Дыра в безопасности, которая позволят украсть деньги исключительно по номеру карты «Сбербанка»
Хочу поделиться с вами историей, которая произошла со мной буквально пару дней назад. Скажу сразу: не знаю, актуальна ли описанная мной проблема для карт других банков. Возможно, проблема глобальная, но лично я столкнулся с этим будучи владельцем карты «Сбера».
Всем добрый вечер, друзья, Лёля BYEACCENT на связи ✌️!
Ох, давно хотела попрактиковаться в написании статей. Вот Вселенная и подкинула возможность :) Благодарю 🙏. Увидела эту статью сегодня, и, вуаля, вступаю в открытый диалог.
Подготовила аж 4 ответа (старалась для любителей лонгридов 😀).
Вот предлагаемое меню ответов на сегодня:
1. Короткий. Для людей с юмором.
2. Длинный. Для людей технических, любящих подробности.
3. Душевный. Лично для Саркиса :) (которому мы вежливо ответили на каждое его сообщение, но он почему-то решил, что мы съезжаем с темы).
4. Философский. Для парня, который заварил эту кашу.
(занавес открывается, погнали)
Ответ “Первый”.
Лёля на связи. Всем добра!
Все чарджи сразу вернули, как только пришёл запрос. Как говорится, “бабе - цветы, детям - мороженное”.
К людям, это затеявшим, не имеем никакого отношения.
Со Stripe всё перепроверили. С нашей стороны, как была, так и осталась - надёжная верификация. Stripe - одна из самых надёжных платёжных систем в мире. Ей пользуются такие компании, как Google, Amazon, Zoom, Lyft, Slack, Instacart, Shopify и т.п. За время нашей работы с ними, у нас не было оснований им не доверять.
Знаю, что всегда будут такие Саркисы, которые любят громко покричать. По делу или нет.
По мне, главное чтобы они кричали без акцента :) На английском 🙌😂 Так, что кто хочет научиться хорошему произношению и позитиву - Welcome to BYEACCENT 😎 https://www.instagram.com/byeaccent ✌️ Всем, дочитавшим пост до конца - ссылка на бесплатный урок. Ура!
(аплодисменты, занавес, смена декораций)
Ответ “Второй”.
Привет, друзья!
Всем доброго дня.
После того, как к нам пришёл запрос о ситуации, я отправила полный refund запрошенных платежей.
Далее я обратилась к нашей платёжной системе Stripe, дабы понять, как это произошло, и как подобную ситуацию предотвратить в будущем. Кусок диалога:
(05:49:16 PM) Lola: My question, is it possible for the payment to go through if the cvc code and the expiration date are wrong?
(05:50:38 PM) Support: Got it Lola, I understand your doubt
Let me tell you that Stripe has a software called Radar, and this tool based on Machine learning doesn't accept payments with cvc wrong
(05:51:33 PM) Support: Of course, without the correct expiration, the system doesn't accept the charge.
После чего я описала произошедшую ситуацию, что подобный платёж с неправильным cvc всё-таки прошёл, и запросила расследование этой ситуации.
Из отчёта Stripe:
“That being said, the rule in Radar to block charges based on failed postal code verification only blocks charges when the bank says they failed.
The way the checks work are this, when the customer creates the charge they enter the information required on your checkout form. This information is then passed to Stripe through your integration. When we receive the postal code, billing address, and CVC we send it to the bank. If the bank offers any of the three checks then they will send back a 'pass' or 'fail'. If the bank doesn't do the checks, or there is an issue then you could get back 'unavailable’.”
То есть данная операция прошла потому, что её не отклонил банк используемой карты.
Все платежи, проходящие на нашем сайте проходят верификацию. Так, к примеру, я в отчётах, вижу отклонённые платежи “high risk fraudulent”, когда такое случается. В том числе платежи, которые отклонены по причине неверного cvc или zip code. Это нормальная практика. В листе данной операции не было, её одобрил банк.
По поводу молодого человека Х, представившегося программистом и сделавшего эти операции.
Мы не имеем к нему никакого отношения.
Откуда он взялся?
В Instagram аккаунт нашего проекта @byeaccent и мне в личный аккаунт @lolanekrasov (что я увидела позднее), пришли сообщения от @karachev.oo (все скриншоты с этим молодым человеком под постом):
“Лола, добрый день. Работаю программистом нашёл несколько багов на твоём сайте из-за которых можно получить любой курс бесплатно советовал пофиксить их перед запуском курса про визы #баги на сайте прочти меня”.
Ах, да, а я говорила вам, что мы запустили новый курс? :) Давайте поподробнее расскажу. Шутка. 😀😂Реклама позже. Возвращаясь к нашей истории. Мы правда запускаем новый продукт, и сообщение такого рода, конечно же, обратило внимание.
После диалога с нашим админом (я мирно спала в другом часовом поясе, потому как проект у нас - международный 😴), выяснилось, что этот молодой человек Х воспользовался чужой картой для совершения платежа. А когда увидел, что получил доступ к купленным курсам, написал нам в Instagram об ошибке сайта, не понимая, что платежи прошли (смотри скриншоты).
Молодой парень, явно сделал глупость/правонарушение, воспользовавшись чужой информацией. Как он её получил? Процитирую его сообщение, опять же из скриншотов “Мы недавно рекламу в одном паблике вк покупали, нам скинули номер карты.” Тут, кстати, Саркис может вступить и прорекламировать свой паблик, why not? 😉
(продолжение статьи в комментариях)
Так вот, молодой человек сам Х, лично, сразу же после чарджей, написал нам о ситуации, поэтому у нас не было оснований полагать, что это какая-то трёхуровневая мошенническая схема.
Мы всегда находимся в дружеском диалоге со своими подписчиками, поэтому факт того, что кто-то захотел сообщить нам о какой-то ошибке на сайте или опечатке - не вызвал у нас какого-то особенного удивления. Кстати, о нашем проекте BYEACCENT (здесь в тему, чес-слово 🤗) - это комедийный языковой блог об американском разговорном языке и сленге. Он известен своим позитивом и добрым отношением к миру. Наши подписчики это знают, мы не раз помогали людям, которые обращались к нам с просьбой о помощи (будь-то сбор средств или что-то подобное). Поэтому, когда так же помогают нам - это нас не удивляет, для нас это нормальный ход вещей.
За всё время существования проекта у нас не возникали ситуации с жалобами или чем-то подобным. Даже интересно, откуда Вселенная послала нам такого Саркиса? 🤔Но об этом позже. С ситуацией подобного рода, я сталкиваюсь впервые (поздравьте меня с медиа-почином), поэтому и отвечаю на неё лично. Саркис, видите какие вам почести, а вы сердитесь :)
Потому, после выяснения всей этой ситуации и возврата денег, мы дали молодому человеку Х контакт Саркиса, у нас имеющийся (на тот момент Саркис написал нам в Facebook), чтобы молодой человек лично и по-человечески извинился за свои действия, и объяснил сложившуюся по его вине ситуацию, взяв ответственность (скриншоты вам в помощь).
В защиту этого парня Х (о нём в ответе 4) - он действительно, сразу связался с Саркисом, и объяснил ему ситуацию, предложив восполнить его утраты.
Я лично верю, что некоторые моменты в жизни, можно просто решить по-человечески, не устраивая скандала.
Я думаю меня поймут те, кто работает с людьми.
Но меня не понял Саркис.
(занавес, смена декораций)
Ответ “Третий”.
Саркис, милый мой, дорогой!
Это всё никак происки злого Цукерберга: я вам на каждое сообщение ответила, вежливо, по делу, но диалог вам “показался немного странным”. Что же мне, горемычной, поделать?
А мне вот показалось, что вы тоже немного не в себе были…Вы выспались? Вы поели? А то всякое же бывает. Короновирус злобствует. Аккуратнее!
А у вас вот “cложилось ощущение, что вам что-то не договаривают”.
Уж простите, ежели, я потратила всего лишь день на разбирательство с этой ситуацией лично, а ночью спать легла. Это не я - это природа во всём виновата! Она тоже зловещая, всё у нас отнять что-то хочет. Украсть! Мне вообще кажется, что солнце в сговоре с луной! 🌝🌛 Какая халатность творца. Вам, наверно, тоже покажется, что это “на 90% именно моя вина”. Ведь я тоже живу на этой планете 🌏.
…
Я, знаете, до сих пор ведь напугана, вы ведь меня “припугнули”. Вот капли пью, думаю, подавать ли на вас в суд за запугивание и причинение морального ущерба, порчу репутации? Надо бы, но да Бог с вами.
Я вас прощаю, Саркис.
Мне кажется, вам тоже хотелось попрактиковаться в написании статей. Поэтому, поговорив со мной в воскресенье, проигнорировав извинения молодого человека Х, заварившего кашу, не дождавшись ответа от Stripe, и не разобравшись до конца в этой ситуации, вы сели творить, и уже в понедельник выдали целую статью.
О, творчество - это прекрасно! Я понимаю.
Главное, чтобы профессионально и экологично 🌱.
Как это?
Это когда вы опираетесь на факты, а не на “ощущения”, прежде чем публично кого-то в чём-то обвинять.
Ну, да, Бог с вами.
Кстати, молодой человек Х, который нас с вами так вот познакомил, сводник-негодник, насколько мне известно, лично перед вами извинился и предложил восполнить утраты, но вы почему-то этот момент упустили.
Ведь тогда бы не было утрат! И статья не имела бы веса! А вам же так хотелось статью! В мир! Людям! Это похвально . Ах, милый мой, ну, что же с вами поделаешь! Все мы люди, ничто человеческое нам не чуждо.
Обнимаю вас крепко, дорогой мой.
Хорошего вам творчества!
И добрых статей.
🤗❤️🙌
(аплодисменты, занавес, смена декораций)
(ответ четвёртый, завершающий, ниже)