После оформления заявки на кредит на официальном сайте АльфаБанка, начали поступить звонки от мошенников
Приветствую, человек, случайно попавший на данный пост.Речь в данной статье пойдет, скорей всего, ни о чем, на заезженную тему заезженного виновника подобных тем, и тут не будет решения вопроса. Данный пост создаю для того, чтобы пополнить копилку таких постов.
Итак, был у меня кредит в СБЕРе, я его успешно выплачивал. Кредит брал на покупку авто. И случились неприятности - автомобиль сильно подвел, и ремонта хотел под 100к (при стоимости его покупки 270т.р.). От автомобиля пришлось избавиться по еще более низкой цене, и искать новый. Для этого нужен был еще один кредит, чтобы закрыть старый кредит в СБЕРе, и на остатки купить автомобиль с добавлением суммы от продажи предыдущего авто. Планировал взять 500-600т.р.
Поиски банка, способного выдать нужную сумму, продолжались довольно долго - либо процент конский (при положительной кредитной истории), либо сумма раза в 3-4 меньше необходимой. Вот я заполнял онлайн-заявки на сайтах банков, чтобы не таскаться по офисам, и черт дернул зайти на сайт альфабанка и оформить на нем заявку. Все свои данные я указал, оставил заявку, со мной связались, и, как обычно, предложили очень невыгодные условия кредитования. Я от них отказался, на что мне была предложена "выручай-кредитная-карта" с большим лимитом. Я конечно от нее отказался. На том и закончил свое общение с сотрудником АльфаБанка. Обращаю внимание, я ни разу не был в офисе банка, и не ставил никаких подписей в договорах. Т.е. для меня это все еще посторонний банк, с которым правовых отношений не имею.
Казалось бы конец истории, но спустя несколько дней, мне позвонил "сотрудник АльфаБанка из службы безопасности", обратился ко мне по ФИО, и сказал что я пытаюсь снять деньги со своей карты. Я возразил, что я не являюсь клиентом банка, и данный "сотрудник" бросил трубку. "Вот те на" - думаю я... Понегодовал, и забыл. Через пару недель мне звонит очередной "сотрудник службы безопасности АльфаБанка", женским голосом как-то представляется, называет по ФИО, и говорит, что кто-то вошел в мой личный кабинет банка. Я снова возражаю, мол я не являюсь клиентом, и никаких договоров не подписывал. Говорю: "как это так, я в этом банке даже ни разу в жизни не был", на что получаю растерянный, но уверенный ответ: "ну....Вот так!". Бросаю трубку, и заношу, наверное уже сотый, номер в черный список. Звонков на текущий момент всего было несколько, около 6-8.
Какой я сделал вывод. У меня две версии (UPD: три):
1. реальные сотрудники АльфаБанка подрабатывают одним из двух способов:
а). Продажа личных данных клиентов\потенциальных клиентов
б). Разводят своих клиентов с помощью звонков
2. в ИТ-инфраструктуре имеется огромная дыра, с помощью которой персональные данные утекают к мошенникам. Например, уволенные ИТ-специалисты знают админские учетные данные, или само ПО содержит трояна, пересылающего подобные данные на сторону.
3. Как подсказали в комментариях, возможно, данные утекают из-за субподрядчика, который разрабатывал/обслуживает некий периметр инфраструктуры.
Но я склоняюсь к 1 варианту, т.к. голос и манера общения очень похожа на речь реального сотрудника банка - и манера речи, и поставленная речь, и способ ведения диалога. Все это заставляет думать именно так.
Этого поста могло бы и не быть, если бы мне в который раз сейчас не позвонил "сотрудник альфы"...
UPD: Номер, с которого мне позвонили 19.01.2022 (МСК +2):
Может, я уже тысячный человек, который это напишет, но:
Люди! Не оставляйте свои реальные персональные данные на сайтах! В частности, на таких неблагонадежных, как альфабанк, и банки.ру и подобных - ваши персональные данные либо будут использоваться с мошенническими целями, либо попросту утекут в сеть (с банки.ру была подобная же история пару лет назад - звонки от случайных банков на тему того, что взломали меня, то кредит одобрили, то карту выпустили и нужно просто забрать ее).
Естественно, если виновник данного поста и напишет здесь, то это будет: "это случайность, совпадение". Но мы то знаем...
Добрый день.
Вы привели два возможных варианта, однако ни один из них нас не касается.
Мы понимаем, что банк — это институт доверия. Поэтому тщательно подходим к найму сотрудников. Если у кандидата сомнительная биография или есть опасения, что он покажет себя с ненадёжной стороны — мы не сможем взять его на работу. Это же касается и текущих сотрудников: служба безопасности следит за тем, кто и что делает на работе.
Банковские системы отличаются от обычных, с которыми люди привыкли работать. Мы не можем раскрыть все детали, однако при входе требуется куда больше данных, чем просто логин, пароль и смс-код. Поэтому уволенные сотрудники ни при каком варианте не смогут зайти и получить личные данные клиентов.
Боимся, что реальность в другом. Мошенники просто звонят наугад, представляясь сотрудниками любого крупного банка. Иногда угадывают, и трубку и правда берёт клиент этого банка. Иногда нет, как в вашем случае. В каких-то случаях у людей стоят вирусы на компьютерах и телефонах, и мошенники получают таким образом дополнительную информацию. Например, на какие сайты человек заходил, какие приложения открывал
Я, конечно, у вас не работал, но у ваших коллег в Сбере (дочке, с приставкой Сбер), работал разработчиком. Служба безопасности меня во все дыры имела, особенно когда я сначала работал через ген подрядчика, а потом напрямую. Во все дыры пока я не приступил к работе, кучу бумаг заполнял. Но я прошел службу безопасности. А потом меньше, чем через полгода, с негативом с моей стороны ушел из компании.
Так вот! Доступы у меня до сих пор есть, причем я не скрывал это и спустя несколько месяцев просил у меня их забрать. Но нет, я до сих пор имею доступ, в том числе к персональным данным клиентов, важным кодам для выполнения некоторых операций. И только моя чистая совесть не позволяет мне слить эти данные.
У меня среди однокурсников есть ребята, кто работает разработчиком / аналитиками в Альфе, и как оказалось, что везде плюс минус одинаковые люди работают с одинаковыми ситуациями со службой безопасностью (реакция после увольнения и тд).
Вместо того, чтобы быть уверенным, что Все п...ы, а АльфаБанк — д'Артаньян - начали бы уже резать доступы к проду, а также логировать кто и когда запрашивает данные клиентов. А не скрытые платежи, квази кэши и хитрые кэшбеки делать.
@Сбер че за дела, заберите у пацана доступы, у него много конфиденциальной информации)))
Я говорил своим руководителям, но процессы как-то плохо работают :) Но возможно ставить задачи в JIRA у меня забрали, и доступ к vpn тоже. Но он не везде требуется
Комментарий недоступен
Перед Новым Годом проверял, я еще жаловался что на мою личную почту все еще приходят сообщения из confluence и sentry :)
Комментарий недоступен
У нас не было сбер чата и sf. Я так полагаю, в каждой дочке Сбера свои инструменты
Комментарий недоступен
Не знаю. Я не в штате был, мне чтобы зарплату получить, нужно было отчеты предоставлять. За просто так ничего не капало, как это бывает во многих статьях разработчиков из экосистемы Сбера :D
Комментарий недоступен
Удаленно, никаких телевизоров не было. У меня и подписание договора было удаленное (бумаги курьерами отправляли).
А работал из Санкт-Петербурга, головной офис в Москве.
У нас подобное исключено 🙅♂️
Чем докажите? Ну, типа, на слово поверить или что? Подобные статьи как бы намекают...
Ну, вот, видишь. У тебя чистая совесть, а банки тщательно отбирают таких кандидатов! Все сходится)
@Сбер как так-то? ) такое вообще бывает?
Комментарий недоступен
Нет, не Сбер Сервис
Та же история. До сих пор ssh имеется от одного гос. реестра. Естественно, согласно понятиям этики разработчика, я никогда не воспользуюсь чужими данными.
А вот оператор, или ему подобный сотрудник, который за 40 тыс. ходит на эту опостылевшую работу запросто пожелает получить дополнительный доход.
Я даже уверен, что сотрудник действующий. Возможно даже тот, который здесь отвечает)
Этим страдают разного уровня компании. Больше 5ти лет назад делал интерфейс для админки одного крупного брокера с лицензией на брокерскую деятельность от 2000 года.
Чтобы админка получала хоть какие-нибудь данные, нужно было на сервере поднять VPN для соединения к удаленному MSSQL, а там еще на каждую таблицу отдельно права выдавались через почту и обоснованием зачем это нужно.
Так вот, у нас был тестовый сервер, который подключался по ssh тунелю и заходил в базу MSSQL. Прошло пять лет, этот тестовый сервер все еще работает, и последний кто на него заходил - был я. Ну и туннель все еще работает и база все еще подтягивается.
Я не эксперт в безопасности, но кажется это не должно так работать :)))