Безопасность банковских операций и платежей через Интернет

shuravi89:

Вопрос лично к вам расшифровывается так - какие ещё данные (кроме паспортных) лично вы светили в упомянутых вами 3-4 местах и были ли среди них данные вашей карты?

Не в этом сейчас вопрос светил я номер карты или нет? Если я вам отдам данные своего паспорта и номер карты вы снимете у меня со счета деньги?

shuravi89:

В приведенной статье был описан классический вишинг, целью которого был вход в Интернет-банкинг потерпевшей. Паспортные данные (точнее индивидуальный номер) нужны для восстановления логина ...

Ну как получение доступа в интернет банкинг может позволить перевести со счетов деньги?

shuravi89:

Ну вы блин даёте

Вы получили доступ к моему банкингу имея номер паспорта и карты - вперед переводите.

shuravi89:

ЗЫ 3D-Secure или выключен или сообщает потерпевшая ...

Об этом речи в посте неадеквата не было. И при переводе с карты на карту 3D-Secure не запрашивается. Он запрашивается при оплате.

К безопасности денег, хранящихся в банке, у девушки есть вопросы. «Фактически злоумышленник, завладев парольными данными от личного кабинета, которые можно выведать обманным или иным путем, имеет доступ ко всем твоим сбережениям, а не только к карте»

Нигде о сливе сеансовых паролей она не упомянула, поэтому у обывателя складывается впечатление что для того чтобы украсть деньги достаточно узнать номер паспорта и карты. Да еще активно это подогревается неадекватами в виде RET_FRAN. Одним словом девушка явно чего то не договаривает. Поэтому еще раз задам вопрос уже вам. В чем проблема с безопасностью хранения денег в банке при наличии среднестатистических мозгов вместо опилок в черепной коробке? И какую еще защиту должен придумать банк в помощь лохам и идиотам?

shuravi89:

Здрасьте, приехали. Или по-вашему злоумышленник будет развлекаться, гоняя деньги с одной вашей карту на другую же вашу?

В чем различие? При переводе на чужую карту этот же пароль все равно запрашивается.

shuravi89:

Дальше разговор подвели к тому, что на телефон придет код, его нужно будет сказать после звукового сигнала. Я это сделала, на что мне ответили: теперь в порядке…

Привожу смс-ку приходящую на телефон дословно.

Сеансовый пароль для интернет-банкинга 1234. Никому не сообщайте!

Интересно если сейчас банки в рассылаемых смс будут дописывать заглавными буквами В ТОМ ЧИСЛЕ РАБОТНИКАМ БАНКОВСКИХ УЧРЕЖДЕНИЙ - это сильно поможет человеку с пустой головой?

shuravi89:

Отвечаю - всем контрагентам нужно просто соблюдать требования PCI DSS ... а это не только банк-эмитент, банк-эквайер и вся межбанковская цепочка, НО и ОБА участника CNP-транзакции !!!

Боюсь для меня это слишком сложно и нет времени вникать. От себя добавлю что не вижу проблем с безопасностью при соблюдении элементарных правил о которых постоянно напоминает тот же банк.

RET_FRAN, у меня все в порядке с безопасностью банковских операций и платежей через интернет уж поверьте - платить приходится часто и временами на слегка сомнительных ресурсах. Лучше объясните мне на пальцах как соблюдение требований PCI DSS поможет избежать воровства денег у человека, который разве что еще свою душу по телефону дьяволу не отдал.

shuravi89:

А при переводе между своими - НЕТ (только SMS-уведомление)

Здрасьте. Я вам привел пример перевода между своими картами и сеансовый пароль необходим даже в этом случае. В приложении смарта нужно ввести постоянный шестизначный пароль, который пользователь задает при установке приложения.

shuravi89:

Не у всех Банков в ИБ есть сеансовые пароли ((

Ну извините это не мои проблемы. У того же Беларусбанка карта кодов или авторизация по коду пришедшему на номер телефона и без этого в интернет банкинг зная логин пароль попасть невозможно. Поэтому как видим все сводится к низкой финансовой грамотности населения. И я уверен если еще 100500 систем безопасности будет внедрено все равно если доступ в конечном счете будет зависеть от действий клиента банка то все равно будут жертвы. Уже сколько пишут и говорят про эти схемы, но человек который наслышан и у которого изначально возникли сомнения все равно сливает все данные добровольно.

shuravi89:

Ещё раз - сеансовые пароли есть не у всех банков ((

Извините но у меня нет физической потребности быть клиентом всех банков. Могу только предположить что как минимум двухуровневая система идентификации есть в большинстве белорусских банков в том или ином виде и очень сомневаюсь что еще существуют системы где деньги можно увести зная только логин и пароль к интернет банкингу.

shuravi89:

Вот и выходит, что и Банкам есть над чем поработать ...

Поэтому я и хотел узнать существуют ли в мире подобные системы защиты при которых результат зависит от действий клиента, не позволяющие воровства денег со счетов.

ew3:

shuravi89:

Ещё раз - сеансовые пароли есть не у всех банков ((

Извините но у меня нет физической потребности быть клиентом всех банков.

А в жизни выходит, что вы судите по себе и постите свои комменты как будто во всех Банках ИБ работает именно как у БГПБ и по сути критикуете "лошизм" клиентов НЕсвоего банка а равно как и других посетителей этой ветки ...

ew3:

Могу только предположить что как минимум двухуровневая система идентификации есть в большинстве белорусских банков ...

В БНБ до сих пор НЕТ ...

ew3:

и очень сомневаюсь что еще существуют системы где деньги можно увести зная только логин и пароль к интернет банкингу

Так дал же вам цитату про НЕтолько

ew3:

shuravi89:

Вот и выходит, что и Банкам есть над чем поработать ...

Поэтому я и хотел узнать существуют ли в мире подобные системы защиты при которых результат зависит от действий клиента, не позволяющие воровства денег со счетов.

"Подобные" - это какие?

ew3:

Привязка к белорусскому IP. Смешно

Ну во первых не смешно, ибо надо отличать статику от динамики - белый статический IP всегда имеет владельца, который и будет крайним

ew3:

мне как клиенту банка за границей создается масса неудобств

Ну во-первых большинство за границей находится краткосрочно (отпуск, командировка), а во-вторых долгосрочники легко найдут легальный способ опять таки через белый статический IP, имеющий владельца.

ew3:

Я клиент не одного банка и у всех разные принципы защиты, но ни в одном я не вижу возможности украсть деньги зная только часть конфиденциальной информации и без прямого участия владельца счетов

Без 3D-Secure возможны варианты, если ваши ДДК скомпрометированы

ew3:

Что еще можно придумать дабы лох, отдавший все что нужно для доступа к своим деньгам при этом их не потерял.

Банки на этот счёт и думать ничего не будут, ибо (в данном конкретном случае) ответственность целиком и полностью лежит на клиенте

Pashka:

shuravi89, в последнем сообщении все бред

В ответе или вопросе? Если в ответе, то последствиями вишинга занимаются правоохранительные органы а не Банки и вопрос априорной компенсации Банком за то, что фактически "отдал сам" даже не рассматривается ... тут скорее ведётся просветительская работа ...