Назад
11 апреля 2021 в 16:36

Как я убедился в том, что СберБанк напрямую сливает данные клиентов телефонным мошенникам

Вполне очевидно, что при нынешнем размахе телефонного мошенничества следует завести отдельный телефонный номер для получения СМС в рамках услуги "Мобильный банк" СберБанка. Этот же специальный номер следует использовать для приема СМС двухфакторной аутентификации при использовании СберБанк Онлайн. Никаким знакомым, родственникам этот специальный номер не сообщается, в мессенджерах, соцсетях не засвечивается. Более того, номер не используется в работе с партнерами по СберID. Таким образом, о принадлежности такого секретного номера вам как клиенту СберБанка будут знать только в самом банке. Я тоже на это надеялся. До недавнего времени.

На другой публичный номер, который использовался для регистрации на различных сайтах и интернет-сервисах, многочисленные звонки от мошенников поступают уже не первый год. Поскольку запись разговоров с незнакомых номеров у меня включается автоматически, то собралась целая коллекция таких записей. Достаточно при регистрации указать свою фамилию с небольшой опечаткой или не указывать отчество, или "перепутать" фамилию и отчество и звонящий "засветит" источник утечки. Заказ в пункте выдачи в любом случае отдадут, если вы оплачиваете его при получении.

Итак, первая улика против СберБанка. В марте 2021 года начался шквал мошеннических звонков на мой секретный номер. Мошенники называли себя сотрудниками СберБанка, обращались по правильной фамилии, имени и отчеству, называли мой год рождения. Утечку данных от сотового оператора я исключаю, потому что у оператора моя фамилия несколько искажена, а все мошенники обращались ко мне правильно. В начале разговора я обычно сообщаю, что плохо расслышал собеседника и он вынужден два-три раза внятно повторить обращение ко мне, что важно для качественной записи. Ну и для того, чтобы поиздеваться над говорящим. Более того, при разговоре я обычно не подтверждаю, что мошенник говорит именно с тем, ФИО которого он назвал. Это сбивает мошенников с толку и они отключаются. Но в марте меня убеждали, что ошибки быть не может, что я ввожу их в заблуждение и продолжали разговор.

Вторая улика против СберБанка. Абсолютно такой же схемой с секретным номером пользовалась моя родственница. Номер оформлен на меня. И вот в апреле 2021 года на него стали звонить мошенники, называвая её правильно по фамилии, имени, отчеству. Это исключает утечку от оператора сотовой связи.

Третья улика. Все вышеизложенное было представлено в СберБанк в подробном обращении на двух страницах, с требованием установить виновных в утечке персональных данных. Вот ответ СберБанка полностью: "Благодарим за данные, предоставленные в обращении № ***** На основании поступивших данных банк формирует стратегию защиты клиентов от возможных мошеннических действий. Меры безопасности при использовании банковских продуктов и услуг размещены на сайте в разделе «Ваша безопасность» sberbank.ru". Таким образом, СберБанк не отрицает утечку данных, не сообщает о проведённом или проводимом служебном расследовании по заявленным фактам, и тем самым неявно признает такие утечки персональных данных и невозможность противодействия им.

Эта ситуация описана в народном рейтинге:
https://www.banki.ru/services/responses/bank/response/10497377/
Ждем ответа официального представителя СберБанка.

Вопрос для уважаемых участников форума: как часто посетители banki.ru сталкиваются с доказанными фактами утечки данных клиентов именно из СберБанка? Очевидно, что без крота где-то внутри СберБанка такое невозможно...
281
1,4k
Комментарии
99+

9 ноября 2021 в 12:47
SMS-коды признали опасными для оплаты
В Минкомсвязи рекомендуют использовать генерацию одноразовых паролей на стороне пользователя

газета "Известия"

https://iz.ru/news/636180

Проблема обсуждается уже пять лет, по меньшей мере. Но только воз и ныне там ...
Ответить

12 ноября 2021 в 16:24
----------
Цитата

ia2015 пишет:
SMS-коды признали опасными для оплаты
В Минкомсвязи рекомендуют использовать генерацию одноразовых паролей на стороне пользователя

----------

Общество живёт по законам, а не по рекомендациям. Даже если эти рекомендации разумны.
В ЕС закон запрещает использовать смс-коды.
В РФ закон приравнивает смс-коды к аналогу собственноручной подписи (простая цифровая подпись).
Ответить

15 ноября 2021 в 07:30
Анализ обсуждаемой проблемы во времени и пространстве.
Время:
1) Было время, когда основная проблема была в подделке магнитной полосы (скимминг) - введение чипа, перенос ответственности - нет сейчас такой проблемы.
2) Потом пошли кражи реквизитов через фишиновые сайты и прочие подсматривания реквизитов - 3D-Secure порешал эту проблему - даже если операция проходит без подтверждения 3DS-кода, она легко оспаривается и сумма возвращается клиенту.
3) Социальная инженерия (СИ) - настоящее. Все риск-специалисты ломают голову как не дать клиенту отдать деньги мошеннику.

Пространство - через какие каналы идёт хищение:
1) CP (card present) - почти закрыт. Осталась только физическая кража, карты ну и бесконтакт упростил хищение до 1-3 тыс.руб.
2) CNP (card present) - почти закрыт. Выше писал, что всё оспаривается.
3) ДБО - взлом брутфорсом большинства приложений фактически невозможен.
4) Человек-клиент - соц.инженерия, фишинг.
5) Человек-сотрудник банка, опсоса - многие банки проходят PCI DSS и полномочия сотрудников урезаны (хотя от утечек за 100% не закрыты), в части опсосов я работы не вижу, но уголовные дела и судебные решения по "мобильному пробиву" есть. Это к стартовому посту.

Отсюда вопрос - зачем городить всякие криптокалькуляторы, которые стоят много больше платы за SMS (обычно 60 руб.) и клиенту не надо таскать ещё одно устройство? Люди карты уже отвыкают с собой носить (всё в смартфонах), а вы думаете, что кто-то будет с собой таскать ещё одно. Это уже устарело. Старушка Европа тут явно не ориентир.
И, как тут уже несколько раз сказали, от СИ криптокалькулятор не убережёт. С учётом того, что проблема именно в СИ, то разговор получается ни о чём, уж извините.
Ответить

15 ноября 2021 в 07:52
----------
Цитата

ia2015 пишет:
SMS-коды признали опасными для оплаты
В Минкомсвязи рекомендуют использовать генерацию одноразовых паролей на стороне пользователя

----------
Статья написана очень небрежно. И вызывает ряд вопросов.
1) SMS - открыт, давайте использовать генераторы OTP на стороне пользователя с шифрованным траффиком. Ок, т.е. предлагается устанавливать плюс одно приложение. Допустим.
2) Александр Солонин (ВТБ) явно высказался, что на практике компрометации SMS не бывает. Что и логично - сам перехват SMS ничего не даёт, нужны сопутствующие данные. Например, что даст мошеннику перехват кода 123456 на номер +79998882233? В норме - ничего.
3) А вот мнение "аналитиков по кибербезопасности" меня особенно заинтересовало:
----------
Цитата

По такой схеме ежегодно похищается более 50 млн рублей со счетов россиян в различных российских банках.
----------
Откуда информация? Не припомню такой формы отчётности в разрезе схем. Cool story.
----------
Цитата

Получив дубликат SIM-карты, злоумышленник активирует ее в сети оператора, обычно в ночное время, и за пару часов переводит все деньги из интернет-банка жертвы
----------
Силюсь вспомнить в приложение какого банка я могу попасть только по SMS-ке 8) и ничего в голову не приходит. Но, наверное, "аналитики" что-то такое знают... :shuffle:
Ответить

15 ноября 2021 в 08:02
----------
Цитата

Client507 пишет:

Если у Вас есть номер карты и на Ваш номер приходят смс сообщения, т.е. Ваш номер зарегистрирован как контактный, то на портале ДБО по номеру телефона можно сменить пароль в ДБО. Для этого необходимо и достаточно знания номера карты и одного смс сообщения. После этого из системы БДО можно выполнить перевод средств на внешний счет.

Вот и весь алгоритм.

----------

----------
Цитата

m.potter пишет:
Силюсь вспомнить в приложение какого банка я могу попасть только по SMS-ке изображение
и ничего в голову не приходит. Но, наверное, "аналитики" что-то такое знают... изображение

----------


В РСХБ всё еще проще.
Если у вас есть симкарта с номером, который зарегистрирован в банке как контактный номер, то вы без всякой карты и без логинов и паролей, просто введя номер телефона и код СМС, получите доступ к мобильному приложению РСХБ. А там - уже без всяких СМС - смените способ подтверждения операций на собственный отпечаток и увеличите лимиты. И сможете сделать всё, что угодно, с деньгами бывшего владельца симкарты/номера телефона!
Но, в оправдание РСХБ, можно сказать следующее:
В ИБ есть возможность запретить расходные операции по конкретным вкладам . И отменить такой запрет можно только в отделении.
Ответить

15 ноября 2021 в 10:38
----------
Цитата

Ever⚡ пишет:
В РСХБ всё еще проще.
Если у вас есть симкарта с номером, который зарегистрирован в банке как контактный номер,

----------

Это ключевые слова! Мошенник ДОЛЖЕН иметь СИМ карту (открытую? без ПИНа).
Ответить

15 ноября 2021 в 10:40
----------
Цитата

Ever⚡ пишет:
необходимо и достаточно знания номера карты и одного смс сообщения.

----------
Здесь, как минимум, нужен полный номер карты. Откуда он у перехватчика SMS?

----------
Цитата

без всякой карты и без логинов и паролей, просто введя номер телефона и код СМС, получите доступ к мобильному приложению РСХБ
----------
А вот это реально бардак! Один канал для восстановления доступа это трэш. Вот почему я за общие стандарты в области антифрода. Все эти Knowledge factors/Possession factors давно придуманы и принцип следует закрепить для таких процедур.
Ответить

Аватар
15 ноября 2021 в 10:54
Я лично в кодах по СМС или пуш ничего страшного не вижу. Вот опция восстановления/сброса учетной записи аккаунта/логии пароль/ по ОТКРЫТОМУ всем ветрам глазам номеру карты - ДЫРЕНЬ. 8)
Ответить

15 ноября 2021 в 11:15
----------
Цитата

камо пишет:
Я лично в кодах по СМС или пуш ничего страшного не вижу. Вот опция восстановления/сброса учетной записи аккаунта/логии пароль/ по ОТКРЫТОМУ всем ветрам глазам номеру карты - ДЫРЕНЬ. изображение

----------

А в РСХБ - доступ к МП просто по НОМЕРУ ТЕЛЕФОНА :wall: :wall:
Одной СМС-ки достаточно, и номера телефона. Ни номера карты, ни кодового слоа, ни даже даты рождения (как в Хоуме, например - там тоже МП регистрируется по номеру телефона, но с вводом даты рождения и кодового слорва, либо N карты). А вот то, что сделали в РСХБ - это вообще просто жесть!
Хотя дети мои говорят - всё норм! Держи заблокированный телефон с запароленной симкой при себе, не показывай текст СМС в уведомлениях и не ходи на фишинговые сайты - и не о чем волноваться. Но я-то думаю, что всё не так радужно.
Ответить

15 ноября 2021 в 11:33
----------
Цитата

m.potter пишет:
Один канал для восстановления доступа это трэш. Вот почему я за общие стандарты в области антифрода. Все эти Knowledge factors/Possession factors давно придуманы и принцип следует закрепить для таких процедур.

----------

Общие стандарты информационной безопасности, включая стандарты на системы антифрода и системы ДБО, определяющие единые требования способам авторизации и аутентификации - это было бы здорово!
Ну, и единые требования к Договорам ДБО должны быть - в Договоре ДБО необходимо явно указывать перечень подключаемых данному клиенту дистанционных сервисов и каналов дистанционного доступа, и ограничения, устанавливаемые клиентом на использование этих каналов и сервисов. Никакие дистанционные каналы и сервисы не должны подключаться по умолчанию - только с явно выраженного согласия клиента!
К сожалению, ни ЦБ, ни РосКомНадзор вопросами безопасности ДБО заниматься не желают. Как и законодатели.
Ответить

15 ноября 2021 в 11:37
----------
Цитата

Ever⚡ пишет:
Никакие дистанционные каналы и сервисы не должны подключаться по умолчанию - только с явно выраженного согласия клиента!

----------

С явно выраженного лично в офисе согласия клиента.
Ответить

15 ноября 2021 в 11:46
----------
Цитата

Ever⚡ пишет:
К сожалению, ни ЦБ, ни РосКомНадзор вопросами безопасности ДБО заниматься не желают. Как и законодатели

----------
Они к этому идут. Постепенно.
Ответить

15 ноября 2021 в 11:49
----------
Цитата

Struzzo пишет:
С явно выраженного лично в офисе согласия клиента.

----------
Хм. А вот это не очень коррелирует с трендами дистанционного взаимодействия. Особенно с учётом всяких ковидных локдаунов и удалённой работы. Полагаю, что тренд и дальше будет развиваться в сторону от физического присутствия клиента в офисе.
Ответить

15 ноября 2021 в 11:52
----------
Цитата

Struzzo пишет:

С явно выраженного лично в офисе согласия клиента.

----------

Совершенно верно! В офисе, при подписании Договора ДБО.
И изменять перечень подключаемых дистанционных сервисов, каналов дистанционного доступа, ограничения на к-во мобильных устройств клиент должен только оформлением Дополнительного соглашения к Договору ДБО, т.е. опять же - в офисе. Либо по звонку в службу поддержки, после прохождения процедур полноценной идентификации, с ответами на контрольные вопросы (а не только по кодовому слову или паспортным данным) - с последующим обязательным оформлением Доп.соглашения к Договору ДБО.
Ответить

15 ноября 2021 в 11:55
----------
Цитата

Ever⚡ пишет:
Либо по звонку в службу поддержки, после прохождения процедур полноценной идентификации, с ответами на контрольные вопросы (а не только по кодовому слову или паспортным данным) - с последующим обязательным оформлением Доп.соглашения к Договору ДБО.

----------
Да, это уже разговор. Тоже в стандарт безопасности ДБО. Сейчас мы его "на коленке" и нарисуем :D
Ответить

15 ноября 2021 в 12:02
----------
Цитата

m.potter пишет:
Хм. А вот это не очень коррелирует с трендами дистанционного взаимодействия. Особенно с учётом всяких ковидных локдаунов и удалённой работы. Полагаю, что тренд и дальше будет развиваться в сторону от физического присутствия клиента в офисе X

----------

Не факт, не факт.
Личное присутствие в офисе - максимальная гарантия со стороны самого клиента. Банк же, разумеется, может решить и иначе. Как Тинькофф, например, изначально без офисов.

А дистанционный тренд неизбежно приведет к дополнительным шагам по безопасности. Например, обсуждаемое изменение сервисов - только после авторизации клиента на Госуслугах.

К примеру, у Почта Банка сейчас при получении кредитки есть такой механизм: приходит запрос на сведения из ПФР на Госуслугах, надо в ЛК Госуслуг дать согласие. Не дашь согласие = отказ в кредитке. Испытано лично. Похожую схему можно прикрутить и к ДБО.
Ответить

15 ноября 2021 в 14:08
----------
Цитата

Struzzo пишет:
Личное присутствие в офисе - максимальная гарантия со стороны самого клиента.

----------
Клиенты сами предпочитают "никуда не ездить" и "не стоять в очередях". Я, как правило, вижу, что безопасность не на первом месте, удобство больше ценится клиентами.

----------
Цитата

А дистанционный тренд неизбежно приведет к дополнительным шагам по безопасности. Например, обсуждаемое изменение сервисов - только после авторизации клиента на Госуслугах.
----------
Согласен, это логичный шаг. Хотя меня и беспокоит, что на госуслуги очень много чего сконцентировано. Госуслуги уже одна из основных мишеней для атаки мошенников. То ли ещё будет.
Ответить

15 ноября 2021 в 14:16
----------
Цитата

m.potter пишет:
То ли ещё будет X

----------

Ой, да-а...

----------
Цитата

m.potter пишет:
Клиенты сами предпочитают "никуда не ездить" и "не стоять в очередях". Я, как правило, вижу, что безопасность не на первом месте, удобство больше ценится клиентами.

----------

В мегаполисах - да.

Езжу по ЦФО и СЗФО. Часто захожу в банки. Везде аншлаг. Особенно люди среднего возраста и пенсионеры. Которые, в отличие от молодежи, если и умеют пользоваться инетом, то тупо не доверяют дистанционным сервисам. Лично знаю двух пенсионерок, которые имея дебетовку Сбера и смартфон, раз в месяц ходят в отделение получать пенсию наличными. Не шутка. А сколько ещё таких я не знаю...

И это не говоря уж о том, что у очень большого процента "людей за..." до сих пор кнопочные звонилки. И смарты им нафиг не нужны.
Ответить

15 ноября 2021 в 14:26
Ничего тут автор не понимает и зря возмущается. Вам же сказали, что утечки быть не может - значит не может! Я вот тоже дурак, зря возмущался на этом форуме тому факту, что карты сейчас выдают без конвертов и все данные на них видны. Ведь сотрудников проверяют на полиграфе! Честно честно, мне так сказали в сбере! а значит обмана быть не может. Это просто мы ничего не понимаем, а они то там знают что делают! Вот так то! :crazy: :crazy: :crazy:
Ответить

15 ноября 2021 в 14:33
----------
Цитата

Struzzo пишет:
В мегаполисах - да.

----------
Могу поделиться и обратной стороной, когда у клиентки по карте странности пошли, мы ей карту заблокировали во избежание плохого и звоним уточнить всё ли нормально. Клиентка говорит - не мои попытки. Мы - ок, давайте карту перевыпустим и с новыми реквизитами выдадим (типовой сценарий). Она - а я в декрете, за 200 км. до вашего офиса, в деревне, а деньги нужны. И мы начали придумывать варианты как ей карту выпустить, получить и при этом деньгами пользоваться.
Ответить

Все продукты Банки.ру

Показать ещеСкрыть