Серия «Развод от Яндекса на деньги»

ВТБ в своем ответе на другой пост не видит в этом ничего страшного, так как Алиса всего лишь передает команды, а исполняет их сам банк.

Все подробности со скринами и официальными ответами банка в прошлом посте Осторожно! Алисе от Яндекса дали доступ к банковским счетам. Вся информация в нем все еще актуальна. Только теперь Алиса подключается автоматом. Если хотите распространить - поднимайте лучше тот пост, а не этот.

Из ответа ВТБ на этот пост все стало еще страшнее:

Дополнительных подтверждений с помощью кода из sms-сообщения не требуется.

Чтобы разорвать связку аккаунтов, например, если потеряли приложение/устройство с Алисой или просто не хотите больше пользоваться, нужно выполнить действия:

Убедиться, что авторизованы в Яндексе под тем же аккаунтом, с которым

была настроена связка аккаунтов, открыть в браузере страницу навыка “Помощник ВТБ” в каталоге навыков Алисы, на странице навыка нажать на кнопку “Выйти из навыка”

Источник - #comment_328053773

То есть если Алиса привязана к чужому аккаунту злоумышленника на Яндексе, отвязать можно только через тот самый чужой аккаунт злоумышленника.

Был вопрос взаимодействия Алисы с банком и авторизацию Алисы на доступ к счетам. Ранее я предполагал, что Яндекс просто будет с привязанной карты тянуть деньги. Я ошибся. Яндекс вообще не выполняет никакие операции. Алиса всего лишь распознает сообщение и передаёт его в банк. Вся обработка сказанного Алисе на стороне банка. Прям так ответил банк.

Про авторизацию и привязку Алисы официальный представитель, к сожалению, ничего не сказал. Но из комментариев удалось узнать как это происходит опытным путем. Если попросить что-то сделать Алису с ВТБ, приложение ВТБ онлайн привязанное к тому же номеру телефона присылает пуш с запросом разрешения выполнять операции в течении 35 дней. Да, авторизация вроде есть.

Но не все так безобидно как кажется. Авторизация всего один раз на 35 дней, а не по каждому переводу. И после каждой операции срок авторизации продляется.

Тут есть подвох. Например, мы просим Алису сообщить баланс. Алиса отправляет запрос в ВТБ. Если запрос первый, ВТБ отправляет пуш с разрешением на запрос баланса через Алису. Вроде все безобидно. Только вот, если через пуш операцию подтвердить, то в последующие 35 дней можно будет просить Алису переводить деньги со счета кому угодно диктуя номер телефона и никакого запроса на подтверждения пушем уже не будет.

Есть и позитив небольшой. Клиентов других банков это не касается. Пока не касается.

Тем не менее всем настоятельно рекомендую независимо от банка, пола или вероисповедания зайди во все приложения банков, там в раздел настройки лимитов и пересмотреть лимиты. Ненужные лимиты обнулить. Если чем то не пользуетесь постоянно - запретите. Понадобится в будущем, всегда можно вернуть в зад. Пересматривать лимиты нужно время от времени, банки добавляют новые. По умолчанию лимиты как мы убедились максимальные, т.е. максимально разрешенные тарифом.

Пока это херня вроде умеет работать только с ВТБ. Но уверен вскоре всякие Сберы и Т-Банки тоже подтянуться. Будьте внимательны. Постоянно проверяйте раздел с лимитами в банковских приложениях, когда появляются новые ненужные сразу выставляйте там нули (или рубль, привет говнобанком, где нельзя ввести нулевой лимит!)

Пруфы. На сайте Алисы от Яндекса https://dialogs.yandex.ru/store/skills/09e0eca4-testirovanie... На сайте самого банка ВТБ https://www.vtb.ru/personal/online-servisy/alisa/

Чтобы воспользоваться этой херней достаточно поговорить с Алисой. Не нужно даже со стороны банка ничего подключать, банк уже подключил все и выставил нехилые лимиты по разрешениям переводить Алисе деньги чужим людям.

Если у вас один и тот же номер привязан к яндексу и к банкам, уверен вас ждет полный пиздец вскоре. Любой кто сможет что-то сказать вашей Алисе получает доступ к вашим счетам.

UP: добавил скрин лимитов по умолчанию клиента банка из коммента #comment_326154868

UP: подсказывают, что технически это может быть реализовано через привязанную карту к яндексу (#comment_326215440). Мне такой сценарий кажется вполне логичным. Яндекс с привязанных карт за разные сервисы деньги тащит. Если это действительно так, то новость очень печальная и проблема касается всех банков. А втб наоборот молодец, раз позволяет такое зарезать лимитами. Реализовали только через жопу - нужно по умолчанию нулевые лимиты выставлять.

UP: в #comment_326218296 клиент пишет, что пробовал и требуется авторизация. Но пройти он ее не смог, предположительно из-за несовпадения телефонов. Возможно все таки требуется какая-то привязка втб к яндексу. Если мое предположение из предыдущего апдейта о привязке карты верное, то это полная жопа. Алиска технически может стягивать с любого банка. Скорее всего на время тестирования ограничились ВТБ.

Вот так выглядит личный кабинет плюса.

Подписку оформлял сам. Продлевать не хочу. Первое, что пробую сделать - удалить привязанную карту.

Карту нельзя отвязать. Это вообще законно?

Внизу личного кабинета нахожу кнопку отменить подписку и нажимаю на нее. Но, мне предлагают приостановить подписку.

Если согласится, то подписка приостановится сегодня, несмотря, что оплачена до 31 августа. А через месяц сама включится. Нажимаю "Не сейчас".

Чо за херня? С меня прям сейчас пытаются содрать рубль? За что? У меня подписка до 31 августа. Нажимаю "Все равно отменить". И...

Кажется подписка отключена. А вот и нет. Подписка не отключилась. Длинная реклама на весь экран. В конце прокрутки...

А где же кнопка отказа от подписки? А вот она - "Не интересно". Кто-то догадался, что надо нажать на нее? Нажимаю

Теперь яндекс хочет, чтобы добавил в подписку кого-то еще.

Нажимаю "Отменить подписку". И наконец-то.

И тут Яндекс кидает меня на деньги. Я оплатил подписку до 31 августа, а ее отключат 29 августа. Сгорают 3 оплаченные дня подписки.

Каковы перспективы взыскать деньги с Яндекса за 3 дня подписки?