«Альфа-мобайл» принудительно снижает уровень безопасности в приложении

Фиксирую неспособность сммщика Альфы ответить на 3 простых вопроса из поста.

Вводить код нужно только в тех случаях, когда это определит наша интеллектуальная система безопасности. В остальных случаях достаточно просто нажать кнопку «Подтвердить».

Ребят, а вы не охуели малость??

Лол. 
2010, весь мир: пароли устарели, нужна минимум двухфакторка на смс, а лучше на спец приложухах. 
2021, альфа: мы вводим пароли для безопасности! 

Новый универсальный код имеет в себе сбой. Только что делал перевод по номеру счета и когда в самом конце система попросила подтвердить оплату универсальным кодом, я нажал отмену. Система перервала операцию перевода, выдав ошибку. Но при последующем нажатии кнопки перевода в этом же окне, система не запросила ни универсального кода ни обычного пуша. И провела перевод мгновенно. Что кого и зачем тут защищало не ясно. 

Сколько уже было историй с дырами в "системе безопасности" Альфы, а им всё – как с гуся вода. Очевидное решение – добавить секретный код к СМС (то есть сначала запрашивать СМС, затем секретный код для ряда рисковых операций). Это бы имело хоть какой-то смысл и было бы похоже на заботу о пользователях. Но замена переменного фактора аутентификации на ПОСТОЯННЫЙ ПРОСТОЙ ЦИФРОВОЙ пароль – это полный П. И это в эпоху внедрения биометрии как доп. фактора аутентификации (фото, видео, голос). Вроде до такого дна ещё никто не додумался?

А почему даже про эти (снимающие часть вопросов) особенность мы узнаем НЕ из предложения этот код включить?(и да - у меня он тоже попросил, как и у родственнников (угадайте кто им помогал(и ставил этот код) с "тут приложение непонятно что хочет не дает остаток посмотреть")

Ответы у альфы как всегда, абсолютно бесполезные. Спросили про одно, ответили про другое.

У вас сотрудники уже давно сливают данные, мошенники звонили один, знали многое, даже сколько у меня $ на карте 🗿🤦как так получилось ?

Да понятно, что дело в экономии. Но подавать это под соусом безопасности, так еще и не размещая конкретных условий пользования этими секретными кодами в приложении, по-моему, за гранью. Для меня это тоже самое, как ресторан бы оставил в меню единственную опцию "поесть" без указания, что за блюда и сколько стоят))

То есть замена двухфакторной авторизации на однофакторную - это хорошо для безопасности, я правильно понял?))

Абсолютный бред, таким образом безопасность только снижается.

На первый взгляд кажется, что выдать чужое устройство за свое не то чтобы очень сложная задача, решаемая имитацией mac-адреса. Сим-карта в схеме не используется совсем, только интернет, однофакторная авторизация вместо двухфакторной. Код можно снять сниффером. Угадаете, что это значит для возможности злоумышленников получить доступ к вашим деньгам?

Да, именно так 👍

Вот вообще в корне неверные выводы. Автор говорит, что ключи от машины и квартиры каждый раз лучше генерировать на лету в собственном кармане. Но в отличии от кодов для приложухи, это практически нереализуемо. 
А "свой личный код" как раз эти самые пуши и смс (двухфакторка) заменили. И как же по твоему "набор символов гарантирует, что вход осуществляет сам клиент"? 

TOTP - это алгоритм создания паролей для аутентификации, а SMS способ доставки информации. Я не понимаю как их сравнивать))) Знание секретного пароля рушит весь твой TOTP. Имитация MAC-адреса устройства - не такая уж и проблема.

Здесь не TOTP, а просто пароль. Сравнить с SMS напрямую не получится, зависит от модели угроз и организации защиты информации со стороны пользователя.

Но раз уж затронули TOTP: я удивляюсь, почему эта простая и действенная технология не используется банками. Как минимум в качестве опции, альтернативы. Я бы как клиент с удовольствием с SMS на TOTP перешёл. И банку дешевле. Win-win.

Телефон нужен, это типа "второй фактор"

В чате сказали можно заблокирвать, но пароль от Клика тоже сбрасывается по номеру карты и коду из SMS.