![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
ammo1Хитрость мошенников не знает границ. Недавно появился новый вид мошенничества, при котором злоумышленники могут украсть деньги с вашей карты Сбербанка.
Идея в том, что у Сбербанка есть неотключаемая функция перевода денег на счёт своего телефона с помощью СМС. В сутки можно перевести до 10000 рублей с привязанной карты без всякого подтверждения, отправив СМС, в которой указана сумма в рублях, на номер 900. Злоумышленники по поддельному паспорту (или в сговоре с работниками салона мобильной связи) перевыпускают симку, тут же вставляют её в телефон, переводят на счёт телефона деньги с карты, а затем выводят эти деньги через любые системы платежей.
Изначально об этой опасности я узнал из сообщества о мошенничестве![[livejournal.com profile]](https://www.dreamwidth.org/img/external/lj-community.gif)
ru_fraud.
Такая история с симкой Мегафона была описана на Хабрахабре, но пост по неизвестным мне причинам удалён и автор забанен. Копию и комментарии можно почитать тут: https://sohabr.ru/post/233913.
Важный момент. У Мегафона при перевыпуске симки на старую симку приходит странное сообщение «Внимание, по вашему номеру в Салоне МегаФон запрошена информация. Если Вы не обращались в Салон МегаФон, просьба сообщить об этом, отправив смс с текстом САЛОН на номер 0500 (бесплатно).13/08/2014, 20:05:11».
В комментариях к тому посту отметился человек, у которого то же самое произошло с симкой МТС:
"Та же история, только опсос — МТС, а умудрились не только увести деньги с сбера (при этом 10 ушло на симку а 10 — в фонд «Подари жизнь», такие-вот «благородные» воры), но и с Яндекс.Деньги (может кто-нибудь знает как, пароль не сменили, пароль уникален для Яндекс.Денег и нигде не светился, куки покрасть тоже не могли).
В моей ситуации МТС поступили просто свински — сначала рассказывали что сим-карта «размагнитилась» и её надо заменить, потом не хотели соединять с службой безопасности, в итоге потребовал заблокировать симку (пока на ней ещё лежали 10000 рублей) — они заблокировали так, что злоумышленники её снова разблокировали и увели куда-то деньги. Суммарно увели около 77к"
Как предотвратить подобную ситуацию?
При получении странных смс от оператора немедленно реагировать.
Отключить «быстрый платеж», для этого нужно отправить СМС с цифрой 0 на номер 900. Тогда хотя бы нельзя будет СМСками переводить деньги на чужие телефоны и другие карты.
Задуматься о том, пользуетесь ли вы ещё какими-либо финансовыми сервисами, у которых для авторизации платежей достаточно ввести код из смс.
Несколько добавлений.
Многие банки (в том числе и Сбербанк) отслеживают смену симки по IMSI (https://ru.wikipedia.org/wiki/IMSI), однако почему-то это работает далеко не всегда. В комментариях отметилось несколько человек, у которых после смены симки потребовалось заново привязывать телефон к онлайн-банку и несколько человек, у которых после смены симки всё продолжало работать.
Проблема оказалась намного глобальней. У Сбербанка по умолчанию всем клиентам «Мобильного банка» подключена функция «быстрый платеж», которая позволяет с помощью СМС отправлять деньги на любой телефон и на другую карту. Чтобы отключить эту возможность нужно отправить СМС с цифрой 0 на номер 900. Пополнение своего номера СМСкой на номер 900 отключить нельзя.
Даже если всё это отключить, злоумышленник сможет зайти в ваш онлайн-банк Сбербанка, если просто узнает ваш логин и сбросит пароль с помощью имеющегося у него телефона с вашим номером.
Множество систем позволяют совершать платежи, авторизуясь просто по СМС. Например, это Webmoney и QIWI.
Во многих системах достаточно просто менять пароли, имея доступ к телефону с вашим номером. Причём это не только платёжные системы. Злоумышленники могут легко увести у вас почту на известных почтовых сервисах и аккаунты в соцсетях, ведь восстановление пароля всегда построено на СМС или почте, которую можно увести с помощью СМС.
Получается, что номер мобильного телефона сейчас стал ключом ко многим важным системам, а украсть этот ключ проще простого.
Прежде всего мой блог о технике: я пишу обзоры, делюсь опытом, рассказываю о всяких интересных штуках. А ещё делаю репортажи из интересных мест, публикую заметки о музыке, кино и интересных событиях.
Добавьте меня в друзья здесь. Запомните короткие адреса моего блога: mp5.ru и Блог1.рф.
Идея в том, что у Сбербанка есть неотключаемая функция перевода денег на счёт своего телефона с помощью СМС. В сутки можно перевести до 10000 рублей с привязанной карты без всякого подтверждения, отправив СМС, в которой указана сумма в рублях, на номер 900. Злоумышленники по поддельному паспорту (или в сговоре с работниками салона мобильной связи) перевыпускают симку, тут же вставляют её в телефон, переводят на счёт телефона деньги с карты, а затем выводят эти деньги через любые системы платежей.
Изначально об этой опасности я узнал из сообщества о мошенничестве
ru_fraud.Такая история с симкой Мегафона была описана на Хабрахабре, но пост по неизвестным мне причинам удалён и автор забанен. Копию и комментарии можно почитать тут: https://sohabr.ru/post/233913.
Важный момент. У Мегафона при перевыпуске симки на старую симку приходит странное сообщение «Внимание, по вашему номеру в Салоне МегаФон запрошена информация. Если Вы не обращались в Салон МегаФон, просьба сообщить об этом, отправив смс с текстом САЛОН на номер 0500 (бесплатно).13/08/2014, 20:05:11».
В комментариях к тому посту отметился человек, у которого то же самое произошло с симкой МТС:
"Та же история, только опсос — МТС, а умудрились не только увести деньги с сбера (при этом 10 ушло на симку а 10 — в фонд «Подари жизнь», такие-вот «благородные» воры), но и с Яндекс.Деньги (может кто-нибудь знает как, пароль не сменили, пароль уникален для Яндекс.Денег и нигде не светился, куки покрасть тоже не могли).
В моей ситуации МТС поступили просто свински — сначала рассказывали что сим-карта «размагнитилась» и её надо заменить, потом не хотели соединять с службой безопасности, в итоге потребовал заблокировать симку (пока на ней ещё лежали 10000 рублей) — они заблокировали так, что злоумышленники её снова разблокировали и увели куда-то деньги. Суммарно увели около 77к"
Как предотвратить подобную ситуацию?
При получении странных смс от оператора немедленно реагировать.
Отключить «быстрый платеж», для этого нужно отправить СМС с цифрой 0 на номер 900. Тогда хотя бы нельзя будет СМСками переводить деньги на чужие телефоны и другие карты.
Задуматься о том, пользуетесь ли вы ещё какими-либо финансовыми сервисами, у которых для авторизации платежей достаточно ввести код из смс.
Несколько добавлений.
Многие банки (в том числе и Сбербанк) отслеживают смену симки по IMSI (https://ru.wikipedia.org/wiki/IMSI), однако почему-то это работает далеко не всегда. В комментариях отметилось несколько человек, у которых после смены симки потребовалось заново привязывать телефон к онлайн-банку и несколько человек, у которых после смены симки всё продолжало работать.
Проблема оказалась намного глобальней. У Сбербанка по умолчанию всем клиентам «Мобильного банка» подключена функция «быстрый платеж», которая позволяет с помощью СМС отправлять деньги на любой телефон и на другую карту. Чтобы отключить эту возможность нужно отправить СМС с цифрой 0 на номер 900. Пополнение своего номера СМСкой на номер 900 отключить нельзя.
Даже если всё это отключить, злоумышленник сможет зайти в ваш онлайн-банк Сбербанка, если просто узнает ваш логин и сбросит пароль с помощью имеющегося у него телефона с вашим номером.
Множество систем позволяют совершать платежи, авторизуясь просто по СМС. Например, это Webmoney и QIWI.
Во многих системах достаточно просто менять пароли, имея доступ к телефону с вашим номером. Причём это не только платёжные системы. Злоумышленники могут легко увести у вас почту на известных почтовых сервисах и аккаунты в соцсетях, ведь восстановление пароля всегда построено на СМС или почте, которую можно увести с помощью СМС.
Получается, что номер мобильного телефона сейчас стал ключом ко многим важным системам, а украсть этот ключ проще простого.
Прежде всего мой блог о технике: я пишу обзоры, делюсь опытом, рассказываю о всяких интересных штуках. А ещё делаю репортажи из интересных мест, публикую заметки о музыке, кино и интересных событиях.
Добавьте меня в друзья здесь. Запомните короткие адреса моего блога: mp5.ru и Блог1.рф.
Tags:
![[identity profile]](https://www.dreamwidth.org/img/silk/identity/openid.png){kind=small}
банки.ру
Date: 27 August 2014 09:10 (UTC)http://www.banki.ru/forum/?PAGE_NAME=read&FID=61&TID=218316
Re: банки.ру
Date: 27 August 2014 10:13 (UTC)Далеко не везде для снятия денег с карты идет авторизация по телефону. Иначе не возможны были бы платные подписки с регулярным снятием денег. Такая авторизация - скорее защита продавцов, которым не нужны возвраты денег, чем покупателей.