Форум

Тинькофф - Проблемы с безопасностью


  • 1
Сначала обрисую ситуацию:
Карту Тинькофф завел меньше месяца назад, дебетовая, пользовался только Интернет Банком, даже мобильный банк не поставил. До этого 10 лет пользовался (и продолжаю пользоваться Альфой).

Итак, 23го сентября звонит мне мошенник с авито и под видом покупателя и говорит что хочет купить товар. Предложил скинуть деньги на карту, а чуть позже заедет таксист и заберет товар (туалетная вода). Ну думаю время позднее, может срочно надо, хорошо - говорю давай. Говорю у меня Альфа, сбера нет. Тип сразу приуныл, стал говорить мол комиссия и идти может долго, есть что еще? И тут я вспомнил что есть у меня также Тинькофф. Предложил, он повеселел, да говорит - огонь. Давай номер карты и я говорит с подтверждением деньги скину, ща код придет. Продиктовал карту, приходит смс, я говорю код, тип мне что-то говорит дальше и тут я читаю внимательно смс (которая почему-то на трансилте), а там написано - подключение мобилного банка. Тип продолжает что-то лепить про выкуп товаров и т.д., я вешаю трубку и сразу звоню в тех поддержку Тинькова. Коротко объясняю ситуацию, мне без лишнией тягомотины блокируют карту и возможность входа в личный кабинет, сбрасывают логин и пароль. Оказалось вовремя - пока говорили пришла еще смс в кодом для платежа на 2800 (как потом сказали пытались на Киви вывести). Короче вроде как украсть ничего не успели, потому что я быстро набрал в саппорт. Доступа в личный кабинет нет до сих пор, но саппорт сказал что теперь только когда новая карта будет выпущена можно будет новый логин / пароль сделать и войти.

Анализ ситуации:
Само собой сам дурак, надо внимательно читать что пишут в смс. Однако, после этого я поставил мобильный банк и был очень удивлен - там можно зарегистрироваться по номеру карты и тому самому коду который приходит в смс. При этом старые логин с паролем как я понимаю сбрасываются! Вопрос:
1. Зачем нужен логин / пароль если номер карты фактически может заменить логин (паролем будем считать код из смс)? Зачем нужна защита которую можно отключить без проблем? Почему номер карты (который является открытой информацией) обладает свойствами логина (закрытой информации)?
2. Как оплачивать покупки в интернете, ведь везде приходится оставлять номер карты? Где гарантия что владелец сайта или биллинга не продаст номера карт злоумышленниками (да cvv не сохраняются по правилам visa и mc, я в курсе) и при этом злоумышленники не используют сервисы типа перехвата смс (есть такое, кому надо тот в теме)? Да я понимаю, что перехват смс стоит денег и немалых и если таким образом пытаться попасть в личные кабинете случайных пользователей Тинькова, то злоумышленники скорее всего будут в итоге в минсе, однако сам факт! Логин с паролем это намного надежнее, никто не будет просто так диктовать логин с паролем по телефону.

Дополнительный вопрос:
1. Почему важнейшие смс от банка приходят на транслите? Почему смс в отчетом о покупке приходят на русском, а смс с кодами на латиннице? Может сразу самые важные прислылать на иврите? А может на языке древних хеттов? Чтобы уж точно кроме цифрового кода ничего было не разобрать.


Выводы:
Я хоть и не пострадал финансово (сам попал в глупую ситуацию и сам ее исправил), однако дальше сотрудничать с Тиньковым мне просто страшно. Если выбирать между удобством и безопасностью я выберу безопасность. Однако очень жаль, потому что:
1. Самое главное - есть инвестиции, можно купить акций или чего хочешь. Это была одна из главных причин заказа карты.
2. Интернет банк удобен
3. Карты делают быстро

Усильте безопасность, все важные смс только на русском. Логин и пароль приоритет, карта вторична. Никаких отвязок логина и пароля по номеру карту с кодом, что за бред. Смена пароля и логина только с помощью оператора либо многоуровневых проверок (кодовое слово, кодовые вопросы), вплоть до введения спец кодов из таблицы которая напечата на бумаге индивидуально для каждого клиента и передается ему вместе с карточкой.


P.S. Хотел в Народный рейтинг отзыв, а он длинный, там 3600 символов максимум
 
В ТБ еще только месяц, а такие длинные посты пишите.
Всяких чудес в ТБ хватит на ПСС в 55 томах. Не дай то бог еще мультивалютные карты будут (тьфу, тьфу - изыди искуситель)
То, что описали ни для кого не секрет.
Поэтому в ТБ есть жесткое требование основную карту никому никогда не показывать и нигде не светить. Использовать единственный раз, чтобы получить вход в ИБ и МБ. После прячем как можно дальше ото всех.
Заказываем допки на любое лицо, кроме своего (можно безымянные или на себя с одной измененной буквой имени), привязанные к номеру телефону, отличному от номера мобильного, привязанного к основной карте. Последнее - принципиальнейший и важнейший момент.
У этих карт локальный ИБ, в котором есть только эта карта, лимиты для которой устанавливаются из основного ИБ и МБ.
По основной и доп карте всегда строго ставите лимит на нал 1р и запрет операций в инете.
Такие доп карты можно давать кому угодно, себе то же можно.
Естественно, в основной ИБ входить нужно с приемом СМС на основной номер. СМС с кодами НИКОГДА НИКОМУ ни при каких условиях нельзя зачитывать. Тут ТБ не оригинален - правило общее.

Короче - все что написали известно много лет. Как с этим жить то же давно известно.
В ТБ можно писать что угодно и требовать чего хотите.
Но это все равно что писать главному Саламандру (т.е. бесполезно)
Изменено: auni- 25.09.2018 16:45
 
Цитата
potik пишет:
2. Как оплачивать покупки в интернете, ведь везде приходится оставлять номер карты?

В тему - https://www.banki.ru/blog/kamo4/7371.php
 
Цитата
potik пишет:
Однако, после этого я поставил мобильный банк и был очень удивлен - там можно зарегистрироваться по номеру карты и тому самому коду который приходит в смс.

Верно отмечено.
Тинькофф банк лично я тут на форуме уже давно пинаю, чтобы сделали опцию в личном кабинете ИБ - ВКЛ/ОТКЛ запрет на подключение МП на смартфонах... например, реализовать отключение/включение отправки этого кода в смс.
Иначе эта схема развода будет процветать на невнимательных/доверчивых клиентах.
https://www.banki.ru/blog/kamo4/7673.php
Изменено: камо- 25.09.2018 18:19
 
Спасибо за советы, по платежам в интернете я понял, по доп картам тоже понял. По сути мои подозрения в надежности только укрепились... Я просто про себя сравниваю с Альфой (больше не с чем), там логин мне под роспись выдавался (в 2008, сейчас не знаю как), пароль сам выбираешь. И потом чтобы привязать мобильный банк нужно ввести логин/пароль один раз было чтобы привязать его к счету. Более того сразу после привязки мне позвонили с Альфы сказали что привязали мобильный банк и попросили назвать дату рождения (это у них стандартная проверка в некоторых случаях). Что мешает здесь также сделать? Не зря ведь этот хмырь отказался мне на Альфу скидывать... Теперь я буду сильно думать стоит рисковать или нет. Может кто знает в каких еще через ИБ можно легко купить/продать акций? В Альфе можно паи покупать, но это какбы не то пальто совсем.
 
Цитата
potik пишет:
1. Почему важнейшие смс от банка приходят на транслите? Почему смс в отчетом о покупке приходят на русском, а смс с кодами на латиннице? Может сразу самые важные прислылать на иврите? А может на языке древних хеттов? Чтобы уж точно кроме цифрового кода ничего было не разобрать.

Потому что у клиента может быть телефон, который не поддерживает кириллицу в смс. Клиент может быть за границей, где местный оператор вообще не слышал о каких то там русских буквах. А на транслите сообщение можно прочитать всегда и везде.
 
Цитата
potik пишет:
Предложил скинуть деньги на карту

Создаём виртуальную карту, получаем от покупателя д/с, снимаем/закрываем/забываем.
 
Цитата
Mashiro-sama пишет:
Потому что у клиента может быть телефон, который не поддерживает кириллицу в смс. Клиент может быть за границей, где местный оператор вообще не слышал о каких то там русских буквах.


Без обид, но вы часто за границей привызываете заново мобильный клиент к счету? И зачем оператору слышать о русских буквах? "Русскими" они становятся в телефоне, по сути все коды выше 128 интерпретируются телефоном в зависимости от раскладки. Но даже бог с ним, оставим это, почему в таком случае сообщение о покупке приходят на русском? Могу скрин привести если кто не верит.

Однако я уже понял из комментария банка - возможность имеем, но шлем транслитом чтобы уложиться в ограничение по длине. Почему нельзя слать расширенную смс для меня загадка. Видимо дороже получается.
 
Цитата
potik пишет:
Почему нельзя слать расширенную смс для меня загадка. Видимо дороже получается.
smile:yep:
 
Цитата
potik пишет:
Может кто знает в каких еще через ИБ можно легко купить/продать акций?

Покупать акции через ИБ - это то же самое, что вызывать электрика починить унитаз. Возможно, справится, но будет криво, долго и дорого. Для этого есть сантехник, а для покупки акций - брокер. Как-то вы уже второй раз производите впечатление нерационального человека.
 
Цитата
auni пишет:
Поэтому в ТБ есть жесткое требование основную карту никому никогда не показывать и нигде не светить. Использовать единственный раз, чтобы получить вход в ИБ и МБ. После прячем как можно дальше ото всех.

Это придумали старожилы-параноики в стародавние времена. Сейчас неактуально от слова совсем. Для всех новых клиентов карты выпускаются только с мультивалютной структурой, поэтому они равнозначны. Понятия допка или основная сейчас фактически нет.
Автору: а так да, безопасность дырявая, конечно. Смените банк, дальше коды диктуйте из СМС всем подряд, и все у вас будет хорошо. Сюда писать почаще не забывайте, где еще проблемы с безопасностью.
Изменено: Bormental- 29.09.2018 12:00
 
Цитата
Bormental пишет:
Автору: а так да, безопасность дырявая, конечно. Смените банк, дальше коды диктуйте из СМС всем подряд, и все у вас будет хорошо. Сюда писать почаще не забывайте, где еще проблемы с безопасностью X


Спасибо за советы, продолжайте. Ваше мнение очень важно для нас
 
Цитата
Bormental пишет:
Это придумали старожилы-параноики в стародавние времена. Сейчас неактуально от слова совсем. Для всех новых клиентов карты выпускаются только с мультивалютной структурой, поэтому они равнозначны.
Но неименные допки по-прежнему негодны для доступа в ИБ. Вот их и надо выпускать, чтоб не бояться светить номер)
 
  • 1

Все продукты Банки.ру

Показать ещеСкрыть