У петербуржца украли телефон с установленными Госуслугами, а через полтора года на него оформили кредиты на 1 млн рублей Статьи редакции
Мошенники получили доступ к его данным и оформили несколько кредитов в банках и займов в МФО.
В 2020 году у петербуржца Юрия украли iPhone, на котором были установлены Госуслуги — воры успели вывести 3 тысячи рублей со счетов одного из банков, но остальные счета удалось защитить, пишет «Фонтанка».
Юрий перевыпустил карты, сменил пароли и начал пользоваться Госуслугами на новом телефоне — но не подключил двухфакторную аутентификацию по SMS. Мошенники смогли воспользоваться уязвимостью сервиса — так называемым «вечным токеном».
Как поясняет издание, после ввода пароля и логина при первом заходе в Госуслуги устройству выдаётся персонализированный токен, который позволяет в дальнейшем быстро заходить в учётную запись. А после кражи Юрий не отвязал телефон от сервиса.
Как мошенники украли деньги
В июне 2021 года Юрия «выкинуло» из учётной записи на смартфоне. Он успел зайти в профиль на компьютере и увидел, что его данные изменены, а затем его выкинуло и из сайта — и больше он не смог зайти в неё ни с одного устройства.
«Видимо, мой смартфон какое-то время ходил по рукам, пока не попал к профессионалам, которые запустили Госуслуги: токен в них оставался валидным, и система его приняла», — заявил он.
26 июня мошенники оформили от имени Юрия кредитную карту в «Сбербанке» и вывели с нее 420 тысяч рублей на карту банка ПСБ. А ещё взяли несколько займов по 30 тысяч рублей в микрофинансовых организациях. Также они позвонили в «Мегафон», который обслуживал Юрия, и сменили контактный номер — на него были завязаны банки и коды подтверждения.
После этого Юрий обратился в полицию, а после открытия уголовного дела в июле получил рассылку о кредитах от «Газпромбанка», в котором у него не было счетов. В отделении банка он узнал, что на его имя выдали дебетовую карту человеку, у которого был паспорт со всеми данными Юрия — но с чужим фото. Карта была нужна для вывода 420 тысяч рублей — их сняли в одном из банкоматов. Юрий получил все выписки и написал в банк заявление о мошенничестве.
Юрий обратился в «Объединенное кредитное бюро» и получил выписку по своей кредитной истории, связанной со старым паспортом. Выяснилось, что 28 июня он якобы получил в «Совкомбанке» кредит наличными на 600 тысяч рублей и кредитку с лимитом в 30 тысяч рублей. Таким образом, ущерб составил больше 1 млн рублей.
В «Совкомбанке» выяснили, что для оформления кредита не понадобился даже поддельный паспорт — его получали удалённо с помощью электронно-цифровой подписи. Подпись выдали по данным об ИНН и СНИЛС, доступным из Госуслуг. Отозвать её можно только в том центре, где её выдали, а информация есть у банка и Госуслуг — Юрий направил соотвествующие запросы, но ответа не получил.
14 июля две микрофинансовые организации ответили на обращения Юрия и признали недействительными два кредита на 30 тысяч рублей. Как отмечает «Фонтанка» вопрос с банками придётся решать через суды.
Сейчас идет расследование дела, а сам Юрий признан потерпевшим. При этом теперь он боится использовать любые цифровые приложения и где-либо «светить» свой новый паспорт. Он, в частности, не хочет верифицировать свои данные в МФЦ, так как тогда они окажутся на Госуслугах.
В «Сбербанке» «Фонтанке» рассказали, что по ситуации проводится проверка, о результатах которой банк не имеет права сообщать третьим лицам. Такой же ответ дали и в Минцифры. В «Мегафоне» вернули прежний номер и проверили всю историю обращений.
Мое лично мнение, что все эти возможности упрощенного удаленного кредита надо пересмотреть везде кардинально. На всех уровнях. Да, иногда неудобно идти в банк за мелким кредитом. Но лично мне было бы спокойно, если понимаешь, что только личным визитом под камерами с паспортом можно оформить кредит. Еще сто раз подумаешь пока идешь, а нужен ли?
Да тут в истории не чисто что-то и да госумлуги не имеют вечного токена без отпечатка и пинкода для быстрого входа, а по новому ip всегда сессию скидывают, короче по Станиславскому не верю и да сбербанконлайн тупо не умеет так как описали, там кредитная карта это всегда оффлайн, а поддельный паспорт 100% вызвали бы полицию
Еще один момент: Банки и микрокредитные организации обязаны проверять паспорта по базе недействующих паспартов.
Если я правильно понял, в системе "госуслуг" не был зарегистрирован новый паспорт. Внимание вопрос: как недействующий паспорт прошел проверку?
Если такое произошло, жалоба в ЦБ и вопрос практически решен...
Это не теории. Более 20ти лет отработал в ИТ разных банков, сопровождая и настраивая разные продукты.
Был паспорт, его данные утекли, на эти данные сделали левый паспорт и получили по нему кредит. После того как это выяснилось - человек пошёл и свой паспорт поменял на новый, и только тогда данные старого (и левого) попали в базу недействующих.
Тогда, получается, человек некоторое время жил по недействительному паспорту, разумеется, при условии, что "левый" паспорт прошел через все инстанции.
Левый являлся самодельной копией, клоном, с указанием тех же паспортных данных (номер паспорта и тд), только с чужой фотографией. Ни через какие инстанции она пройти не могла да и незачем это.
Так что с паспортом человека было всё ок.
Тогда не понятны проблемы с бануами и микрофинансовыми организациями: фото не его, а значит и кредиты не он брал. Достаточно у них в офисе сказать, что если мой вопрос не будет решен, то я напишу жалобу Регулятору(так на банковском языке называется ЦБ). Они этого боятся: любая обоснованая жалоба чревата внеплановой проверкой. А это ж..па. Без замечаний ее не пройти принципиально...