Огромная дыра в безопасности счетов Тинькофф Банка. UP: Тинькофф пока не видит привязку 😡 (UP: 4 дополнения к отзыву)
Сценарий кражи денег очень простой. Привязываем чужой счет клиента Тинькофф к СБПэй. Для этого нужен его номер счета и телефон. Вводим смскод. Либо просто крадем телефон клиента, на котором установлен СБПэй. Дальше можем спокойно пользоваться деньгами клиента. Отвязать СБПэй от своего счета он не сможет. Блокировка и перевыпуск карт бесполезны - СБ…
Как себе видят киберкрайм обыватели ))) Поржал знатно с материала! Спасибо!
Автор, прошу, если видите косяки, то не надо врубать из себя спеца с сертами CISA, опытом в черном ремесле десяток лет и тд, расписывая тут сценарии кабздеца. У проф специалистов такое только смех вызовет.
PS: косяк интерфейсный очевиден, с безопасностью там всё ок, если юзер совсем не лох. Последний, как известно - не мамонт и его вообще ничего от кидалова не убережёт!
Ну давайте проведем эксперимент. В ЛС мне номер телефона и номер счета. Потом смскод на согласие привязки его к СБПэй. После пробуете отвязать, блокируете карты и т.д. Но деньги оставляете на счете. Потом говорите мне, я иду в магазин и покупаю еду.
просто Михаилу не дали метал карту, когда он её очень хотел, иногда он гоняется за какими то монетками в приложении иногда за кешбеком в 10% через геморный сбпэй, но его всегда триггерит заветное слово на т