Мошенники нашли доступ к бонусам «Пятерочки» на картах Почта Банка

Клиенты Почта Банка сообщают о несанкционированном списании бонусных баллов с кобрендинговых банковских карт «Пятерочка», пишет «Коммерсант». Пользователи Банки.ру в августе-сентябре оставили более десятка жалоб о таких списаниях. В них говорится о хищении бонусов на суммы, эквивалентные 0,2–2 тыс. рублей, списание происходит как покупка за баллы в «Пятерочке».

В кредитной организации сообщили, что «по некоторым картам «Пятерочка» выявлено незаконное списание бонусных баллов, но эти случаи не были массовыми» и «на текущий момент сбоя нет». Мошеннические схемы с бонусными счетами не связаны напрямую с банковскими счетами и данными карт, сами карты не скомпрометированы, отметили в банке, обещая компенсацию потерянных баллов «Пятерочкой», а также бесплатный перевыпуск карт. В ретейлере отметили, что это консолидированная позиция.

По мнению экспертов, баллы терялись из-за утечки данных или используемой злоумышленниками уязвимости. Как отметил глава службы информбезопасности РГС Банка Иван Шубин, карты перевыпускаются «при компрометации их данных, при сбое нет такой необходимости». Собеседник издания в другом банке назвал наиболее вероятной причиной перевыпуска утечку данных из банка или его контрагента, уязвимость самой системы расчетов бонусами позволила злоумышленникам совершать хищения. Если за покупку платится хотя бы рубль плюс баллы, это означает, что платеж проходит двойную верификацию — и банка, и магазина-партнера, списать баллы удаленно при таком способе расчетов практически невозможно, отметил он. Второй вариант расчетов — система позволяет оплачивать баллами покупку полностью, но клиент подтверждает платеж. Третий вариант используется в Почта Банке: можно баллами оплатить 100% покупки, подтверждение со стороны клиента не требуется — карта, по сути, становится обычной бонусной картой без присущей банковской карте защиты, пояснил собеседник.

Хищение бонусов с банковской карты является киберинцидентом, поскольку клиенту банка нанесен ущерб; незаконное хищение бонусных баллов может быть киберинцидентом и с точки зрения ЦБ, считает эксперт Cisco Sistems Алексей Лукацкий. В Почта Банке сообщили, что не планируют вводить ограничения на покупку за баллы «Пятерочка»; решение, которое позволит верифицировать трату баллов без дополнительных ограничений, пока рассматривается.