iknow42

Хочу рассказать о случившейся с нами неприятности и тем самым предупредить читателей об уязвимости в сервисе "Мобильный банк" у Сбербанка.

Несколько дней назад с карты моей девушки в течение часа после совершения ей последней операции по оплате начали списывать деньги. Сначала пришла смс о списании 8 тысяч рублей, потом еще одна о списании 5 тысяч. Она добралась до ближайшего банкомата и сняла остаток в наличку.

Когда я попытался дозвониться до колл-центра сбербанка (8-800-555-555-0) я услышал о том, что они знают о проблеме "повторного списания средств" и что средства вернутся на счет в течение трех дней. Вроде как проблема вызвана действиями третьих лиц, и сбербанк не несет за это ответственности.
Я решил, что это похоже на правду, успокоил девушку и мы стали ждать те самые три дня.

Однако, на следующий день произошло списание еще 5000р, теперь уже с кредитной карты. Заблокировали мы ее оперативней. Так как кредиткой мы не пользовались давно — стало ясно, что это не "Повторное уменьшение расходного баланса", о котором говорил автоответчик Сбербанка. Происходило это на прошлых выходных, отделения сбербанка были закрыты. Я начал исследовать этот вопрос и нашел упоминание в интернете случаев, когда злоумышленники восстанавливали сим карту как утерянную, пользуясь халатностью работников отделения сотовой связи. После чего уводили деньги. Но эта операция блокирует сим карту владельца банковской карты, а телефон моей девушки работал нормально.

Тут я вспомнил о том, что она чуть более полу года назад мигрировала на рабочий номер полностью, забросив пользование своей старой билайновской симкой. Конечно она не помнила, что по договору билайн может перепродать этот номер через полгода не использования и конечно она забыла отключить "Мобильный банк" у сбербанка.

Тут я задался вопросом: как при помощи только лишь симки, не имея номера карты и данных о владельце можно украсть деньги? Оказалось очень просто. У услуги "Мобильный банк" есть два варианта — платный и бесплатный. В платном немного шире функционал, и его навязывают предлагая два месяца бесплатного пользования при оформлении карты. О самом же функционале работники банка почти ничего не говорят. Но в целом эта услуга не обходима для использования сервиса "Сбербанк Онлайн", без которого пластиковая карта практически теряет смысл. Так вот, платный вариант услуги "Мобильный банк" позволяет не только получать информационные смс, а так же совершать переводы денег на другие карты и пополнять счет мобильных телефонов. Именно этим и воспользовались мошенники для воровства денег.

Когда мы добрались до отделения сбербанка нам неоднократно намекали, что это мы дали доступ третьим лицам к карточкам. Попросили написать заявление, что девушка этих переводов не совершала и сказали что будут рассматривать обращение месяц.

В офисе Билайна нам повезло больше - любезная девушка постаралась сделать все, что бы дать нам информацию, о счетах, на которые были переведены деньги. Но оказалось, что сим карту, на которую переводились деньги заблокировали до перевода средств и ее интерфейс не позволяет распечатать информацию. Посоветовала принести запрос из полиции, тогда этой проблемой займется московский офис.

Я надеялся, что деньги увел какой нибудь школьник и мы его легко вычислим (по айпи) по данным оставленным при покупке симкарты. Но судя по тому, какие тонкости мошенники знали о внутреннем устройстве интерфейсов (перевод был совершен очень хитро), напрашивается предположение что это сделали сотрудники или бывшие сотрудники Билайна.

Итого мы имеем написанное в полицию заявление, где нас пока пересылают от отделения к отделению, написанное заявление в сбербанк (все ведь знают какая у них клиентская поддержка?:( ) и лучик надежды в виде адекватного ответа со стороны Билайна.


P.S. Отключить опцию "Быстрый платеж" можно, отправив команду "ноль" на номер 900 или нажав на ссылку Отключить.

P.P.S Закрыть уязвимость можно, автоматически отключая эту услугу пользователю, если он не пользовался ей больше трех месяцев.