{"id":14276,"url":"\/distributions\/14276\/click?bit=1&hash=721b78297d313f451e61a17537482715c74771bae8c8ce438ed30c5ac3bb4196","title":"\u0418\u043d\u0432\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432 \u043b\u044e\u0431\u043e\u0439 \u0442\u043e\u0432\u0430\u0440 \u0438\u043b\u0438 \u0443\u0441\u043b\u0443\u0433\u0443 \u0431\u0435\u0437 \u0431\u0438\u0440\u0436\u0438","buttonText":"","imageUuid":""}
Приёмная
xvt123

Провёл эксперимент: с помощью получения кода из СМС и знания номера карты можно получить доступ к аккаунту BТБ-онлайн

По мотивам постов

Мошенники, действующие от имени банка ВТБ…
Кредитные карты с кешбек и скидками очень удобно, но опасно, даже если она лежит в домашнем сейфе…
vc.ru
Android-клиент банка ВТБ показывает уведомления…
Поступают уведомления обо всех операциях другого клиента банка ВТБ в виде всплывающих сообщений…
vc.ru

поставил эксперимент:

1) Взял новый чистый телефон, далее Телефон №2 (сеть - только WiFi)

2) Установил Android-клиент ВТБ-Онлайн из Play Market

3) Ввел УНК

Достаем попкорн...

4) Вместо ожидаемого (и требуемого ранее!) приглашения на ввод пароля на основной телефон пришло СМС с кодом, ввод которого на телефоне №2 предоставил мне полный доступ к ВТБ-Онлайн

5) Без необходимости подтверждения от клиента (Телефон №1 больше не нужен) в два клика в приложении на Телефоне №2 осуществлен переход с СМС на PUSH-коды и PUSH-уведомления -- для дальнейшего подтверждения операций Телефон №1 не требуется, уведомления на него больше не поступают.

Купить рекламу Отключить

Бонус: вместо УНК можно ввести номер банковской карты (повторил эксперимент, только в п.3 вместо УНК ввел номер банковской карты - работает).

ИТОГО: полный перехват контроля над аккаунтом ВТБ-Онлайн возможен посредством получения единственного кода из СМС и знания номера карты.

PS: А еще в январе требовалось вводить полный пароль.

Если к вышеизложенному прибавить информацию о доступности перехвата СМС (или смене SIM у "честного" сотрудника оператора связи), то складывается совсем нерадостная картина.

Как взломать Telegram и WhatsApp: спецслужбы не…
На прошлой неделе общественность взбудоражила новость о возможной причастности спецслужб к взлому…
m.habr.com

Вместо заключения: ВТБ - верните нормальную многоуровневую авторизацию!

#жалобавтб

10 показов
41K открытий
0
131 комментарий
Написать комментарий...
Показать всё . Вы видите только часть дискуссии
 L A

Вроде бы вот это отключает часть(!) функционала "безопашливость".
У втб конечно какая-то шляпа с безопасностью, то лимиты которые  можно поставить, но  они не работают в старой версии ИБ, то пинкод банкоматы не проверяют то еще что-то странное...

Ответить
Развернуть ветку
Jury P.

Эта функция отключает восстановление пароля. Только вот после выхода их нового приложения, "над которым работало более 200 человек"  пароль просто не нужен. Авторизиризация в моб. приложении происходит по смс.
Более того,  даже если через колл центр заблокировать моб. приложение, как я делал, авторизация через qr в якобы "заблокированном" приложении продолжает работать, просто наведите на qr на сайте через кнопку быстрый вход и получите полный доступ в кабинет.
https://www.banki.ru/services/responses/bank/response/10476019/ только недавно написал про это отзыв, но банк делает вид, что не понимает сути претензии.
Причем мне именно поддержка втб-банка и посоветовала заблокировать моб. приложение, чтобы без знания пароля нельзя было авторизироваться. И при этом они и сами не знали, что авторизация по qr и дальше работает из "заблоченного" техподдержкой приложения и пароль не нужен для входа в личный кабинет с помощью моб. приложения.

Дыра безопасности ВТБ
В связи с выпуском нового приложения, которое для авторизации просит номер карты и смс без ввода…
www.banki.ru
Ответить
Развернуть ветку
Bricktop

Оставил обращение по поводу входа по QR. Чем больше будет однотипных обращений, тем быстрей исправят.

Ответить
Развернуть ветку
Показать 131 комментарий . Вы видите только часть дискуссии
Написать комментарий...
128 комментариев
Раскрывать всегда