"Сберзона" как результат финансовой безграмотности.

Troublemaker

DeniSov Wrote:

Общий список заблокированных уже давно зашкалил за 350.

Не имеет смысла. Как правило, это одноразовые фальшивые номера IP-телефонии, блокировать которые бесполезно, через несколько секунд они сгенерируют новый номер

DeniSov

Troublemaker Wrote:

Не имеет смысла.

Может быть и так. Но информация о блокировке передаётся другим абонентам, которые при звонке сразу видят красное поле и надпись СПАМ. Может других убережёт.
Мне месяца 4 назад звонил кент, представился майором милиции. На мой вопрос: сколько же ты на нарах чалишься, что не в курсе, что милиции уже 10 лет как нет, разразился нецензурной бранью. Я был удовлетворён. :mrgreen:

Joke

С пикабу.

Code:

Вчера прошел первый этап вакцинации. Сегодня получил письмо с госуслуг с предложением заполнить дневник самонаблюдения. Жена получила аналогичное приглашение. Я заполнил, жена - нет. Вечером мне пришло письмо. См. картинку. Жена аналогичного письма не получила. Вывод: заполнил дневник самонаблюдения и инфа от туда ушла мошенникам.

1. Предупредите близких, что не стоит переходить по ссылкам из письма. Лучше зайти на официальный сайт, или в мобильное приложение. Там должно быть такое же уведомление. Если нет - письмо от мошенников

2. Читайте адрес домена, откуда приходит письмо. Внимательно. В моем случае сильное отличие, но бывает и незаметные различия.

P.S. Никогда раньше не приходили мошеннические письма от "госуслуг". И яндекс успешно боролся со спамом. Это первое письмо, которое пропустил спамфильтр за долгие годы.

Пару дней назад читала, не могу найти тот пост, человеку взломали аккаунт госуслуг и там вроде были привязаны банковские карты, потом заменили телефон для подтверждения смс, забрали деньги. На госуслуги можно поставить вход по паролю и, в дополнение, по смс.

DeniSov

Joke Wrote:

На госуслуги можно поставить вход по паролю

Людей надо учить ставить нормальные пароли. Как у меня:qwerty.
А если серьёзно, на госуслугах у меня стоит серия и номер моего советского паспорта . Но это тоже шутка.

USMix

DeniSov Wrote:

Людей надо учить ставить нормальные пароли

А как - нормальные? Когда регился на ГУ, меня там почти изнасиловали с этими паролями.
То он у меня получился слишком простой, то недостаточно защищённый, то ещё что-то.
Нужно было, что бы в нём присутствовали большие и маленькие буквы, цифры и знаки
препинания. И ещё, по-моему, не менее 10 символов.
Кажись, с четвёртой, или даже с пятой попытки системе, наконец понравился
мой пароль, она схавала его. У меня нигде больше нет таких сложных паролей.
Только с бумажки набираю его, запомнить практически невозможно.

DeniSov

USMix Wrote:

меня там почти изнасиловали с этими паролями.

И правильно сделали

USMix Wrote:

У меня нигде больше нет таких сложных паролей.

У меня тоже. Защищаются, как могут.

инко

USMix Wrote:

DeniSov Wrote:

Людей надо учить ставить нормальные пароли

А как - нормальные? Когда регился на ГУ, меня там почти изнасиловали с этими паролями.
То он у меня получился слишком простой, то недостаточно защищённый, то ещё что-то.
Нужно было, что бы в нём присутствовали большие и маленькие буквы, цифры и знаки
препинания. И ещё, по-моему, не менее 10 символов.
Кажись, с четвёртой, или даже с пятой попытки системе, наконец понравился
мой пароль, она схавала его. У меня нигде больше нет таких сложных паролей.
Только с бумажки набираю его, запомнить практически невозможно.

Да, пока пароль система примет, сто раз вспомнишь: "1ГребанаяРозаБудетТорчатьИзЗадаЕслиМнеНеДашьДоступПрямоБлинСейчас!"

Joke

Сегодня вышло продолжение эпопеи, поэтому удалось найти первоначальный пост. Много интересного есть в комментариях, поэтому привожу ссылку.
Для себя: надо поставить кодовое слово на госуслугах и посмотреть можно ли запретить операции с банками.
Сбер дал поменять мой номер без меня, выпустил кредитку и дал списать с нее весь лимит

текст

все, я поняла, биометрию не надо разрешать и тогда банк не совершит действия с помощью аутоидентификации в Госуслугах в случае их взлома

sobkor

https://t.me/banksecrecy/1107

Альфа оперативно сливает инфу мошенникам.
Что вас ждёт на следующий день после оформления карты Альфа-банка (основано на реальных событиях):
- Иван Иваныч? Здравствуйте! Это Альфабанк, мы знаем что вы у нас недавно открыли карту, но для вас сейчас доступно несколько предложений по кредитованию по сниженной ставке, а также наше предложение "Кредитная карта 100 дней без процентов".
- Не интересует
- ОК, не будем настаивать, чтобы вас в дальнейшем не раздражать своими звонками, может было бы удобнее чтобы подобные предложения отправлялись только в личный кабинет?
- Да
- Отлично, тогда сейчас отправлю вам SMS, в реальном времени сможете продиктовать оттуда код?
- Нет, не смогу
- А почему?
- У меня телефон в режиме разговора не принимает SMS
- Хорошо, давайте мы закончим разговор и перезвоним вам через минуту? Удобно будет

Далее естественно приходит штатное SMS с попыткой входа в интернет банк: "Код для входа в Альфа-Мобайл на мобильном устройстве: xxxx. ОСТОРОЖНО! Если вы не входите в Альфа-Мобайл, значит код запрашивают МОШЕННИКИ".

Утечка из Альфы идет молниеносно, с момента оформления карты до получения звонка счастья проходит менее 1 рабочего дня. При этом мошенники еще и подходы совершенствуют, очень качественно мимикрируя под реальных манагеров.

escarcha

Joke Wrote:

Quote:

мошенники взломали мой личный кабинет на портале Госуслуги

похоже на сочинение.

sobkor

Joke Wrote:

все, я поняла, биометрию не надо разрешать и тогда банк не совершит действия с помощью аутоидентификации в Госуслугах в случае их взлома

Кроме прочего поставить еще двухфакторную аутентификацию на самом портале Госуслуг. Даже если взломают пароль от портала (что хоть и маловероятно, но возможно), зайти без смс не выйдет.
Суть- при входе на вэб сайт, кроме пароля надо будет ввести разовый код, присланный в смс-сообщении. Код действует только на время сессии.
А вообще, конечно, цифровая гигиена- прежде всего.

sobkor

https://t.me/banksecrecy/1115
Сбер позволяет мошенникам получать информацию об остатках на картах в режиме онлайн.

В Сбере дыра в системе безопасности размером с небоскреб. Если позвонить по номеру 900, используя ПОДМЕННЫЙ НОМЕР клиента (а как мы знаем, подменять номера мошенники уже давно умеют) робот выложит всю инфу о деньгах клиента.

Как это происходит:

Мошенники работают в паре. Пока один из них звонит клиенту банка, представляется сотрудником СБ и работает по схеме "несанкционированный перевод", второй мошенник:

1. звонит на номер 900 с подменного номера клиента банка.

2. робот 900 предлагает продиктовать остаток по карте и просит назвать номер карты.

3. мошенник называет любой выдуманный номер наугад.

4. если назвать несуществующий номер карты, то робот дружелюбно сообщает что такой карты нет, и называет номера всех действующих карт - ТАК МОШЕННИКИ УЗНАЮТ ВСЕ НОМЕРА КАРТ КЛИЕНТА.

5. мошенник называет номер любой из карт.

6. робот 900 сообщает остаток - ТАК МОШЕННИКИ УЗНАЮТ СКОЛЬКО У КЛИЕНТА ДЕНЕГ НА КАЖДОЙ ИЗ КАРТ.

Учитывая в совокупности слив номеров телефонов и ФИО клиентов, который идет (https://t.me/banksecrecy/1077)через ДомКлик, у нас парочка вопросов к ребяткам из Сбера.

Как вы вообще додумались пропустить в работу такую опасную для клиентов систему? Это тупизм глобальных масштабов или злой умысел? Когда вы уже наконец вытащите голову из песка и закроете эти дыры?

кубаноид

sobkor Wrote:

Сбере дыра в системе безопасности размером с небоскреб. Если позвонить по номеру 900, используя ПОДМЕННЫЙ НОМЕР клиента (а как мы знаем, подменять номера мошенники уже давно умеют) робот выложит всю инфу о деньгах клиента.

Кстати. Мало кто знает, но этот номер и помощника можно заблокировать для вас. Т.е. если у вас нет сбербанконлайна (хотя он есть у всех, просто им не пользуются в телефоне, но сбер его держин на сайте) и вы боитесь, что кто то может взломать и воспользоваться, то можно позвонить на этот же номер 900 и сказать, что мне не нужен сберонлайн и помощник. Вам его заблокируют, но он связан с функциями в банкоматах, т.е. сберонлайн и ос в банкомате это одно и тоже. И заблокируются обе функции. Поэтому в банкомате вы не сможете сделать ничего кроме снять деньки и положить деньги. Смс переводы тоже станут недоступны, но тут надо уточнять.
Может для кого то это выход, например для карт детям или пожилым родителям.

escarcha

USMix Wrote:

Только с бумажки набираю его, запомнить практически невозможно.

собственно - на этом и пасутся "взломщики"

sobkor Wrote:

4. если назвать несуществующий номер карты, то робот дружелюбно сообщает что такой карты нет, и называет номера всех действующих карт - ТАК МОШЕННИКИ УЗНАЮТ ВСЕ НОМЕРА КАРТ КЛИЕНТА.

не знаю как с "подменного", но с "привязанного" - нифига не называет, сообщает что такой карты нет и всё, - только что проверил. А может уже заделали "дырку"?

sobkor

Joke Wrote:

Много интересного есть в комментариях, поэтому привожу ссылку.

Да, интересно было почитать.
Проблема сотового оператора (мегафона)- перевыпуск симкарты дистанционно. Это жесть. Как ни крути, в крымском каменном веке у наших операторов симку дистанционно не перевыпустить никак. Что есть плюс конечно. Ну и отсутствие возможности это сделать на материке, где и проходят 99% всех махинаций это тоже+
Далее.
1.Можно пробовать для разных сервисов использовать разные номера телефонов. То есть банк- это один номер, а те же Госуслуги- другой. Даже завести дополнительную симку для этих целей в старый кнопочный телефон, держа его на полке дома.
2.Двухфакторная аутентификация в ГосУслугах. Вообще обязательно, и не только на ГУ.
3. Внимательно посмотреть, каким приложениям в ГосУслугах дали разрешение на использование персональных данных. Я посмотрел- за всё время у меня 6 или 7 разных приложений имели постоянный доступ- приложения ЖКХ, поликлиника, еще что-то. Удалил.
4. Кодовое слово. Не использовать вопрос, ответ на которых подразумевает цифры. Лучше чтобы конкретное слово
5. Отказ во всех цифровых сервисах использования цифровых подписей как идентификации. Были прецеденты угона таких токенов. Это вообще жопа. Люди без квартир оставались.

кубаноид

sobkor Wrote:

Отказ во всех цифровых сервисах использования цифровых подписей как идентификации. Были прецеденты угона таких токенов. Это вообще жопа. Люди без квартир оставались.

Вот по этому поволу тоже есть некая защита. В госулугах или мфц, если нет госов, можно оформить заявку "что все операции с недвижимостью совершать только при личном личном присутствии". Дословно не помню, но в госах есть этот пунк, а в мфц стандарный бланк заявления уже пару лет. По крайней мере какая то защита есть. Оформляется за минуту даже в мфц.

sobkor

escarcha Wrote:

не знаю как с "подменного", но с "привязанного" - нифига не называет, сообщает что такой карты нет и всё, - только что проверил. А может уже заделали "дырку"?

Может и заделали. Не клиент Сбера.
Я вот столкнулся буквально недавно в крымском РНКБ с ситуацией. Поменял в отделении доверенный номер. Как положено- личное присутствие, паспорт все дела.
После смены номера установленное ранее приложение в телефоне потребовало по новой ввода пары логин\пароль с подтверждением смс кода с нового номера. Хорошо, думаю. Значит все работает. Ок.
Через вэбморду тоже самое- смс приходит на новый номер. Старый вроде как не актуален стал.
Далее. У меня открыта виртуалка для оплаты в инете. Смысл виртуалки думаю понятен- не светить свою основную карту на сторонних сайтах. Туда кладутся небольшие конкретные суммы непосредственно перед покупкой. Делаю пробный платёж на сайте, жду смс. Нифига. И тут смска приходит на старый номер. Акуеть.
Набираю в чате РНКБ- мне говорят- ваша виртуальная карта была выпущена со старым номером и мы не имеем права его поменять. Говорю- вот же мол заявление на смену доверенного номера. Они- мол мы разберёмся. До сих пор разбираются.
Разобрался сам. В приложении отключил услугу Mir Accept для виртуальной карты и повторно её включил. Заработал новый номер для этой карты.
Ну хорошо я сам сообразил это сделать, техподдержка до сих пор рассматривает моё обращение.
Вот такие дыры.

escarcha

sobkor Wrote:

Ну хорошо я сам сообразил это сделать, техподдержка до сих пор рассматривает моё обращение.
Вот такие дыры.

надо им подсказать, - они могут просто этого не видеть. Это пользователь "подключает-отключает", а там - музыка нулей с единицаме.

sobkor

escarcha Wrote:

sobkor Wrote:

Ну хорошо я сам сообразил это сделать, техподдержка до сих пор рассматривает моё обращение.
Вот такие дыры.

надо им подсказать, - они могут просто этого не видеть. Это пользователь "подключает-отключает", а там - музыка нулей с единицаме.

Я им написал что по конкретному обращению вопрос решился передёргиванием услуги Mir Accept. А вот сделали ли они вывод из этого, не знаю.
Но мое имхо- это точно дырка банка, ибо не может быть у одного клиента для разных продуктов (банковских карт) разные доверенные номера. Ведь в этом смысл доверенного номера- он должен быть один.

AlexMoscow

escarcha Wrote:

похоже на сочинение.

Похоже, ты реально необучаемый и истории с ложно выписанной электронной подписью тебя ничему не научили

)))

escarcha Wrote:

Христа ради - ну не неси пургу! "Левая" электронная подпись априори невозможна, - только хищение оригинала.

"Оригинал", выписанный посторонним лицом по ксерокопии паспорта на ничего не подозревающего человека - оригиналом не является.

Чем больше электронных услуг, тем больше дыр. Причем зачастую исправляя старые дыры - плодят новые. Плюс неспособность большинства людей разобраться во всех этих премудростях, которые ему втюхивают добровольно-принудительно.

Quote:

Мы вам подключим мобильный банк.
Не хочу.
Все равно подключим, а если не хотите, потом протрахаетесь полдня, чтобы понять, как его отключить

escarcha

AlexMoscow Wrote:

"Оригинал", выписанный посторонним лицом по ксерокопии паспорта на ничего не подозревающего человека - оригиналом не является.

таки выписанный уполномоченным лицом, нарушившим вменённые служебные обязанности. "фальшивый" и "незаконно полученный" документ - оба криминальны, но различны по сути. Паспорт, выданный по подложным основаниям будет незаконным, но оригиналом.

AlexMoscow

escarcha Wrote:

таки выписанный уполномоченным лицом, нарушившим вменённые служебные обязанности. "фальшивый" и "незаконно полученный" документ - оба криминальны, но различны по сути. Паспорт, выданный по подложным основаниям будет незаконным, но оригиналом.

Конгениально! А ниче, что цифра всегда является копией по такой логике? Она не бумажная, водяных знаков там нет. Генерируется одним процессором, а ты получаешь только электронную копию на носителе.
Паспорт - это защищенный водяными знаками, чипами, магнитной полосой и микроволокнами и хз чем еще носитель информации. Информация на нем о тебе. Твой образ в виде фото, личные данные и тп. А электронный код - это информация. Носителем может быть любое устройство, способное его запомнить.
Трусы или крестик

))

escarcha

AlexMoscow Wrote:

А ниче, что цифра всегда является копией по такой логике? Она не бумажная, водяных знаков там нет. Генерируется одним процессором, а ты получаешь только электронную копию на носителе.

паспорт тоже является "копией" документов учета.

AlexMoscow Wrote:

Паспорт - это защищенный водяными знаками, чипами, магнитной полосой и микроволокнами и хз чем еще носитель информации. Информация на нем о тебе. Твой образ в виде фото, личные данные и тп. А электронный код - это информация. Носителем может быть любое устройство, способное его запомнить.

тем не менее - все эти водяные знаки с микроволокнаме и пр. поддаются грубой, но подделке, т.е. - фальшивому изготовлению. Сгенерить, подделать электронную подпись - нельзя. Только украсть чужую.
ЗЫ: про "сочинение" - мужик явно что-то не договаривает, ибо "взломать" госуслуги, переблокировать номера телефонов, и пр. сюр лишь для того чтобы выпустить кредитную карту и перевести с неё 400 штук на карту в другом банке - слишком много условностей. Более вероятно, что некто получил доступ к его открытому ледтопу, и повеселился...

AlexMoscow

escarcha Wrote:

паспорт тоже является "копией" документов учета.

Паспорт является защищенным носителем. Информации о тебе полно и везде, но паспорт один, номерной и все дела. Носитель можно подделать, и можно даже изменить информацию на нем, но это требует целой кучи всяких приспособлений, ухищрений и проч. Можно по ксерокопии паспорта что-то начудить, но нужны люди, готовые идти на должностное (а то и уголовное преступление) с такими незащищенными копиями. Это принципиальное отличие от цифровых примочек. И в этом основной затык с безопасностью цифровизации.

escarcha

AlexMoscow Wrote:

Носитель можно подделать, и можно даже изменить информацию на нем, но это требует целой кучи всяких приспособлений, ухищрений и проч. Это принципиальное отличие от цифровых примочек. И в этом основной затык с безопасностью цифровизации.

информацию на ЭП изменить нельзя. И вообще - чтобы выполнить какие-либо операции с чужой ЭП, нужно получить к ней доступ физически, так же как и к паспорту, только ещё потребуется обойти "пин код", но это уже зависит от раздолбайства владельца.

Sevpolitforum.info

"Сберзона" как результат финансовой безграмотности.