История о том, как Озон отдал все мои персональные данные мошеннику, который украл у меня 38 000 ₽

Веселая история про то как я решил купить фортепиано на Озоне и остался и без фортепиано и без денег.

История о том, как Озон отдал все мои персональные данные мошеннику, который украл у меня 38 000 ₽

Меня зовут Юра, мне 30 лет, я с 5 лет я фанат компьютеров и уже 10 лет руковожу бутиковой студией разработки в Екатеринбурге.

Ситуация

Моя жена круто играет на фортепиано и давно просила купить его нам домой. Я решил, что пришло время порадовать человека. В пианино я ничего не понимаю, поэтому отталкивался от характеристик и цены. Нафильтровал себе на Озоне подходящий вариант и впервые захотел оформить Озон карту.

История о том, как Озон отдал все мои персональные данные мошеннику, который украл у меня 38 000 ₽

Больше 15 тысяч скидки, выглядело странно. Но продавец только вышел на маркетплейс, и у него не было ни одного отзыва, плюс вроде Озон пиарит этот счёт. В общем я решил, что это мне так повезло, Озону круто что у меня их карта, продавец получит восторженный отзыв, а я пианино с хорошей скидкой.

Оформил карту, закинул на неё денег, оформил заказ, сижу довольный, и внезапно звонок:

— Юрий, здравствуйте это Озон. Вы купили пианино Касио, я хочу подтвердить ваш заказ.

— Да, конечно

— Назовите номер телефона с которого совершили заказ?

— Такой

— Отлично, когда вам удобнее получить доставку 30 или 31 января?

— 30

— В первой или второй половине дня?

— Во второй

— Хорошо, чтобы подтвердить заказ, вам нужно назвать последние 4 цифры номеров телефона, который сейчас позвонит.

— Зачем это вам?

— Скидка по Озон кард проходит больше 25%, по нашим правилам, мы должны подтверждать такие заказы в ручном режиме.

— Окей

— На ваш телефон пришла СМС с подтверждением, назовите код подтверждения.

— Да нет, это бред какой-то, зачем вам ещё и смс.

— Юрий к сожалению мы вынуждены подтверждать заказы с такой большой скидкой.

[Пришла очередная смска, каких уже пришло 10 за вечер, при регистрации. Прикидываю, что можно сделать. Данных карты у них нет. О моём заказе они все знают. Заказ уже оплачен, деньги у Озона, ничем не рискую вроде, видимо какие то дебильные бюрократические правила. ]

История о том, как Озон отдал все мои персональные данные мошеннику, который украл у меня 38 000 ₽

— Хорошо, 4785

— Отлично, Юрий, идентификация прошла успешно. Давайте подытожим вы заказали пианино Касио с курьерской доставкой на ..., во второй половине дня. Курьер будет у вас с 15 до 21 часа.

— Да, все верно.

— Спасибо за заказ, всего хорошего

Я захожу на Озон и в личном кабинете вижу картину:

История о том, как Озон отдал все мои персональные данные мошеннику, который украл у меня 38 000 ₽

Заказ отменен.

Вроде начинаю что-то робко понимать. Процесс не из приятных чего-то в пазле не хватает явно, будто отсутствует центральная часть. Хожу кругами, и тут я понимаю. Дрожащими пальцами захожу в ozon.card.

История о том, как Озон отдал все мои персональные данные мошеннику, который украл у меня 38 000 ₽

Чуваки с помощью данных обо мне, которые отдал им Озон, получили из меня код авторизации, и с помощью всех этих данных без проблем получили доступ к личному кабинету. Отменили заказ и вывели деньги на дропа через СБП.

Разбирательства

Деньги улетели на Сбербанк на имя Илья Андреевич М. по номеру телефона. Но номер телефона принадлежит уже Новоселовой Марии Павловне. Продавец вообще ИП Палюх Ольга Николаевна.

История о том, как Озон отдал все мои персональные данные мошеннику, который украл у меня 38 000 ₽

Понимаю что уже ничего уже не вернуть, деньги уже в даркнете, перепродаются следующему мамонту, который хочет что-то купить со скидкой, через телеграм канал.

Пишу в поддержку Озон — отписка по скрипту, ещё раз — то же самое, ещё раз — снова отписка. Получив четвертую отписку, я понял, что инструмент не рабочий. Высадился, рассказал о случае в своей инсте.

В инсту быстро пришел кто-то живой из Озона, посопереживали мне, пообещали, что обратятся в органы, и мне того же пожелали. Завершился диалог довольно однозначно.

История о том, как Озон отдал все мои персональные данные мошеннику, который украл у меня 38 000 ₽
История о том, как Озон отдал все мои персональные данные мошеннику, который украл у меня 38 000 ₽
История о том, как Озон отдал все мои персональные данные мошеннику, который украл у меня 38 000 ₽

В общем ответ: «Сам дурак, ничего с этим сделать мы не можем». Может быть, мне повезет и они на самом деле передадут дело в органы. Да и я тоже подам. Но мы с вами и, конечно, Озон прекрасно понимаем, что это не закончится вообще ничем.

Резюме по ситуации

Озон не особо проверяет своих партнеров и никак не отвечает за их действия

Эти партнеры легко могут быть мошенниками или злоумышленниками.

С этими умыслами легко получить доступ к вашему личному кабинету и украсть все деньги.

Я ещё не знаю что было бы с привязанными картами, потому что как мы знаем, озон не подтверждает покупки смсками.

НИКОМУ НИКОГДА ничего не называйте по телефону, даже если вы не понимаете как вас кинут — вас кинут, а потом вы узнаете как.

Я очевидно олень в этой ситуации, я поддался классной цене и был слишком самоуверен в своём понимании процесса.

Жена временно осталась без фортепиано.

Я постараюсь максимально, как смогу, масштабировать опыт, который я получил за 38 тысяч рублей. Если тоже офигели со схемы, лайкайте, чтобы как можно больше людей не попались. Берегите себя и свои деньги.

805805
932 комментария

Уважаемые читатели и Юрий, простите, что сразу не рассказали подробнее о том, как такое в принципе могло произойти.

Мы не передаём нашим продавцам контактные данные покупателей. Продавцы, которые доставляют заказы своими силами видят только подменённый номер телефона покупателя. То есть продавец не знает ваш настоящий телефон, он звонит по подменному номеру и далее происходит переадресация.

Что касается авторизации на сайте, то для входа в аккаунт Ozon необходим номер телефона и код, который может прийти, как в Push-уведомлении, так и в формате звонка. Но этого недостаточно, чтобы вывести деньги с Ozon Карты. В Ozon Банк своя авторизация, отдельная от Ozon и чтобы попасть в аккаунт банка, нужен также отдельный пароль.

Мы переслушали звонок мошенника на телефон Юрия и услышали, что были названы все данные - настоящий номер телефона, код из звонка для авторизации в Ozon, а также код из СМС для восстановления доступа к аккаунту в банке.

К сожалению, мошенники идут на разные уловки и с помощью социальной инженерии "вытаскивают" из жертв все данные, даже если это 2 или 3 фактора безопасности. Как произошло и в конкретном случае, который описан в статье.

Тем не менее мы не стоим на месте и дополняем наши меры безопасности - в ближайшее время мы поменяем все тексты в СМС и Push-уведомлениях по авторизации или смене пароля, чтобы они прямо сообщали о том, для чего нужен тот или иной цифровой код. Надеемся, что это поможет снизить количество случаев, когда уникальные коды передаются третьим лицам.

7