[ { "id": 1, "label": "100%×150_Branding_desktop", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "ezfl" } } }, { "id": 2, "label": "1200х400", "provider": "adfox", "adaptive": [ "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "ezfn" } } }, { "id": 3, "label": "240х200 _ТГБ_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "fizc" } } }, { "id": 4, "label": "240х200_mobile", "provider": "adfox", "adaptive": [ "phone" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "flbq" } } }, { "id": 5, "label": "300x500_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "ezfk" } } }, { "id": 6, "label": "1180х250_Interpool_баннер над комментариями_Desktop", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "adfox": { "ownerId": 228129, "params": { "pp": "h", "ps": "bugf", "p2": "ffyh" } } }, { "id": 7, "label": "Article Footer 100%_desktop_mobile", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "fjxb" } } }, { "id": 8, "label": "Fullscreen Desktop", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "fjoh" } } }, { "id": 9, "label": "Fullscreen Mobile", "provider": "adfox", "adaptive": [ "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "fjog" } } }, { "id": 10, "disable": true, "label": "Native Partner Desktop", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fmyb" } } }, { "id": 11, "disable": true, "label": "Native Partner Mobile", "provider": "adfox", "adaptive": [ "phone" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fmyc" } } }, { "id": 12, "label": "Кнопка в шапке", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "bugf", "p2": "fdhx" } } }, { "id": 13, "label": "DM InPage Video PartnerCode", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox_method": "create", "adfox": { "ownerId": 228129, "params": { "pp": "h", "ps": "bugf", "p2": "flvn" } } }, { "id": 14, "label": "Yandex context video banner", "provider": "yandex", "yandex": { "block_id": "VI-223676-0", "render_to": "inpage_VI-223676-0-158433683", "adfox_url": "//ads.adfox.ru/228129/getCode?p1=bxbwd&p2=fpjw&puid1=&puid2=&puid3=&puid4=&puid8=&puid9=&puid21=&puid22=&puid31=&fmt=1&pr=" } } ]
{ "author_name": "Andrey Frolov", "author_type": "self", "tags": ["\u043d\u043e\u0432\u043e\u0441\u0442\u044c","\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438","\u0442\u0438\u043d\u044c\u043a\u043e\u0444\u0444_\u0431\u0430\u043d\u043a"], "comments": 44, "likes": 35, "favorites": 4, "is_advertisement": false, "section_name": "default", "id": "17587" }
Andrey Frolov
26 643

Пользователь «Хабрахабра» рассказал о способе определить баланс любой карты «Тинькофф банка»

Пользователь «Хабрахабра» под ником @kromm заявил, что ему удалось найти способ проверить баланс любой карты «Тинькофф банка». По его словам, это стало возможно из-за ошибки на сайте компании.

Обновлено 12 августа в 01:20. В «Тинькофф банке» сообщили об устранении недоработки на сайте.

В своей статье @kromm объяснил, что попробовал воспользоваться системой перевода средств от «Тинькофф банка», которая не требует авторизации в интернет-банке. Он ввёл данные своей карты и сумму, превышающую его баланс, после чего получил отказ в проведении операции ещё до того, как попытался ещё совершить.

Подождите, ведь я же не нажал кнопку отправить! Откуда это взялось? Поигрался с суммой, проверяется реальная сумма на карте.

— @kromm

Позже автор статьи обнаружил, что если отредактировать запрос к сайту, подставив в него номер другой карты, то никакая дополнительная проверка проводиться не будет. То есть, при изменении суммы сервис так же будет сообщать, хватает ли средств на счёте для её перевода или нет.

Очевидно, что методом простого перебора легко подобрать сумму, ниже которой все ок, а выше уже ошибка — это и будет баланс карты. То есть, зная один лишь номер карты (это, конечно, информация не слишком публичная, но и не критичная, многие дают номера карт друзьям и даже выкладывают их в интернет для получения платежей) можно узнать, сколько там денег. Причем, как показали эксперименты, никакие месячные лимиты на это не влияют.

— @kromm

По словам автора заметки, он сообщил в службу безопасности «Тинькофф банка» о найденной уязвимости, но не получил ответа.

На момент написания заметки представители «Тинькофф банка» не прокомментировали vc.ru сообщение об уязвимости, пообещав предоставить информацию позднее.

Обновлено в 23:46: Пользователь обновил свою статью на «Хабрахабре», отметив, что специалисты банка «сделали лимит обращений, скрипт больше не работает. Надеюсь, в скором времени закроют нормально».

Обновлено 12 августа в 01:20. Представители «Тинькофф банка» сообщили vc.ru, что ошибка на сайте устранена, а созданный пользователем скрипт для «определения баланса» не работает. По их словам, риска для средств клиентов эта ошибка не несла, так как любая операция требует подтверждения по одноразовому коду 3DS.

#новость #уязвимости #Тинькофф_банк

Популярные материалы
Показать еще
{ "is_needs_advanced_access": false }

Комментарии Комм.

Популярные

По порядку

0

Прямой эфир

Голосовой помощник выкупил
компанию-создателя
Подписаться на push-уведомления