Осторожно мошенничество (Юла.Ру, Промсвязьбанк, Сбербанк)
Сразу к сути.
Юла.Ру (https://youla.ru) является рассадником мошенников, администрация ресурса не успевает справляться с потоком обращений о мошеннических операциях и блокировать объявления, размещенные с целью мошенничества. А уязвимости в платежных сервисах Промсвязьбанка и Сбербанка помогают мошеннику обогащаться.
Чтобы не быть голословным, приведу основные факты:
1. Блокировка мошеннического объявления после моего обращения, заняло у администрации Юлы 6 часов. Т.е. после того, как мошенник обманул меня, он продолжал еще 6 часов обманывать других пользователей, далее я расскажу как я это видел.
2. После блокировки объявления, мошенник сразу зарегистрировал новый аккаунт и разместил в нём объявление идентичного содержания (тот же текст, те же фотографии). Я написал в администрацию Юлы, но уже более 8 после этого объявление остается активным и мошенник продолжает обманывать пользователей сервиса.
3. Уязвимость сервиса Промсвязьбанка Перевод с карты на карту онлайн (https://www.psbank.ru/card2card) дает мошенникам возможность создавать свои фишинговые страницы, идентичные по дизайну сайту Юла.р,у и без отображения на экране плательщика информации о получателе, размере комиссии и назначении платежам, принимать платеж, скрывая от плательщика истинное назначение платежа и получателя.
4. Уязвимость 3D Secure Сбербанка, скорее даже вера Сбербанка в надежность Промсвязьбанка дает возможность злоумышленнику из своего фишингового окна, бесшовно переходить на окно подтверждения операции Сбербанком.
5. При выявлении мошенничества со стороны клиента и обращения в Сбербанк, клиенту предлагается заблокировать карту и обратиться в правоохранительные органы. Остановить проведения платежа Сбербанк не в силах и не берется.
6. При обращении в Промсвязьбанк, оператор сообщает, что рассмотрение обращения займет 30-60 дней и даже не сообщает номера обращения, и сообщает, что заблокировать операцию невозможно.
7. Администрацию Юлы дает хамоватый ответ в стиле "Сам дурак" и полностью отмораживается от решения проблемы.
Таким образом, в данной схеме пользователь остается полностью на едине со своей проблемой.
Далее по порядку.
29.10.2019 я решил купить Sony PlayStation 4 на Юла.Ру.
Нашел подходящее объявление и написал продавцу.
Продавец ответил через несколько минут и предложил совершить операцию через "Безопасную сделку", мотивировав это тем, что так он получит от Юлы баллы, а я получу скидку.
Действительно, скидка составила 1 400 рублей и товар вместо 16 000 стал стоить 14 600.
Это первый трюк.
В ходе диалога мошенник попросил сообщить номер телефона, чтобы продолжить общение в Whatsapp.
Это второй трюк.
При совершении безопасной сделки я в приложении Юла.Ру ввел номер карты и т.д., произвел подтверждение операции через 3D Secure Сбербанка.
В этот момент мошенник совершил в сервисе Юла отказ от безопасной сделки, при этом мне уведомление об этом не пришло.
Это третий трюк.
У меня пропала в объявлении кнопка "Купить", сообщение об отмене платежной операции мне не поступило, деньги вернулись обратно на карту.
Я написал об этом продавцу. Продавец ответил в Whatsapp, что такое бывает.
И, внимание, кульминация - прислал фишинговую ссылку и попросил попробовать через браузер.
Это четвертый трюк.
Я открыл страницу, дизайн интерфейса полностью соответствовал сайту Юла.ру, только назывался Youla.be. Этот сайт и сейчас доступен. На него можно зайти. Нажав, на нем "Оплатить" я перешел на сайт https://yeahpay.ru/merchant/?amount=&item=. Данный сайт по моему мнению взаимодействует с сервисом Промсвязьбанка, используя его уязвимость.
После ввода реквизитов карты и нажатия клавиши "Оплатить" я перешел на сайт 3D Secure Сбербанка.
iPhone бодро подставил содержимое из смс в поле ввода и я нажал "Подтвердить".
Уже после этого, зайдя в смс-сообщения, я увидел, что смс пришла для подтверждения операции сервиса CARD2CARD PSBANK.RU. При этом сумма в СМС была 14 400 рублей, а в итоге списалось с карты 14 616 рублей. Опять магия.
После этого, я зашел в Мои заказы на Юле и не увидел совершенной покупки. Это меня окончательно насторожило. Я начал внимательно проверять свои операции и понял, что попался на удочку мошенника.
В это время мошенника написал мне, что в Юле сбой и надо воспользоваться сервисом возврата денег и прислал новую фишинговую ссылку.
После этого я написал ему, чтобы он вернул мне деньги и он заблокировал меня в Whatsapp и на Юле.
Пятый трюк У Юлы отсутствует нормальная техническая поддержка, некуда позвонить. На письма отвечают через 6-8 часов. Любое непонятное действие на сайте вводит в заблуждение и этим пользуются мошенники.
Дальше я оперативно связался со Сбербанком по номеру 8-800-555-555-0, где оператор сообщил, что всё, что Сбербанк может для меня сделать в сложившейся ситуации - это заблокировать карту и посоветовать обратиться в органы внутренних лео.
После этого я позвонил в Промсвязьбанк, рассказал ситуацию и получил ответ, что платеж приостановлен быть не может, а моё обращение рассмотрит служба безопасности в течение от (внимание) 30 до 60 дней.
Также я написал обращение в Юлу. Их шикарный хамоватый ответ не могу процитировать сюда:
Роман, уточним, что оплата по Безопасной сделке на Юле производиться исключительно в нашем приложении или нашем сайте youla.ru, не посещая подобные сомнительные ресурсы, копирующие наш интерфейс. Поэтому нам, как минимум, непонятно, откуда и как вы перешил на подобную ссылку, не имеющую никакого отношения к Юле.
Вся информация о работе сервиса Безопасная сделка доступна как в приложении, так и на нашем сайте:https://help.mail.ru/youla/safedeal. Пожалуйста, будьте бдительны!
В сложившейся ситуации можем лишь рекомендовать обратиться в правоохранительные органы, надеемся, вам помогут решить вопрос.
1. Я без денег, но с опытом финансовой грамотности
2. Объявление мошенника продолжает висеть на сайте Юлы
3. Фишинговые ссылки как работоспособны.
4. Мошенническая схема Юла+Промсвязьбанк+Сбербанк работает. Никому из этих трех участников махинации нет дела до происходящего.
5. Мошенники продолжают обогащаться.
Вывод: Безответственность Юлы за размещенный на сайте контент, отсутствие технической поддержки и уязвимости в банковских сервисах платежей Промсвязьбанка и Сбербанка создают шикарные условия для мошенников.
И спасение утопающего дело его собственных рук. Не верьте никому, будьте бдительны.
Цитата
Roman Tretyakov пишет:
Т.е. после того, как мошенник обманул меня, он продолжал еще 6 часов обманывать других пользователей, далее я расскажу как я это видел.
----------
Поясню, по сценарию если мошенник находит жертву, для того, чтобы мотивировать покупателя на безопасную сделку, он снижает стоимость товара на 10%.
Потом переводит товар в режим "Зарезервировано" или "Отложено".
Соответственно, я отслеживал, что товар меняет статус.
А значит, охота продолжается :o :D
Цитата
a*******@gmail.com пишет:
в чем тут дыры безопасности банков я не понимаю, контролировать фишинговые страницы банки не могут
----------
Я согласен, что в этой ситуации я сам дурак, но хочу подсветить, что
1. Юла кишит мошенниками и этому способствует вялый антифрод, отсутствие оперативной технической поддержки и кривой-косой алгоритм безопасной сделки
2. Социальная инженерия хорошо работает на Юле из-за косяков п.1
3. Рассказываю, что с фишинговой ссылки можно бесшовно пройти на 3D Security Сбербанка. Для меня это открытие
4. Подсвечиваю, что сервис CARD2CARD ПСБ используется для потокового мошенничества
5. Пытаюсь показать, что ни у Юлы, ни у ПСБ, ни у Сбера нет мотивации бороться с такого типа мошенничеством. У всех троих хата с края
6. Ни Банк получатель, ни Банк отправитель не хотят оперативно решать проблему клиента и пресекать поток мошенничества.
Цитата
t*******@gmail.com пишет:
После ввода реквизитов карты и нажатия клавиши "Оплатить" я перешел на сайт 3D Secure Сбербанка.
iPhone бодро подставил содержимое из смс в поле ввода и я нажал "Подтвердить".
Уже после этого, зайдя в смс-сообщения, я увидел, что смс пришла для подтверждения операции сервиса CARD2CARD PSBANK.RU. При этом сумма в СМС была 14 400 рублей, а в итоге списалось с карты 14 616 рублей. Опять магия.
----------
какая магия? ровно полтора процента за перевод..
а айфон подставляет сам код из смс? не требуя действий пользователя? прочтения смс и какого-то дополнительного подтверждения? хм...
Цитата
t*******@gmail.com пишет:
Рассказываю, что с фишинговой ссылки можно бесшовно пройти на 3D Security Сбербанка.
----------
А 3ds именно так и работает и это не уязвимость.
----------
Цитата
t*******@gmail.com пишет:
4. Подсвечиваю, что сервис CARD2CARD ПСБ используется для потокового мошенничества
----------
Так можно использовать сервис CARD2CARD любого банка (и не только).
Цитата
tempur пишет:
Так можно использовать сервис CARD2CARD любого банка (и не только).
----------
Смотри, есть фишинговые сайты.
Конкретно в моем случае.
1. Если провайдеру сервиса платежей и переводов не всё равно до своего пользователя, наверное, он не будет давать доступ кому попало, либо ограничивать доступ после заявлений о мошенничестве.
Этого не происходит.
2 К его сервису ПСБ имеет доступ кто попало и может жонглировать данными получателя, не показывать комиссию, получателя и т.д. пользователю.
Если даешь доступ кому попало, то логично после ввода данных пользователем сделать гарантированный переход на сайт самого провайдера перевода для подтверждения платежа с отображением всех реквизитов операции.
Этого тоже у ПСБ нет.
Поэтому получается нативный сценарий (жалко скриншоты нельзя приложить):
Фишинговый сайт->3D Security банка эмитента карты -> Квитанция с фишингового сайта и всё в одном окне.
Косяк Сбербанка по моему мнению в том, что он не убеждается в том, что клиент в принципе знает за что он платит и не предъявляет требований по безопасности к партнерам, в данном случае ПСБ. Например, в сообщении от Сбербанка для подтверждения операции была сумма 14600, без информации о комиссии 1,5%.
Цитата
alexxx76 пишет:
а айфон подставляет сам код из смс? не требуя действий пользователя? прочтения смс и какого-то дополнительного подтверждения? хм...
----------
Нет конечно, это не какой то там ...
Выше клавиатуры появляется код из сообщения и можно попросить его вставить, т.е. действие требуется.
Но в данном случае, тут даже если бы попросил по телефону марсельезу сыграть на баяне, пользователь бы выполнил.
----------
Цитата
t*******@gmail.com пишет:
и кривой-косой алгоритм безопасной сделки
----------
Нет, это сугубо ваша лень, чем и пользуются мошенники.
Что мешало вам встретиться и совершить сделку? Как вы не глядя, хотите купить товар?
Между тем, само это мошенничество есть и на авито и описано всюду довольно давно.
Недавно читал статью как организовывают группы и обучают этому мошенничеству, предоставляя в использование инфраструктуру в виде фишингового сайта и имея свой процент. Т.е. развивают модель software as a service.
Цитата
NA_15 пишет:
Нет, это сугубо ваша лень, чем и пользуются мошенники.
Что мешало вам встретиться и совершить сделку? Как вы не глядя, хотите купить товар?
----------
Читайте внимательнее второй пост сверху.
Юла позиционируют свой сервис «Безопасная сделка» как безопасный, расчеты по которому проводятся после получения товара.
Мошенник действительно заманил на этот способ, предоставив скидку, при покупке через него.
P.s. Марсельезу на баяне я бы не осилил ;)
Цитата
t*******@gmail.com пишет:
Банковские приложений при реализации этой схемы не используются. В последних версиях iOS, операционка предлагает ввести цифры из входящих сообщений в активное поля Safari X
----------
Вот она, вторая уязвимость в данном мошенничестве.
У меня, чтоб код посмотреть. надо открыть смс. и было бы видно в смс, что перевод кард-ту-кард..
а так вставились цифры, а что в смс - вы не в курсе.
ну а первая уязвимость - это пользователь, который ведется на уловки мошенника и делает то, что хочет мошенник.
Итого, баги, способствующие мошенничеству, не на стороне юлы и банков, а на стороне юзера и айфона.
Цитата
t*******@gmail.com пишет:
Читайте внимательнее второй пост сверху.
Юла позиционируют свой сервис «Безопасная сделка» как безопасный, расчеты по которому проводятся после получения товара.
----------
И?
----------
Цитата
t*******@gmail.com пишет:
Мошенник действительно заманил на этот способ, предоставив скидку, при покупке через него.
----------
И? Как это мешало воспользоваться этим способом при личной встрече?
Цитата
alexxx76 пишет:
а айфон подставляет сам код из смс? не требуя действий пользователя? прочтения смс и какого-то дополнительного подтверждения? хм...
----------
Айфон предлагает подставить код из смс в поле, чтобы код подставился, нужно нажать на подсказку. Читать смс не обязательно.
Цитата
R True пишет:
Осознаю, что виноват в этом полностью я сам.
----------
На этом можно было собственно и закончить, но далее по тексту почему-то доводы совершенно другие...
Никаких "схемы" нет.
1. Оплачивали сделку Вы не на ресурсу Юлы, а на левом сайте.
2. На этом левом сайте Вы перешли не к оплате товара, а к онлайн сервису перевода с карты на карту. Сами вбили сумму и номера карт. Это обычный сервис по переводу.
3. Вы сами нажали кнопку подтвердить, в результате которого у Вас списалась не только сумма, но и комиссия за перевод. Страничка 3D Secure абсолютно нормальна в данной ситуации.
По сути, фишинговый сайт + ссылка с кнопок оплатить на любой сервис по переводу с карты на карту.
Все просто, изящно и очень банально.
P.S. А нет, даже фишинговый сайт не делали :))) По ссылке на этом сайте просто подгружаются элементы страницы с реального сайта, поэтому если просто зайти на be ресурс - висит пустая заготовка... :oops:
Сумма требований российских телеканалов к Google из-за блокировки аккаунтов на YouTube возросла до ₽2 ундециллионов (единица с 36 нулями). Суд обязал компанию восстановить доступ, и пока она этого не сделает, неустойка ежедневно растет.
Как часто вы клюёте на креатив вашего банка и играете в его приложениях: собираете монеты за действие в приложении, разгадываете кроссворды, тапаете хомяка банковского любимца или переворачиваете маски хозяина наступающего года (это из восточной астрологии, если что) в поисках и надежде что «вот сейчас точно свезёт». Бывало? Выигрывали?
Когда я стала счастливым обладателем ипотеки, на ремонт квартиры мы с мужем щедро выделили 3,5 млн рублей. Казалось, точнее даже так, мы были уверены, что за эти огромные деньги мы точно сделаем классный ремонт и быстро заедем!
Ездили тут отдыхать с ребенком в загородный отель (я бы его назвала пансионатом, честно говоря) на несколько дней. Это был мой первый подобный опыт, захотелось поделиться впечатлениями и финансовой стороной вопроса.
Все говорят: кризис, кризис...
Как по мне, кризис — точно не время паниковать, а повод пересмотреть свои финансы.
Я вот села, провела ревизию бюджета, сократила лишние траты и прикинула, на что лучше тратить деньги сейчас.
Если ещё не сделали себе финансовую подушку — начинайте. Старайтесь откладывать хотя бы по 10 000 рублей в месяц, если можете, чтобы в итоге был запас на 3-6 месяцев. На случай, если доходы вдруг просядут. Проверено, спокойнее живется :)
Здравствуйте!
История моя не новая, сценарий у всех «финансовых грамотеев» почти всегда одинаков :)
Суть:
- есть кредит на 300 тыс. руб в банке, плачу его 2 года. Сделала по началу огромнейшую глупость - допустила просрочку 43 дня. Это было в самом начале (на 3ий месяц), но пожалела об этом уже много-много раз. Трубки от банка всегда брала, и дату, когда будут деньги называла. В этом их не обманула, когда обещала, тогда и внесла платеж за 2 месяца+штраф. После этого ни единой...
Здравствуйте. По своей глупости влезла в 10 мфо и набрала займов. Сначала продлевала, сейчас нечем продлить. Зарплата минимальный размер труда, алименты, жить не на что практически.
Звонят каждый день, на работу поступают звонки, выезжали по адресу ко мне.
Один мужчина все звонит и требует оплату долга. Но при просьбе повторить название мфо или сумму, отмораживается и говорит, что я над ним издеваюсь. Ещё просит перечислить все мфо, в которых у меня займы, а он скажет правильный ответ. Это...
Есть сим-карта МТС. Номер по ней привязан к ИБ и картам нескольких банков. Симка открыта очень давно на близкого родственника, как это зачастую делалось. При открытии счетов и карт банки не проверяют владельца номера.
Собственно вопрос:
если переводишь теперь симку на себя без изменения номера от каких банков и чего ожидать?
Ну, скажем, Сбер, МКБ, Хомяк.
Знаю, что если просто меняешь симку с сохранением номера тот же Сбер блокирует в какой- то момент ИБ. А при смене владельца?
- АкБарс Премиум и Emotion
- Сити One и Приорити
- БКС More Visa Signature
- Альфа Тревел Премиум
- Уралсиб Приоритет
- Райффайзен Всесразу (под 50 тыс в месяц), но со второго года на кредитку если переходить
Подскажите чайнику. Хочу открыть счет,на который бы ежемесячно кидала к примеру 1-3тысячи, но с которого нельзя снять (говорят что-то около года), пошарила по сайту,но для меня лес дремучий честное слово.. Какой банк лучше выбрать с норм % ? Как эта система вообще работает? У самой карты сбер (зп проект), есть ли смысл открыть побочную карту др.банка и там сделать этот счет? Я просто даже примерно не представляю какой банк лучше выбрать,чтобы и проблем со счетом после не возникло. Подскажите...
Добрый день.
Не нашел похожей темы на форуме, поэтому хотел бы поделиться опытом и послушать других владельцев карт об опыте использования консьерж-сервисом.
У меня премиум пакет в банке Открытие, куда входит консьерж-сервис от компании Quintessentially.
В целом, что могу сказать после года использования. Консьерж довольно удобная вещь — можно забронировать ресторан в любой точке земли, просто написав в чат. Мне нравится, что у них довольно обширная программа скидок в неплохих ресторанах...
Добрый день.
Хочу поделиться опытом, возможно, кому-то поможет предотвратить потерю приличных сумм. Сегодня днём внезапно приходит смска от Сбера о списании 5000 рублей в пользу ООО Литрес через PayPal. Пока захожу в мобильный банк, через 30 секунд ещё смска на 5000 и тут же смска об отмене. А дальше подряд 3 смски на 3000. Слава богу, денег на карте было меньше и на последние 3000 их не хватило. Тут же приходит смска о списании на 1000 прямо с карты через литресовскую систему онлайн...
Здравствуйте! Нужна консультация людей, которые выводят деньги с ИП без сотрудников через зарплатный проект Сбербанка. Вопрос в следующем, при разговоре с сотрудником банка было выяснено, что комиссия 0,15% будет только в случае указания зарплатных кодов, если же выводить под 7 кодом(прочие выплаты) или 35(вывод средств ИП), то будут общедоступные тарифы на вывод с ИП. Соотвественно вопрос, если указать зарплатные коды, то сразу Налоговая возбудиться? И как всё же выводить ИП без сотрудников с...