отношения к пользованию такой симкой вами в каком нибудь конкретном банке.

Или вселенский заговор против одной личности?

Не скрою. Был у меня похожий случай, когда на вновь купленную симку периодически 2 раза в месяц приходили смс с информацией о зачислении ЗП на карту *хххх от одного газового банка. Ни имен, ни фамилий. И как мне можно было воспользоваться этой инфой? Да никак. Я только мог порадоваться за этого человека, что у него хорошая ЗП. ВСЕ! То же самое и с кодами. Слишком мало информации в смс, чтоб воспользоваться этим пришедшим кодом даже. Через месяца 4 мне эти смс надоели, я сам позвонил на горячую линию этого банка и попросил, чтоб не слали смс с такой информацией на такой то мобильный номер, так как этот номер я приобрел недавно и вообще не имею к их банку никакого отношения и информация из смс мне не интересна совсем, пусть разбираются сами с этим клиентом, у которого числится как контактный теперь уж мой номер. После чего смс перестали приходить. Я обычный пользователь абонентского номера и не более.
Если даже гипотетически предположить, что я оказался работником именно этого банка (с небольшой вероятностью, так сошлись звезды например) и я мог посмотреть этого клиента по номеру карты, номеру телефона, воспользовавшись своим служебным положением, то чтобы я смог дальше сделать? Просто далее все мои действия были бы уголовно наказуемыми в случае чего. А это уже другая история.

Ответить

Client507

14 октября 2021 в 22:04

----------
Цитата

Mar4el пишет:
и я мог посмотреть этого клиента по номеру карты,
----------

Если у Вас есть номер карты и на Ваш номер приходят смс сообщения, т.е. Ваш номер зарегистрирован как контактный, то на портале ДБО по номеру телефона можно сменить пароль в ДБО. Для этого необходимо и достаточно знания номера карты и одного смс сообщения. После этого из системы БДО можно выполнить перевод средств на внешний счет.

Вот и весь алгоритм. :D

Ответить

Басурман

14 октября 2021 в 22:29

----------
Цитата

Mar4el пишет:
Не скрою. Был у меня похожий случай, когда на вновь купленную симку периодически 2 раза в месяц приходили смс с информацией о зачислении ЗП на карту *хххх от одного газового банка. Ни имен, ни фамилий. И как мне можно было воспользоваться этой инфой? Да никак.
----------
Не стану утверждать за "газовый банк", но в Сбере есть такая мелкая пакость, как мобильный перевод, который вот такие индивидуумы не удосуживаются отключить. В итоге по СМС, отправленной с привязанного номера, можно выполнить перевод. А уж пополнить счёт привязанного номера всегда пожалуйста...

Ответить

Mar4el

14 октября 2021 в 23:44

Client507,, не, немножко не так. Вы привели тот случай моего примера, вероятность которой мала, но она есть все равно - когда я покупаю новую симку и я являюсь сотрудником банка Х. И на купленный номер приходит смс именно из банка Х, где я работаю. Если у меня есть возможность и полномочия (права доступа) как у сотрудника банка Х (но такие возможности и полномочия есть не у всех), то я пользуясь своим служебным положением мог бы найти этого клиента в базе, ну и далее в принципе воспользоваться личным кабинетом этого самого клиента. Но в этом случае это уже будет уголовно наказуемым деянием. Найти такого сотрудника в принципе не составит большого труда: системой банка был зафиксирован вход в лк клиента через пароль в смс, отправленный на контактный номер, обозначенный в системе банка. Далее, клиент говорит, что этим номером не пользуется и не имеет к нему больше отношения. Проверяется номер - активен номер или нет, когда продан и кому продан. Далее просто дело техники - по фио пробивается что за чел, паспортные данные, где работает (не проблема тоже, через связку ПД-снилс) и финал - сотрудника берут за "булки". Это один сценарий.

Если допустить, что купивший мобильный номер просто абонент ОпСоСа и не имеет никакого отношения к банкам, то из полученной смс, где указаны только 4 последние цифры карты (если читали внимательно мой предыдущий пост, то там у меня указано *хххх, а не полный номер карты), то и с этими 4-мя цифрами не зайти в ЛК клиента, так как там требуется не 4 знака, остальные ты не знаешь. Тупик.
Хотел вот это донести)))))

----------
Цитата

Басурман пишет:
Не стану утверждать за "газовый банк",
----------

Скажу сразу, что это не Газпромбанк (чтоб не кидали косяки в отношении этого монстра банковской системы страны))))))
Это другой банк, в названии которого тоже есть слово "газ".)))))

----------
Цитата

Басурман пишет:
но в Сбере есть такая мелкая пакость, как мобильный перевод, который вот такие индивидуумы не удосуживаются отключить. В итоге по СМС, отправленной с привязанного номера, можно выполнить перевод. А уж пополнить счёт привязанного номера всегда пожалуйста...
----------

Не буду спорить, просто не в теме.))))
То есть вы говорите, что имея просто такой привязанный к банку номер (по воле случая попавший мне в руки) и если я отправлю с такого номера какое то смс определенного содержания (указав например допустим просто какой то свой счет или номер банковской карты) на определенный сервисный номер Сбера БЕЗ указания каких либо "своих" (предыдущего владельца номера) реквизитов (номера счета, банковской карты), то можно сделать мобильный перевод?! :o
Я конечно за Сбер говорить не буду, так как никогда такие операции у него не совершал и не знаю все этапы проведения таких клиентских переводов только посредством смс и указанием реквизитов, куда надо перечислить денежные средства, но наверно все же еще какая либо хотя бы одна банковская информация должна же указываться!!! 8)
"А пополнить счёт привязанного номера всегда пожалуйста" - но это же, простите, получается входящий перевод (т. е. пополнение счета "дяди" - предыдущего владельца номера), а не исходящий (вывод денег со счета "дяди") - как главная цель нового владельца мобильного номера, у которого осталась привязка к банку предыдущего владельца номера . Где логика? Или я что то не понял, простите, не ругайте сильно)))))

Но как я говорил, в смс была лишь инфа о зачислении н-ой суммы на карту *хххх, + дата, +время. Все.

Ответить

Басурман

15 октября 2021 в 00:30

----------
Цитата

Mar4el пишет:
То есть вы говорите, что имея просто такой привязанный к банку номер (по воле случая попавший мне в руки) и если я отправлю с такого номера какое то смс определенного содержания (указав например допустим просто какой то свой счет или номер банковской карты) на определенный сервисный номер Сбера БЕЗ указания каких либо "своих" (предыдущего владельца номера) реквизитов (номера счета, банковской карты), то можно сделать мобильный перевод?! изображение

Я конечно за Сбер говорить не буду, так как никогда такие операции у него не совершал и не знаю все этапы проведения таких клиентских переводов только посредством смс и указанием реквизитов, куда надо перечислить денежные средства, но наверно все же еще какая либо хотя бы одна банковская информация должна же указываться!!!
----------
Читайте руководство по мобильному банку.

----------
Цитата

Mar4el пишет:
"А пополнить счёт привязанного номера всегда пожалуйста" - но это же, простите, получается входящий перевод (т. е. пополнение счета "дяди" - предыдущего владельца номера), а не исходящий (вывод денег со счета "дяди") - как главная цель нового владельца мобильного номера, у которого осталась привязка к банку предыдущего владельца номера . Где логика? Или я что то не понял, простите, не ругайте сильно)))))
----------
Логика проста - необходимо различать счёт карты (счёт в банке) и счёт номера телефона (а этот счёт у ОПСОСа). Таким образом входящим будет перевод для счёта у ОПСОСа, а для банковского счёта перевод будет исходящим.
Это руководство - как получить срок на ровном месте. :D

Ответить

slowpoke

1 ноября 2021 в 15:02

----------
Цитата

ia2015 пишет:
Как тебе такое, Герман Греф? Слабо?
----------

Вы удивитесь, но 5 лет назад в Сбере выдавали usb кардридеры для ИБ.
Однако затем российские банкиры поняли что дешевле проплатить нужный закон чем тратиться на какие-то tan генераторы.
Поэтому в цивилизованных странах смс-коды официально объявлены уязвимой технологией. А в РФ смс-коды официально объявлены аналогом собственноручной подписи (простая цифровая подпись).
Банки ЕС и США используют tan генераторы потому что их принуждает к этому национальное законодательство, написанное в интересах граждан. А в РФ законодательство написано в интересах банков.

Ответить

ia2015

1 ноября 2021 в 17:01

----------
Цитата

slowpoke пишет:
Банки ЕС и США используют tan генераторы потому что их принуждает к этому национальное законодательство, написанное в интересах граждан. А в РФ законодательство написано в интересах банков.
----------

Абсолютно верно! Вот свежий пример того, что в передовых странах государственный регулятор действительно следит за уровнем безопасности:

https://www.popsci.com/technology/sim-swapping-fcc-regulations/

Выше в этой ветке я перечислил причны, почему это не происходит в РФ:
https://www.banki.ru/forum/?PAGE_NAME=message&FID=61&TID=382707&MID=8843638#message8843638

Ответить

Показать еще (159)