СМС в системах ДБО - безопасность под угрозой!

Услугу "быстрый платеж" можно отключить через СБОЛ, тогда никакие платежи по смс не пойдут.

Системы ДБО, идентифицирующие клиента (полностью или частично) по номеру телефона с которого он позвонил на номер системы "голосового" обслуживания тоже в опасности, поскольку номер звонящего тоже может быть подделан. Пример из комментариев по ссылке:

Цитата

У Приватбанка есть голосовое меню по номеру 3700, которое позволяет пополнять любой телефон, введя просто последние 4 цифры своей карты. Т.е. я могу позвонит на голосовое меню Приватбанка, подменив номер на любой реальный, который является клиентом банка и просто по IVR меню пополнить любой телефон с карты того клиента? Последние 4 цифры карты можно сбрутфорсить, у них нет ограничений на количество попыток.

Минкомсвязи России признало СМС-пароли небезопасными, об этом писали многие СМИ 5 октября 2016 года, но подробнее всех написали Известия.
Так что, можете смело отказываться от сервисов, завязанных на СМС-канал. Ну, и требуйте от банков альтернативных способов аутентификации.

Вопрос был не об этом. Никто уже наверное не станет отрицать небезопасность СМС канала. Вы написали, что необходимо требовать от банка альтернативных методов аутентификации. Вот расскажите мне, как это например сделать для Сбербанка и на основании каких документов этого требовать. Мне следует предъявить им статью из Известий?
Следующее. Вы сколько знаете банков с альтернативными СМС методами аутентификации? Вот разделите их количество лучше раза в 3 для банков в провинции и учитывайте при этом доходность депозитов по сравнению с другими банками, где процесс аутентификации реализован с помощью СМС.

Не та страна у нас, где работают рыночные механизмы вроде оттока клиентов к конкуренту из-за неудовлетворённости в условиях. Нужно, чтобы надзорные ведомства стукнули по кумполу каждому из банков, только так начнётся внедрение безопасных технологий. Кто-то сделает это добровольно, кто-то с боем, ссылаясь на долгосрочные контракты с ОпСоСами на эту тему.

Как "наехать" на банк:
1) Запрос в Минкомсвязь
2) Распечатать статью из "Известий"
3) Вооружившись ответкой на Запрос в Минкомсвязь и распечаткой "Известий" написать Претензию в банк.
4) получить ответ на Претензию из банка.
5) Обратиться органы Роспотребнадзора, т.к. идёт грубейшее нарушение положений Статьи 16 ФЗ о Защите прав потребителя банком (услуга "Интернет-банк" подразумевает приобретение услуг ОпСоСа)
6) Обратиться в ЦБ РФ, приложив ответку от банка, ответку от Минкомсвязи и распечатку со ссылкой на Известия, для усиления эффекта можно сосдаться на инцидент с Албуровым и Козловским.
7) Если Роспотребнадзор начнёт валять дурака и слать отписки - в органы прокуратуры, чтобы те в рамках прокурорского реагирования обязали потребнадзор выполнить свою работу.
ЦБ пришлёт отписку, но банку по кумполу настучит.

Банк будет трясти своей 428 Статьёй ГК РФ, что мол договор этот это присоединение и клиент сам изволил и подписался. Однако для банка тут есть сюрприз, они почему-то забывают про статью 422 всё того же ГК РФ, гласящую о том, что Договор должен соответствовать законам и НПА. В частности всё тому же Закону о ЗПП, который запрещает при приобретении одной услуги обязательно приобретать иную услугу.

Из банков, где ИБ без СМС есть можно выделить: Газпромбанк. Интеза, ВТБ 24, ЮниКредит, Авангард, Россельхозбанк, Связьбанк. Это я так, навскидку.

Если каждый из нас проделает, не поленится, то что описала я, глядишь и заживём как нормальные человеки. Лучше идти таким путём, чем ждать когда начнётся массовая атака на ОКС-7 с перехватом СМС, взломами и повальными кражами денег со счетов. тут государство не сразу раскачается и не сразу примет ся решать проблемы.

Промсвязьбанк выключает прежнюю версию интернет-банка вместе с возможностью использования сертификатов НЭП.

Цитата
tempur пишет: Системы ДБО, идентифицирующие клиента (полностью или частично) по номеру телефона с которого он позвонил на номер системы "голосового" обслуживания тоже в опасности, поскольку номер звонящего тоже может быть подделан.

В данном случае это 100% проблема банка, не распознающего звонки.
1. Клиенту доступна детализация всех звонков и смс за полгода у сотового оператора. Так перекладывается проблема на банк.
2. Клиент может сделать так, что все смс будут идти по защищенному каналу связи вместо упомянутого SS7. Плюс эти смс все еще журналируются. Т.е. клиент может получить 100% гарантию относительно получения отправки всех смс.