Моя страница

11 апреля 2021 в 16:36

Как я убедился в том, что СберБанк напрямую сливает данные клиентов телефонным мошенникам

Вполне очевидно, что при нынешнем размахе телефонного мошенничества следует завести отдельный телефонный номер для получения СМС в рамках услуги "Мобильный банк" СберБанка. Этот же специальный номер следует использовать для приема СМС двухфакторной аутентификации при использовании СберБанк Онлайн. Никаким знакомым, родственникам этот специальный номер не сообщается, в мессенджерах, соцсетях не засвечивается. Более того, номер не используется в работе с партнерами по СберID. Таким образом, о принадлежности такого секретного номера вам как клиенту СберБанка будут знать только в самом банке. Я тоже на это надеялся. До недавнего времени.

На другой публичный номер, который использовался для регистрации на различных сайтах и интернет-сервисах, многочисленные звонки от мошенников поступают уже не первый год. Поскольку запись разговоров с незнакомых номеров у меня включается автоматически, то собралась целая коллекция таких записей. Достаточно при регистрации указать свою фамилию с небольшой опечаткой или не указывать отчество, или "перепутать" фамилию и отчество и звонящий "засветит" источник утечки. Заказ в пункте выдачи в любом случае отдадут, если вы оплачиваете его при получении.

Итак, первая улика против СберБанка. В марте 2021 года начался шквал мошеннических звонков на мой секретный номер. Мошенники называли себя сотрудниками СберБанка, обращались по правильной фамилии, имени и отчеству, называли мой год рождения. Утечку данных от сотового оператора я исключаю, потому что у оператора моя фамилия несколько искажена, а все мошенники обращались ко мне правильно. В начале разговора я обычно сообщаю, что плохо расслышал собеседника и он вынужден два-три раза внятно повторить обращение ко мне, что важно для качественной записи. Ну и для того, чтобы поиздеваться над говорящим. Более того, при разговоре я обычно не подтверждаю, что мошенник говорит именно с тем, ФИО которого он назвал. Это сбивает мошенников с толку и они отключаются. Но в марте меня убеждали, что ошибки быть не может, что я ввожу их в заблуждение и продолжали разговор.

Вторая улика против СберБанка. Абсолютно такой же схемой с секретным номером пользовалась моя родственница. Номер оформлен на меня. И вот в апреле 2021 года на него стали звонить мошенники, называвая её правильно по фамилии, имени, отчеству. Это исключает утечку от оператора сотовой связи.

Третья улика. Все вышеизложенное было представлено в СберБанк в подробном обращении на двух страницах, с требованием установить виновных в утечке персональных данных. Вот ответ СберБанка полностью: "Благодарим за данные, предоставленные в обращении № ***** На основании поступивших данных банк формирует стратегию защиты клиентов от возможных мошеннических действий. Меры безопасности при использовании банковских продуктов и услуг размещены на сайте в разделе «Ваша безопасность» sberbank.ru". Таким образом, СберБанк не отрицает утечку данных, не сообщает о проведённом или проводимом служебном расследовании по заявленным фактам, и тем самым неявно признает такие утечки персональных данных и невозможность противодействия им.

Эта ситуация описана в народном рейтинге:
https://www.banki.ru/services/responses/bank/response/10497377/
Ждем ответа официального представителя СберБанка.

Вопрос для уважаемых участников форума: как часто посетители banki.ru сталкиваются с доказанными фактами утечки данных клиентов именно из СберБанка? Очевидно, что без крота где-то внутри СберБанка такое невозможно...

281

1,4k

Комментарии

99+

Сначала старые Сначала новые

Сначала старые

Показать предыдущие (113)

uGNot

13 октября 2021 в 23:35

----------
Цитата

ia2015 пишет:
Следуя Вашей логике тогда вообще не стоит беспокоиться об информационной безопасности. Зачем предлагать клиентам банков устанавливать сложные пароли, если методами фишинга они станут всё равно известны телефонным мошенникам?
----------
Вы вырываете цитату из контекста, а не следуете моей логике.
Существующие каналы (sms и push) достаточно надежны. Клиенты, использующие TAN-генераторы, как альтернативный фактор владения, точно так же будут становиться жертвами фишинга или кражи. Потому что проблема не в каждом из факторов по-отдельности, а в упразднении многофакторной аутентификации.

----------
Цитата

ia2015 пишет:
Стоит ли вплетать в обсуждение технической стороны ДБО какую-то безумную бабушку?
----------
В конечном итоге именно "безумным бабушкам" придется оплачивать заблуждения "слишком умных внучков". Проблема уже давно не в технической стороне ДБО, а в юридической.

Ответить

Andrej G

14 октября 2021 в 12:20

Мало купить новый номер, важно его не токсичность и отсутствие пользователей до вас. Вообщем-то с нового пула номеров брать нужно. Если вы с Мск или области, то пишите в личку. Нужно в специальных салонах операторов подключаться.

Ответить

Mar4el

14 октября 2021 в 14:00

----------
Цитата

Andrej G пишет:
Мало купить новый номер, важно его не токсичность и отсутствие пользователей до вас.
----------

Чем важно то? Примеры приведите пжта, мне просто интересно. Применительно по пользованию такой токсичной, как выражаетесь, симкой именно к банку. Симка же находится у вас на руках и вы, следуя правилам безопасности, пользуетесь симкой как положено (предполагаю).
Примеры того, что возможно будут поступать левые звонки и смс, связанные с предыдущими хозяевами симки, не рассматриваются, так как левые звонки и смс могут и на совершенно "чистые" номера, не имеющие истории пользования, поступать, не застрахован от этого никто. И это (звонки, смс касающиеся прежних хозяев) не имеет ровным счетом никакого отношения к пользованию такой симкой вами в каком нибудь конкретном банке.

Или вселенский заговор против одной личности?

Не скрою. Был у меня похожий случай, когда на вновь купленную симку периодически 2 раза в месяц приходили смс с информацией о зачислении ЗП на карту *хххх от одного газового банка. Ни имен, ни фамилий. И как мне можно было воспользоваться этой инфой? Да никак. Я только мог порадоваться за этого человека, что у него хорошая ЗП. ВСЕ! То же самое и с кодами. Слишком мало информации в смс, чтоб воспользоваться этим пришедшим кодом даже. Через месяца 4 мне эти смс надоели, я сам позвонил на горячую линию этого банка и попросил, чтоб не слали смс с такой информацией на такой то мобильный номер, так как этот номер я приобрел недавно и вообще не имею к их банку никакого отношения и информация из смс мне не интересна совсем, пусть разбираются сами с этим клиентом, у которого числится как контактный теперь уж мой номер. После чего смс перестали приходить. Я обычный пользователь абонентского номера и не более.
Если даже гипотетически предположить, что я оказался работником именно этого банка (с небольшой вероятностью, так сошлись звезды например) и я мог посмотреть этого клиента по номеру карты, номеру телефона, воспользовавшись своим служебным положением, то чтобы я смог дальше сделать? Просто далее все мои действия были бы уголовно наказуемыми в случае чего. А это уже другая история.

Ответить

Client507

14 октября 2021 в 22:04

----------
Цитата

Mar4el пишет:
и я мог посмотреть этого клиента по номеру карты,
----------

Если у Вас есть номер карты и на Ваш номер приходят смс сообщения, т.е. Ваш номер зарегистрирован как контактный, то на портале ДБО по номеру телефона можно сменить пароль в ДБО. Для этого необходимо и достаточно знания номера карты и одного смс сообщения. После этого из системы БДО можно выполнить перевод средств на внешний счет.

Вот и весь алгоритм. :D

Ответить

Басурман

14 октября 2021 в 22:29

----------
Цитата

Mar4el пишет:
Не скрою. Был у меня похожий случай, когда на вновь купленную симку периодически 2 раза в месяц приходили смс с информацией о зачислении ЗП на карту *хххх от одного газового банка. Ни имен, ни фамилий. И как мне можно было воспользоваться этой инфой? Да никак.
----------
Не стану утверждать за "газовый банк", но в Сбере есть такая мелкая пакость, как мобильный перевод, который вот такие индивидуумы не удосуживаются отключить. В итоге по СМС, отправленной с привязанного номера, можно выполнить перевод. А уж пополнить счёт привязанного номера всегда пожалуйста...

Ответить

Mar4el

14 октября 2021 в 23:44

Client507,, не, немножко не так. Вы привели тот случай моего примера, вероятность которой мала, но она есть все равно - когда я покупаю новую симку и я являюсь сотрудником банка Х. И на купленный номер приходит смс именно из банка Х, где я работаю. Если у меня есть возможность и полномочия (права доступа) как у сотрудника банка Х (но такие возможности и полномочия есть не у всех), то я пользуясь своим служебным положением мог бы найти этого клиента в базе, ну и далее в принципе воспользоваться личным кабинетом этого самого клиента. Но в этом случае это уже будет уголовно наказуемым деянием. Найти такого сотрудника в принципе не составит большого труда: системой банка был зафиксирован вход в лк клиента через пароль в смс, отправленный на контактный номер, обозначенный в системе банка. Далее, клиент говорит, что этим номером не пользуется и не имеет к нему больше отношения. Проверяется номер - активен номер или нет, когда продан и кому продан. Далее просто дело техники - по фио пробивается что за чел, паспортные данные, где работает (не проблема тоже, через связку ПД-снилс) и финал - сотрудника берут за "булки". Это один сценарий.

Если допустить, что купивший мобильный номер просто абонент ОпСоСа и не имеет никакого отношения к банкам, то из полученной смс, где указаны только 4 последние цифры карты (если читали внимательно мой предыдущий пост, то там у меня указано *хххх, а не полный номер карты), то и с этими 4-мя цифрами не зайти в ЛК клиента, так как там требуется не 4 знака, остальные ты не знаешь. Тупик.
Хотел вот это донести)))))

----------
Цитата

Басурман пишет:
Не стану утверждать за "газовый банк",
----------

Скажу сразу, что это не Газпромбанк (чтоб не кидали косяки в отношении этого монстра банковской системы страны))))))
Это другой банк, в названии которого тоже есть слово "газ".)))))

----------
Цитата

Басурман пишет:
но в Сбере есть такая мелкая пакость, как мобильный перевод, который вот такие индивидуумы не удосуживаются отключить. В итоге по СМС, отправленной с привязанного номера, можно выполнить перевод. А уж пополнить счёт привязанного номера всегда пожалуйста...
----------

Не буду спорить, просто не в теме.))))
То есть вы говорите, что имея просто такой привязанный к банку номер (по воле случая попавший мне в руки) и если я отправлю с такого номера какое то смс определенного содержания (указав например допустим просто какой то свой счет или номер банковской карты) на определенный сервисный номер Сбера БЕЗ указания каких либо "своих" (предыдущего владельца номера) реквизитов (номера счета, банковской карты), то можно сделать мобильный перевод?! :o
Я конечно за Сбер говорить не буду, так как никогда такие операции у него не совершал и не знаю все этапы проведения таких клиентских переводов только посредством смс и указанием реквизитов, куда надо перечислить денежные средства, но наверно все же еще какая либо хотя бы одна банковская информация должна же указываться!!! 8)
"А пополнить счёт привязанного номера всегда пожалуйста" - но это же, простите, получается входящий перевод (т. е. пополнение счета "дяди" - предыдущего владельца номера), а не исходящий (вывод денег со счета "дяди") - как главная цель нового владельца мобильного номера, у которого осталась привязка к банку предыдущего владельца номера . Где логика? Или я что то не понял, простите, не ругайте сильно)))))

Но как я говорил, в смс была лишь инфа о зачислении н-ой суммы на карту *хххх, + дата, +время. Все.

Ответить

Басурман

15 октября 2021 в 00:30

----------
Цитата

Mar4el пишет:
То есть вы говорите, что имея просто такой привязанный к банку номер (по воле случая попавший мне в руки) и если я отправлю с такого номера какое то смс определенного содержания (указав например допустим просто какой то свой счет или номер банковской карты) на определенный сервисный номер Сбера БЕЗ указания каких либо "своих" (предыдущего владельца номера) реквизитов (номера счета, банковской карты), то можно сделать мобильный перевод?! изображение

Я конечно за Сбер говорить не буду, так как никогда такие операции у него не совершал и не знаю все этапы проведения таких клиентских переводов только посредством смс и указанием реквизитов, куда надо перечислить денежные средства, но наверно все же еще какая либо хотя бы одна банковская информация должна же указываться!!!
----------
Читайте руководство по мобильному банку.

----------
Цитата

Mar4el пишет:
"А пополнить счёт привязанного номера всегда пожалуйста" - но это же, простите, получается входящий перевод (т. е. пополнение счета "дяди" - предыдущего владельца номера), а не исходящий (вывод денег со счета "дяди") - как главная цель нового владельца мобильного номера, у которого осталась привязка к банку предыдущего владельца номера . Где логика? Или я что то не понял, простите, не ругайте сильно)))))
----------
Логика проста - необходимо различать счёт карты (счёт в банке) и счёт номера телефона (а этот счёт у ОПСОСа). Таким образом входящим будет перевод для счёта у ОПСОСа, а для банковского счёта перевод будет исходящим.
Это руководство - как получить срок на ровном месте. :D

Ответить

slowpoke

1 ноября 2021 в 15:02

----------
Цитата

ia2015 пишет:
Как тебе такое, Герман Греф? Слабо?
----------

Вы удивитесь, но 5 лет назад в Сбере выдавали usb кардридеры для ИБ.
Однако затем российские банкиры поняли что дешевле проплатить нужный закон чем тратиться на какие-то tan генераторы.
Поэтому в цивилизованных странах смс-коды официально объявлены уязвимой технологией. А в РФ смс-коды официально объявлены аналогом собственноручной подписи (простая цифровая подпись).
Банки ЕС и США используют tan генераторы потому что их принуждает к этому национальное законодательство, написанное в интересах граждан. А в РФ законодательство написано в интересах банков.

Ответить

ia2015

1 ноября 2021 в 17:01

----------
Цитата

slowpoke пишет:
Банки ЕС и США используют tan генераторы потому что их принуждает к этому национальное законодательство, написанное в интересах граждан. А в РФ законодательство написано в интересах банков.
----------

Абсолютно верно! Вот свежий пример того, что в передовых странах государственный регулятор действительно следит за уровнем безопасности:

https://www.popsci.com/technology/sim-swapping-fcc-regulations/

Выше в этой ветке я перечислил причны, почему это не происходит в РФ:
https://www.banki.ru/forum/?PAGE_NAME=message&FID=61&TID=382707&MID=8843638#message8843638

Ответить

mikhailov65

1 ноября 2021 в 17:26

----------
Цитата

slowpoke пишет:
Банки ЕС и США используют tan генераторы
----------

Опять 25, уже обсуждалось в соседней ветке. Проблема не в доставке кодов, а в том, что клиенты сами совершают деструктивные действия, сами снимают деньги и переводят их мошенникам, и в этом случае никакие генераторы, шифр-блокноты не помогут, а только создадут лишние проблемы для остальных клиентов.

Ответить

ia2015

1 ноября 2021 в 18:04

----------
Цитата

m*******@orc.ru пишет:
Проблема не в доставке кодов, а в том, что клиенты сами совершают деструктивные действия, сами снимают деньги и переводят их мошенникам, и в этом случае никакие генераторы, шифр-блокноты не помогут, а только создадут лишние проблемы для остальных клиентов.
----------

Но если попробовать мыслить логически, то тогда следует признать, что клиенты банков в РФ в целом значительно тупее клиентов банков в ЕС и США, поскольку в РФ (1) они сами переводят деньги мошенникам; (2) не могут освоить работу с простой коробочкой при переводах оn-linе.

Получается, что в ЕС и США проблема в технических средствах, поэтому они там так беспокоятся об этом, а в РФ - именно в клиентах, поэтому chip-TAN, photo-TAN, mobileID в РФ бесполезны?

Логическое противоречие легко разрешается, если догадаться, что в РФ дело совсем не в клиентах, а в регуляторе и наплевательском отношении банков к клиентам.

Ответить

Client507

1 ноября 2021 в 20:42

----------
Цитата

Mar4el пишет:
Не буду спорить, просто не в теме.))))
----------

и это правильно. При наличии контролируемого номера украсть деньги с привязанной учетной записи ДБО не представляет сложности. К сожалению. Поэтому номер, сообщаемый банку, лучше никогда не "отдавать" на сторону.
----------
Цитата

ia2015 пишет:
как клиенты самостоятельно меняют CR2025 в устройствах с оптической связью
----------

Судя по привлечению цитаты автора-специалиста об устрицах, специалистом в данной сфере Вы не являетесь, а знакомство с изделиями Kobil ограничено интернет-лекциями. Уточню, у Вас лично есть счет в шпаркассе? Нет, неудивительно. Поэтому я с самого начала писал, что для немца не гика эти Ваши слова: TAN и т.д. - пустой звук. Гики - да, пользуются. Была статистика - из 15млн устройств (за 15 лет!) используется менее 30000. Найти не могу ;)
Нормативы pds2, на которые, кстати, ссылается Kobil, рассматривают использование sms-канала наравне с любыми другими средствами получение одноразового пароля. :)
Статья о FCC, на которую Вы ссылаетесь, является даже не проектом, а предложением к изменению законодательства о связи, т.е. к банкам вообще отношения не имеет напрямую. Фраза "The FCC’s proposed regulations will require phone carriers to ..." как бы намекает, что кем в отношении кого планируется. А вот, чем занимается FCC: The Federal Communications Commission (FCC) is an independent agency of the United States federal government that regulates communications by radio, television, wire, satellite, and cable across the United States. Банки - другая епархия. Другая комиссия.

Тут вижу slowpoke подтянулся. Ждем с нетерпением новых откровений типа/уровня "отправить банкомат на экспертизу".

А вообще ia2015 - Вам уже четко написали, что проблема не в способе доставки одноразового пароля, а в том, что клиенты сами сообщают пароли третьим лицам. Проблема не в техническом, а в человеческом факторе. А техническими средствами решить проблемы человеческого аспекта невозможно.

Относительно положения -
----------
Цитата

ia2015 пишет:
Но если попробовать мыслить логически, то тогда следует признать, что клиенты банков в РФ в целом значительно тупее клиентов банков в ЕС и США, поскольку в РФ (1) они сами переводят деньги мошенникам; (2) не могут освоить работу с простой коробочкой при переводах оn-linе.

----------

попробуйте найти что-то похожее на banki.ru в немецкоязычном или англоязычном интернете. Найдете? Почитайте.
В России есть ли сериал о воровстве с персональных банковских счетов? В англоязычном мире такой сериал есть. Популярный, что намекает :D Чаще встречается. Объемы больше. В целом и в среднем.

Пробовать мыслить логически нужно в профессиональной деятельности. Иначе будет как в книге Джерома К.Джерома о родильной лихорадке.

Ответить

ia2015

1 ноября 2021 в 22:02

----------
Цитата

Client507 пишет:
Поэтому я с самого начала писал, что для немца не гика эти Ваши слова: TAN и т.д. - пустой звук. Гики - да, пользуются. Была статистика - из 15млн устройств (за 15 лет!) используется менее 30000. Найти не могу
----------

А вот, интересно, где это в немецкоязычном интернете написано? Буду весьма признателен за прямую ссылку, уважаемый Client507 ... Заранее благодарю. Про перевод - не беспокойтесь, я знаю три языка, не считая, разумеется, разных языков программирования.

Опять вспоминаю незабвенное про вкус устриц. Каюсь, это я написал. Кто-то обиделся, наверное...

Ответить

slowpoke

2 ноября 2021 в 14:17

----------
Цитата

Client507 пишет:
Судя по привлечению цитаты автора-специалиста об устрицах, специалистом в данной сфере Вы не являетесь, а знакомство с изделиями Kobil ограничено интернет-лекциями.
----------

Вас уже не удивляет что пользователи могут самостоятельно менять батарейки в tan генераторах? А то было смешно читать про "сброс ключей", что свидетельствует о полном непонимании технологии работы tan генераторов.

----------
Цитата

Client507 пишет:
Вам уже четко написали, что проблема не в способе доставки одноразового пароля, а в том, что клиенты сами сообщают пароли третьим лицам.
----------

Странная ситуация. Клиенты банков ЕС и США не сообщают мошенникам коды, сгенерированные tan генераторами. А клиенты российских банков сообщают мошенникам коды, полученные через СМС.

Ответить

uGNot

2 ноября 2021 в 14:57

----------
Цитата

slowpoke пишет:
Странная ситуация. Клиенты банков ЕС и США не сообщают мошенникам коды, сгенерированные tan генераторами. А клиенты российских банков сообщают мошенникам коды, полученные через СМС.
----------
Вполне логичная.

Клиенты банков ЕС и США не сообщают мошенникам коды, сгенерированные TAN-генераторами, потому что не пользуются TAN-генераторами.

А коды из СМС у клиентов банков РФ мошенники выманивают не для подтверждения транзакций, а для "кражи личности".

Ответить

slowpoke

3 ноября 2021 в 10:54

----------
Цитата

uGNot пишет:
Клиенты банков ЕС и США не сообщают мошенникам коды, сгенерированные TAN-генераторами, потому что не пользуются TAN-генераторами.
----------

Клиенты банков ЕС и США, которые не пользуются tan генераторами, не могут совершать операции в ИБ/МБ и онлайн-покупки с 3ds.

Кстати, местные "знатоки" понимают алгоритм работы tan генератора? Зачем в tan генератор вставляется чиповая банковская карта? А то действительно получается обсуждение вкуса устриц с теми кто их не ел. :)

Ответить

mikhailov65

3 ноября 2021 в 12:16

----------
Цитата

slowpoke пишет:
Клиенты банков ЕС и США, которые не пользуются tan генераторами, не могут совершать операции в ИБ/МБ и онлайн-покупки с 3ds.
----------

В США распространены операции без подтверждения 3DS, а также карты без чипа.

Ответить

uGNot

3 ноября 2021 в 22:57

----------
Цитата

slowpoke пишет:
Клиенты банков ЕС и США, которые не пользуются tan генераторами, не могут совершать операции в ИБ/МБ и онлайн-покупки с 3ds.

Кстати, местные "знатоки" понимают алгоритм работы tan генератора? Зачем в tan генератор вставляется чиповая банковская карта? А то действительно получается обсуждение вкуса устриц с теми кто их не ел. изображение

----------
Хотя бы пяточек банков из США, где нельзя пользоваться ИБ/МБ без TAN-генератора (в который чиповая карта вставляется) не назовете?

Ответить

Aurek

4 ноября 2021 в 04:44

Зашёл сейчас в фак по оплате вполне европейского антивируса Авира, там про ваши TAN тоже есть, что они необязательны и могут заменяться отпечатком пальца, например:

----------
Цитата

Online payments that were formerly paid with credit card and security number (PIN) will be extended by a second security factor (2FA).

As a purchaser you will now require two of these three factors:

Knowledge: Password, PIN
Possession: Smart card, TAN generator, registered smartphone
Inherence: Fingerprint, facial features
----------

Если кратко: надо 2 из 3 факторов: пасс-пин, тан-смартфон, авторизация по пальцу-лицу.

Ответить

ia2015

4 ноября 2021 в 10:47

Совершенно верно, разнообразных технических возможносте подтверждения оn-line переводов полно. Вот информация от немецкого общества (защиты прав) потребителей:

https://www.verbraucherzentrale.de/wissen/geld-versicherungen/sparen-und-anlegen/onlinebanking-wie-sicher-ist-welches-tanverfahren-21921

mTAN – die SMS aufs Handy
Die Methode ist relativ sicher, aber das Handy kann gestohlen / die TAN
kann abgefangen werden. Das zuständige Bundesamt BSI warnt vor SMS-TAN und
empfiehlt, auf das Verfahren zu verzichten.

mTAN - SMS на мобильный телефон
Метод относительно безопасен, но сотовый телефон можно украсть / TAN можно перехватить. Федеральное ведомство BSI предостерегает от использования SMS-TAN и рекомендует не использовать эту процедуру.

Здесь на форуме я пытаюсь втолковать, что mTAN must die, а уж практикуемая в РФ (пере)регистрация в ДБО только по номеру карты и одной SMS - тем более.

Ответить

Показать еще (148)