Огромная дыра в безопасности счетов Тинькофф Банка. UP: Тинькофф пока не видит привязку 😡 (UP: 4 дополнения к отзыву)
Попробовал я работу СБПэй. Для этого привязал счет Тинькофф и оплатил покупку. Все прошло хорошо. Но только в приложении Тинькофф отвязать счет от СБПэй нельзя. Там даже не видно, что с этого счета есть разрешения на оплату через СБПэй.
Сценарий кражи денег очень простой. Привязываем чужой счет клиента Тинькофф к СБПэй. Для этого нужен его номер счета и телефон. Вводим смскод. Либо просто крадем телефон клиента, на котором установлен СБПэй. Дальше можем спокойно пользоваться деньгами клиента. Отвязать СБПэй от своего счета он не сможет. Блокировка и перевыпуск карт бесполезны - СБПэй привязывается к счету, а не карте. Клиент даже может забыть, что к его счету привязан СБПэй - Тинькофф это в приложении не показывает. Лимиты при оплате по СБПэй не установить. Карточные не действуют.
В других банках хотя бы можно наплодить кучу рублевых счетов, привязать СБПэй к ним, а потом просто закрыть счет. Но в Тинькофф только один счет на одну дебетовку.
UP: я уверен, что слово Тинькофф можно заменить на название других банков, например Альфа-Банк или Сбер.
UP2: поддержка в чате банка предложила мне зайти в раздел "Еще" и выбрать пункт "Быстрая оплата". Такого пункта там нет. Когда скинул скрин, поддержка в чате ответила, что у меня нет активных подписок СБП. Но счет то все еще привязан. Банк сам не знает, что счет клиента куда-то привязан.
UP3: А в ответе на обращение банк официально обманывает, что привязки нет
UP4: Другую проблему поддержка очень быстро и оперативно решила в чате штатными сотрудниками. Причем по безопасности там отработали очень даже хорошо - как доп. подтверждение просили видеосвязь.
Из интереса привязал счет тиньков к спбпей. И что вы думаете? В приложении спбпей во вкладке счета появился счет тиньков, где его можно удалить либо настроить ограничения. Автор истеричка
Попробуйте это сделать не из приложения СБП. Потеряли вы телефон. Или кто-то другой привязал. Как удалить?
Пока счет привязан спросите в чате банка как его отвязать. Вам скажут, что у вас ничего не привязано.
Карочи я разобрался, потыкал в качестве эксперимента разные банки и почитал условия подключения. Как оказалось редкий банк полноценно поддерживает сбпей, где то вообще привязать счет нельзя (альфа, сбер), где то привязать можно, но не видно какие счета привязаны (тиньков, гпб), а где то все видно и можно отключить (росбанк, бкс). Сложно назвать это дырой, скорее туго взлетающее новшество набиулиной
О, спасибо!
Так все таки не все банки грешат этим.
В альфе и сбере точно нельзя? В списке СБПэй они оба есть, но я рисковать не стал.
Если у вас приложения банков есть, возможно сами приложения не поддерживают запрос от СБПэй. Но есть другой способ привязать, пролистайте список банков ниже и там найдете эти же банки. Если нажать на них там, то вас спросят номер счета и телефон, потом пришлют смс.
Сбер по номеру счета вручную привязывается, альфа вообще никак. Отсталые
В альфе СБП включен? Там можно его отключать в отличии от тинька.
В альфе раньше можно было, но в начале года перестало работать.
В ВТБ всё очень наглядно видно. Какой счёт подключен и на каком устройстве.
А можете показать как выглядит. Чисто из любопытства.
Спасибо.
@Тинькофф вот как нужно делать. Поучились бы у банков-коллег!