Мошенники вывели через сервис переводов Mastercard 9 млн рублей из-за ошибки в настройках банкоматов Статьи редакции
После атаки Mastercard рекомендовала всем банкам проверить настройки и устранить уязвимость.
Мошенники вывели через сервис денежных переводов Mastercard — MoneySend — 9 млн рублей из-за ошибки в настройках банкоматов банка «Москва-сити». Об этом пишут «Ведомости».
Операции проводили с 15 по 19 мая 2018 года в банкоматах на железнодорожных вокзалах в Москве. Участники схемы выбирали опцию перевода денег с карт «Сбербанка» на карты «Тинькофф банка», но в последний момент отменяли операцию.
Мошенники выбирали опцию перевода, после чего направлялись запросы в банк отправителя и банк получателя для разрешения на списание и зачисление средств, объясняет эксперт по информационной безопасности банков Николай Пятиизбянцев, изучивший решение суда. Затем на экране банкомата появлялась информация о комиссии и предложение подтвердить перевод.
Ошибка в настройках заключалась в том, что банк — владелец банкомата считал, что операцию все ещё можно отменить, а банк получателя — что перевод уже отозвать нельзя. Мошенники отменяли операцию: сумма восстанавливалась на карте отправителя и одновременно проходил перевод. По правилам Mastercard для операций MoneySend банк получателя может не согласиться с отменой операции.
Банк «Москва-сити» подал иск к АО «Компания объединенных кредитных карточек» (работает под брендом UCS) на 9,37 млн рублей. UCS обрабатывает операции в банкоматах «Москва-сити».
Однако суд отклонил иск, поскольку не нашёл доказательств, что к убыткам привели действия ответчиков. 8 мая 2019 года «Москва-сити» подал апелляцию.
После того как об атаке стало известно, Mastercard дала рекомендации, и банки проверили корректность настроек, отмечает Пятиизбянцев. По словам двух источников «Ведомостей», «Москва-сити» не единственный банк, пострадавший из-за таких действий злоумышленников.
В «Москва-сити» сообщили, что инцидент произошел из-за неверно настроенного процессингового сценария UCS. Компания отвечала за настройку софта и сценариев операций, и эта настройка нарушала логику переводов MoneySend.
В «Тинькофф банке» заявили, что следовали правилам Mastercard. «Сбербанк» отказался от комментариев, представители Mastercard и UCS не ответили на запросы.
Всегда уважал людей, которые умеют находить лазейки)
Чтобы найти такую лазейку надо создать такую лазейку. Помоему искать надо где то там. Иначе это величайший аналитик который может строить такие гипотезы и проверять их в короткое время, растрачивает свой дар на какие то 9 млн руб
Или достаточно случайнсти — попробовали перевести 500 руб, отменили и о чудо! «И тут карта поперла».
Может быть и такое, но скоро человеку с такой удачей должно повезти в лотерею миллионов на 30 не меньше)) И не забывайте что ему еще нужно было целенаправленно продолжать эти действия что бы довести до 9 млн. Первая реакция нормального человека при обнаружении не понятных операций на карте позвонить в банк в тех поддержку чтобы выяснить, что происходит (может он и пожалел бы потом поняв упущенную возможность), но осознать что можно сейчас продолжать это делать с полным отсутствием ответственности? Это может или уникальный провидец либо полный дурак которому все пофиг (и тогда в сообщении было бы указано что его задержали по реквизитам карты)
История с создателем патча для WannaCry, думаю, охладила многих «белых шляп».
Каким образом та история должна была охладить белых шляп?
Прежде чем создать публичный инструмент, лучше, наверное, сперва сообщить о своей разработке спецслужбам и безопасникам Microsoft.
Стоп, какой инструмент? И почему Microsoft?
Он разреверсил вирус, нашёл способ остановить его, зарегил домен. После этого он должен был передать код зловреда в Microsoft для решения вопроса о выпуске патча, что он не сделал, а опубликовал уязвимость в открытом доступе.
Бррррр. Он ничего не реверсил, он анализировал его поведение и обнаружил, что тот стучится на незарегистрированный домен, после чего просто зарегистрировал этот домен. Никакой "уязвимости" в открытом доступе он не публиковал. И какой код он должен был передавать в Microsoft?
Но всё-таки - в чём собственно состояла "история", которая должна была охладить белых шляп?
Чувак сделал всё правильно, но его сгубило ЧСВ. И не поделился с сильными мира сего. Мог бы сделать всё втихую, либо эксплуатировать бэкдор, через который вирус заражает систему, в сугубо личных целях. Ведь самое вкусное заключается в том, что он фактически рассекретил механизм, как вирус общается со своим «хозяином». Шёл 2017 год, весьма богатый на вирусные атаки. Но ещё раньше WikiLeaks слил исходники инструментов спецслужб, на основе которых был создан не один образчик заразы. Тогда Microsoft выпустила заплатки, которые смягчили эти бэкдоры, но не устранили их. Поражает удивительное сходство WannaCry с теми RAT от американских спецслужб. После того, как Маркус описал механизм работы вируса, он вывернул бэкдор наизнанку (без уведомления правообладателей). Поэтому, когда после публикации исследования в системе стало на одну лазейку меньше, американские чекисты и припомнили программисту его прошлое.
Кажется это анализ от канала НТВ
Это мамкины ИБшники опять школу прогуливают.
https://habr.com/ru/news/t/448862/
Как там в девятом "Б"?