userbusy
Уязвимость личного кабинета МТС
Являюсь абонентом мобильной связи от МТС. Утром коллега попросил раздать немного интернета - захотел оформить eSIM МТС. Я раздал, он подключился, открыл приложение Мой МТС, в котором ему было предложено войти под моим номером. Он согласился и успешно залогинился в мой личный кабинет со своего телефона. Ранее под моей учёткой в это приложение он не заходил. Аналогичным образом зашёл и с мобильного браузера. После чего в личных данных (ссылка для браузера https://profile.mts.ru/account/personal) появился его e-mail. Естественно он разлогинился, а я дополнительно завершил все сессии в приложении на своем телефоне и поменял почту на свою.
Вечером я решил продолжить эксперименты из дома: с основного телефона раздал wi-fi, а с другого подключился и в режиме инкогнито из браузера подключился под своим номером в личный кабинет. Номер мне был предложен автоматически, сам я его не вводил. Полазил по разным пунктам меню и обнаружил в "Мои документы" > "Договоры" (ссылка для браузера https://profile.mts.ru/documents/contracts) появился договор "Условия единого доступа к сервисам Экосистемы МТС" от сегодняшнего числа между моим коллегой и МТС. Примечательно, что при каждом новом переходе по ссылке дата и время изменения договора меняются на текущую.
Более того достаточно всего лишь успешного залогиниться в ЛК через хотспот, далее можно переключиться на другой wi-fi или мобильный интернет и продолжить исследовать ЛК.
Теперь о причинах. Сидим с одного IP адреса, МТСу этого достаточно, чтобы доверять. Никакие id приложения или устройства он не проверяет. Но делюсь я доступом в интернет, а не в свой личный кабинет. В самом ЛК в разделе "Вход и безопасность" есть настройка "Быстрый вход". Её описание: при раздаче интернета в сети МТС Вы сможете войти в свой аккаунт МТС ID без пароля и кода не только на устройстве с точкой доступа, но и на любом подключённом. Включая опцию, вы разрешаете доступ всем устройствам.
Но эта опция отключена! Получается не баг, а фича ...забагованная.
По 0890 отвечает примитивный для 2025 робот. Никак не смог пробиться до живого оператора. Нашёл в подъезде листовку от МТС, дозвонился до продавана, он выслушал, обещал с утра посодействовать. В обед созвонимся.
Если проблема быстро не решится, воспользуюсь MNP. И дело не в цене или цифрах в пакете.
Жду реакции МТС на этот пост в личке или комментах.
UPD:
Пока решил проблему с следующим образом: в приложении "Мой МТС" нажал "Выйти из всех устройств". Снёс приложение. Для входа в ЛК пользуюсь браузером. В таком случае доступ не пробрасывается через хотспот на другие устройства.
