Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 257
Материальный ущерб никому не нанесен ведь. За что возбуждать дело?
>В цивилизованных странах это уже преступление.
Та привет-банк еще то УГ.
Постоянно деньги куда-то деваются. Бывает даже такое что оплата не до конца проходит, деньги списаны а услуга не оплачена, видимо там о транзакциях никто не слышал…
И по-поводу «Его бы обязательно нашли» знаю сотни живых случаев когда у людей деньги пропадают и все…
Постоянно деньги куда-то деваются. Бывает даже такое что оплата не до конца проходит, деньги списаны а услуга не оплачена, видимо там о транзакциях никто не слышал…
И по-поводу «Его бы обязательно нашли» знаю сотни живых случаев когда у людей деньги пропадают и все…
Кстати был случай у закомого, на чеке написало мелким шрифтом «транзакция будет проведена в течении трех суток». Трое суток! Я в шоке, как быстро деньги ходят в системе… наверное укрпочтой везут…
Возможно нахватаю сейчас минусов, но…
Например, по украинскому аналогу 272?
Т.е. не получая никакого разрешения от привата, он с чьего-то счета перевел себе на карточку сумму. Да, деньги он вернул, но фактически это взлом. Да и как по мне, публично через твиттер ставить в известность приват о том, что у них имеются дыры в безопасности, как-то дико.
Например, по украинскому аналогу 272?
Я попытался несколько раз сделать перевод средств при помощи получения 4 последних цифр карты. У меня это получилось. Чтобы никого не подставлять, сделал перевод на свою карту. После успешного перевода написал в твиттер банка. Потом сотруднику банка.
То есть то, что назвали «мошенническими транзакциями», — это были твои тестовые попытки перевести деньги с одной карточки на другую?
Чтобы доказать, что уязвимость есть, нужно убедиться в работоспособности методов. Для этого случайным образом из базы данных ПриватБанка был выбран человек (фамилия у него как то на «У» начинается, не помню уже). Ну я доказал и пошел все показывать.
Т.е. не получая никакого разрешения от привата, он с чьего-то счета перевел себе на карточку сумму. Да, деньги он вернул, но фактически это взлом. Да и как по мне, публично через твиттер ставить в известность приват о том, что у них имеются дыры в безопасности, как-то дико.
Как говорил мой комбат: Можно и к столбу дое… ся, почему он без фуражки
Чем признаться и страдать — лучше с$%*дить и молчать!)
Он поступил правильно. Может быть это покажется парадоксом, но от честных поступков прибыли бывает больше. Теперь этот программист знаменит, и его с радостью возьмут в СБ многих компаний. И что самое главное — он зарекомендовал себя очень честным и порядочным человеком.
его с радостью возьмут в СБ многих компаний
Главное что бы не после нескольких лет колонии.
Не согласен с тем, что возьмут в СБ многих компаний, т.к. СБ — это не программисты, а чекисты они действуют по факту, а все остальное это проблемы админов.
В случае, когда, например, у вас щипачи вытащат бумажник и отдадут администрации рынка, мол, видите, тут можно любого обокрасть, как вы отнесетесь к пропаже бумажника, осознанию факта, что это было воровство ради тестирования безопасности рынка? И, самое главное, как должна поступить администрация рынка по отношению к человеку, вытащившему бумажник? С моей точки зрения тут все просто: за благими намерениями кроется фактическое воровство (с точки зрения закона, а не справедливости). Да и с точки зрения справедливости тоже не все хорошо: используя такую же логику, мы скоро сможем увидеть всяких скрипт-киддиз разгуливающих по вашим квартире/дому с заявлениями «Я просто тестирую ваш дом на предмет уязвимостей».
Вашу аналогию следует подкорректировать:
— Устройства для ношения бумажников выдает администрация рынка.
— Бумажники на территории рынка носить разрешается исключительно в этих выданных администрацией устройствах. Иначе покупатель на рынок вообще не будет допущен.
— Деньгами из устройства клиент расплачивается не напрямую, а через сотрудников рынка. Сотрудники рынка, как оказалось, подслеповаты и спокойно могут расплатиться с чужого устройства — любого, на которое покажет вор.
Вот теперь аналогия ближе к рассматриваемой ситуации.
И теперь вина администрации рынка просматривается гораздо выше, чем вина человека, который продемонстрировал дырявость нанятых ею сотрудников. Поэтому ее желание сделать козлом отпущения хакера, а не себя, любимую, вызывает отвращение.
Что касается хакера, то его вина в том, что он проверял уязвимость не на своих, а на чужих счетах. Завел бы себе 2 карты и перечислял бы с одной на другую. Согласно вашей 2-ой аналогии: ходил бы по СВОЕМУ, а не чужому дому и проверял бы его на предмет уязвимостей.
— Устройства для ношения бумажников выдает администрация рынка.
— Бумажники на территории рынка носить разрешается исключительно в этих выданных администрацией устройствах. Иначе покупатель на рынок вообще не будет допущен.
— Деньгами из устройства клиент расплачивается не напрямую, а через сотрудников рынка. Сотрудники рынка, как оказалось, подслеповаты и спокойно могут расплатиться с чужого устройства — любого, на которое покажет вор.
Вот теперь аналогия ближе к рассматриваемой ситуации.
И теперь вина администрации рынка просматривается гораздо выше, чем вина человека, который продемонстрировал дырявость нанятых ею сотрудников. Поэтому ее желание сделать козлом отпущения хакера, а не себя, любимую, вызывает отвращение.
Что касается хакера, то его вина в том, что он проверял уязвимость не на своих, а на чужих счетах. Завел бы себе 2 карты и перечислял бы с одной на другую. Согласно вашей 2-ой аналогии: ходил бы по СВОЕМУ, а не чужому дому и проверял бы его на предмет уязвимостей.
его вина в том, что он проверял уязвимость не на своих
Хакер не «проверял уязвимость», а перечислил чужие деньги на свой банковский счет. Если мы позволим оправдывать обращение чужого имушества в свою пользу словами(!), мол, я тестировал уязвимость, то мы получим десятки тысяч ненаказанных уголовников в первый же день.
Я пытаюсь донести простую мысль: чужое брать нельзя. И наш «хакер» с точки зрения закона — вор вне завимости от участия банка в этой истории.
К банку тоже есть вопросы, но это другая история. Нужно подымать законодательство соседей, жаловаться регулятору и пр.
Хакер не «проверял уязвимость», а перечислил чужие деньги на свой банковский счет. Если мы позволим оправдывать обращение чужого имушества в свою пользу словами(!), мол, я тестировал уязвимость, то мы получим десятки тысяч ненаказанных уголовников в первый же день.
Я пытаюсь донести простую мысль: чужое брать нельзя. И наш «хакер» с точки зрения закона — вор вне завимости от участия банка в этой истории.
К банку тоже есть вопросы, но это другая история. Нужно подымать законодательство соседей, жаловаться регулятору и пр.
Хакер не «проверял уязвимость», а перечислил чужие деньги на свой банковский счет.
Проверка уязвимости — это попытка выполнить неразрешенную операцию. В случае с банком — это попытка провести неразрешенную транзакцию. Только успешное проведение неразрешенной транзакции позволяет заявлять о наличии уязвимости. Всё остальное — бла-бла-бла, ничем неподкрепленное.
Если несогласны — попробуйте предложить свой вариант проверки уязвимостей произвольных переводов.
Если мы позволим оправдывать обращение чужого имушества в свою пользу словами(!), мол, я тестировал уязвимость, то мы получим десятки тысяч ненаказанных уголовников в первый же день.
Вы меня не поняли. Прочитайте внимательнее — я нигде не оправдывал обращение чужого имущества в свою пользу. Наоборот, я считаю хакера виноватым: он для своего эксперимента использовал ЧУЖИЕ, а не свои деньги. А если бы использовал свои, то ваша претензия «обращение чужого имущества в свою пользу» превратилась бы в «обращение своего имущества в свою пользу», т.е. потеряла бы смысл. Согласны?
Да, похоже неправильно вас понял, но
он для своего эксперимента использовал ЧУЖИЕ, а не свои деньги
Даже если бы это были его деньги (переводимые с собственного счета на собственный же счет), это опять же — неправомерный доступ к комьютерной информации, просто без причинения ущерба третьим лицам.
По поводу «проверок уязвимостей». Уголовная статься, так или иначе покрывающая множество «операций, совершаемых для получения несанкционированного доступа к тому-то и тому-то» есть, думаю, во всех странах. Соостветственно, даже в поисках уязвимостей всегда есть уголовный подтекст. Никто не будет учитывать «благие намерения» в «поиске уязвимостей»: получил неправомерный доступ — получи срок. Таким образом, программа банка по поиску уязвимостей является (частично) подстрекательством к преступлению.
Мой вариант проверки уязвимостей (на примере банка): делается sandbox-environment с тестовыми счетами и пр. В андроид-приложении устанавливается developer mode. На сайте банка выдается автоматическое разрешение, инструкция к использованию и документ на обеспечение условий для тестирования ИмяФамилия, логины-пароли, сертификаты и остальное, все, что необходимо.
он для своего эксперимента использовал ЧУЖИЕ, а не свои деньги
Даже если бы это были его деньги (переводимые с собственного счета на собственный же счет), это опять же — неправомерный доступ к комьютерной информации, просто без причинения ущерба третьим лицам.
По поводу «проверок уязвимостей». Уголовная статься, так или иначе покрывающая множество «операций, совершаемых для получения несанкционированного доступа к тому-то и тому-то» есть, думаю, во всех странах. Соостветственно, даже в поисках уязвимостей всегда есть уголовный подтекст. Никто не будет учитывать «благие намерения» в «поиске уязвимостей»: получил неправомерный доступ — получи срок. Таким образом, программа банка по поиску уязвимостей является (частично) подстрекательством к преступлению.
Мой вариант проверки уязвимостей (на примере банка): делается sandbox-environment с тестовыми счетами и пр. В андроид-приложении устанавливается developer mode. На сайте банка выдается автоматическое разрешение, инструкция к использованию и документ на обеспечение условий для тестирования ИмяФамилия, логины-пароли, сертификаты и остальное, все, что необходимо.
Я слабо представляю себе ситуацию, когда банк будет создавать sandbox-environment с тестовыми счетами каждому встречному-поперечному.
Представьте, что вы — IT-специалист банка. И приходит к вам начинающий недохакер и заявляет:
— У вас в протоколе обмена я обнаружил некое поле. Если его неправильно заполнить, то платеж станет неверным. Дайте мне возможность поэкспериментировать с его заполнением.
Ну не смешно ли? Во-первых, с чего он решил, что на стороне банка нет проверок этого поля? Может, там их штук 100, просто он о них еще не знает. Во-вторых, будете ли вы всем подряд, кто впервые ознакомился с протоколом обмена, выделять программные и аппаратные ресурсы для проверки их дилетантских догадок и давать упражняться во взломе своей банковской системы?
Мне кажется, это из области фантастики — ни один банк на такое не пойдет. Другое дело, когда речь идет о специализированной компании, профессионально занимающейся тестированием информационной безопасности.
Что касается уголовного подтекста поиска уязвимостей — это отдельный разговор.
С одной стороны, вседозволенность недопустима. А с другой стороны, если любой поиск считать уголовщиной, то это будет способствовать наплевательству на безопасность со стороны разработчиков (что, собственно, и произошло в обсуждаемом случае), а, значит, тоже недопустимо (см. законы Мерфи про дятла, способного разрушить всю цивилизацию).
Представьте, что вы — IT-специалист банка. И приходит к вам начинающий недохакер и заявляет:
— У вас в протоколе обмена я обнаружил некое поле. Если его неправильно заполнить, то платеж станет неверным. Дайте мне возможность поэкспериментировать с его заполнением.
Ну не смешно ли? Во-первых, с чего он решил, что на стороне банка нет проверок этого поля? Может, там их штук 100, просто он о них еще не знает. Во-вторых, будете ли вы всем подряд, кто впервые ознакомился с протоколом обмена, выделять программные и аппаратные ресурсы для проверки их дилетантских догадок и давать упражняться во взломе своей банковской системы?
Мне кажется, это из области фантастики — ни один банк на такое не пойдет. Другое дело, когда речь идет о специализированной компании, профессионально занимающейся тестированием информационной безопасности.
Что касается уголовного подтекста поиска уязвимостей — это отдельный разговор.
С одной стороны, вседозволенность недопустима. А с другой стороны, если любой поиск считать уголовщиной, то это будет способствовать наплевательству на безопасность со стороны разработчиков (что, собственно, и произошло в обсуждаемом случае), а, значит, тоже недопустимо (см. законы Мерфи про дятла, способного разрушить всю цивилизацию).
Другое дело, когда речь идет о специализированной компании, профессионально занимающейся тестированием информационной безопасности
Я понимаю про компанию, но у нас есть специализированная кампания (крутить вниз). Еще раз повторюсь — у нас (и у соседей) невозможно искать уязвимости без попадания на «неправомерный доступ к компьютерной информации», кроме как, например, с использованием способа, который я предложил выше.
Я слабо представляю себе ситуацию, когда банк будет создавать sandbox-environment с тестовыми счетами каждому встречному-поперечному
Не надо каждому — сделать один на всех sandbox-environment и вперед, пусть ищут за денежку. И волки сыты и овцы целы и имидж где надо.
Я понимаю про компанию, но у нас есть специализированная кампания (крутить вниз). Еще раз повторюсь — у нас (и у соседей) невозможно искать уязвимости без попадания на «неправомерный доступ к компьютерной информации», кроме как, например, с использованием способа, который я предложил выше.
Я слабо представляю себе ситуацию, когда банк будет создавать sandbox-environment с тестовыми счетами каждому встречному-поперечному
Не надо каждому — сделать один на всех sandbox-environment и вперед, пусть ищут за денежку. И волки сыты и овцы целы и имидж где надо.
Не надо каждому — сделать один на всех sandbox-environment и вперед, пусть ищут за денежку.
Если вам не нравится слово «создавать», то я могу его заменить на «предоставлять»:
Я слабо представляю себе ситуацию, когда банк будет предоставлять sandbox-environment с тестовыми счетами каждому встречному-поперечному. Даже если sandbox — один на всех.
Обратите внимание: тот же ПриватБанк, на страничку которого вы привели ссылку, желает получать исключительно ГОТОВУЮ информацию, а не создавать условия для ее получения — предоставлять sandbox, документацию, тестовые логины/пароли и т.п. Оно и понятно: чем меньше людей знает, как всё устроено и работает, тем спокойнее банку спать. Поэтому я и не верю, что банки будут заниматься этим.
получил неправомерный доступ — получи срок. Таким образом, программа банка по поиску уязвимостей является (частично) подстрекательством к преступлению.
А разве подобные программы не являются санкцией на доступ в обход средств защиты?
не являются санкцией на доступ в обход средств защиты
Зная любовь к бумажкам всего постсоветского пространства, думаю, что нет. Потому что, например, первое, что попросят правоохранительные органы — «разрешение на доступ в обход средств защиты», заверенное банком с печатями и подписями. И не дай бог там не будет указаны даты, временные промежутки, ответственные лица и т.д. и т.п.
Более того, банк в любой момент может убрать свою кампанию (сроки кампании на сайте не указаны) и сказать, что «нас вообще взломали и мы такую кампанию не проводили».
Если в двух словах — лучше не связываться. Я думаю, что идеальным является только такой вариант: а) находим уязвимости б) сообщаем банку любыми доступными средствами, не ограничиваясь только одним в) ждем 1 месяц, после чего выкладываем информацию на общедоступных блогах и публикуем соответствующий материал на Хабре в соответствующих разделах. Все это на условиях анонимности.
Все остальное — чревато. Особенно, если в свою пользу обращать чужие средства.
Зная любовь к бумажкам всего постсоветского пространства, думаю, что нет. Потому что, например, первое, что попросят правоохранительные органы — «разрешение на доступ в обход средств защиты», заверенное банком с печатями и подписями. И не дай бог там не будет указаны даты, временные промежутки, ответственные лица и т.д. и т.п.
Более того, банк в любой момент может убрать свою кампанию (сроки кампании на сайте не указаны) и сказать, что «нас вообще взломали и мы такую кампанию не проводили».
Если в двух словах — лучше не связываться. Я думаю, что идеальным является только такой вариант: а) находим уязвимости б) сообщаем банку любыми доступными средствами, не ограничиваясь только одним в) ждем 1 месяц, после чего выкладываем информацию на общедоступных блогах и публикуем соответствующий материал на Хабре в соответствующих разделах. Все это на условиях анонимности.
Все остальное — чревато. Особенно, если в свою пользу обращать чужие средства.
В СНГ одни не благодарные твари! Людям добро делаешь причём часто безвозмездно! А они! Сразу в суд. Ублюдки. У меня больше слов нет… Сам с такой реакцией сталкивался, и даже более на меня пытались дело завести…
Меньше читайте советских газет
Вот оригинал истории от главного действующего лица kpishnik.kpi.ua/archives/1114
Все тихо, чинно, и разобрались что к чему. Даже на работу позвали.
Вот оригинал истории от главного действующего лица kpishnik.kpi.ua/archives/1114
Все тихо, чинно, и разобрались что к чему. Даже на работу позвали.
Внимательнее читайте газеты: они сначала типа пригласили и разобрались, а потом подали в суд.
А можно уточнить, где именно писали, что уже подали в суд? В текущей статье упоминается только то, что рассматривают возможность возбуждения дела, но, это не значит, что уже что-то начали делать.
Вот посмотрите документики по другому аналогичному случаю.
Вы же сказали, что они подали на парня в суд, а в качестве факта почему-то отсылаете в 2010 год.
Что-то уже не доступно ((
Интересные там комментарии. Одна «специалистка» даже рассказала нам об этой уязвимости (правда, надо ещё знать номер карты и CVV2-код), которая, по сути дела, является мануалом по «Оплате через интернет».
Не совсем правомерное обобщение. Просто Приват это банк с репутацией. Была бы у меня такая репутация, я бы, наверное, застрелился.
Да не только приват банк. Одна из 30 контор в СНГ поступит нормально остальные начнут или угрожать или просто скажут всё нормально так и должно быть.
Всегда удивляло, у ПБ странная репутация, но как-то мало влияет на жизнеспособность. Такое ощущение, что не репутация определяет успешность (смайлик) этого банка.
В украинском Forbes была замечательная статья о них. Чудесный банк, чудесный хозяин и вообще там Кафка с Кэроллом нервно курят в уголке.
Особые условия НБУ, более половины займов — афиллированым организациям (что наводит на мысль о фиктивных активах), рабовладельческое отношения к сотрудникам банка — это только малая доля того, что можно сказать о нем.
Особые условия НБУ, более половины займов — афиллированым организациям (что наводит на мысль о фиктивных активах), рабовладельческое отношения к сотрудникам банка — это только малая доля того, что можно сказать о нем.
Чела видать по молодости жизнь не била, не усвоил он истину что добрые дела наказуемы. Не только в СНГ, это везде так.
Всем ресерчерам следует уяснить: нашел уязвимость, юзай по-тихому, извлекай выгоду, если посадят то хоть не зазря. А если так уж хочется сообщить об уязвимости, то сообщать надо анонимно и не авторам софта, а всему миру, публикуя сразу рабочий эксплоит в открытых источниках. Только так можно получить положительный исход и не получить по морде.
Всем ресерчерам следует уяснить: нашел уязвимость, юзай по-тихому, извлекай выгоду, если посадят то хоть не зазря. А если так уж хочется сообщить об уязвимости, то сообщать надо анонимно и не авторам софта, а всему миру, публикуя сразу рабочий эксплоит в открытых источниках. Только так можно получить положительный исход и не получить по морде.
На улице гуляет папа с маленькой дочкой. Дочка заметила двух собачек в процессе любви:
— Папа, что собачки делают?
Папа (после паузы, вызванной мыслями как выйти из ситуации):
— Доча, собачка повредила себе лапку и другая собачка тащит ее на себе в больницу.
Дочка:
— Папа, почему этот мир так несправедлив: ты пытаешься помочь кому-то, а тебя еще и трахают за это?!
— Папа, что собачки делают?
Папа (после паузы, вызванной мыслями как выйти из ситуации):
— Доча, собачка повредила себе лапку и другая собачка тащит ее на себе в больницу.
Дочка:
— Папа, почему этот мир так несправедлив: ты пытаешься помочь кому-то, а тебя еще и трахают за это?!
«Нужно понимать, что он хакер. В цивилизованных странах это уже преступление.»
Какая чушь.
Какая чушь.
«Он умеет пользуется интернетом, в цивилизованных странах это уже преступление!»
Скоро так и будет
Скоро так и будет
Если мне память не изменяет, в истории был период, когда было «он умеет читать и писать, это уже преступление». Как бы до такого обратно не докатились :(
Само слово «хакер» уже сто лет в обед как не используется для обозначения «компьютерных взломщиков» — им преимущественно называют людей, которые любят что-то разбирать и модифицировать, заставлять работать «не так как задумано» — без преступной цели. Отсюда всякие лайфхакеры и т.п.
Что же касается цивилизованных стран, я хотел бы увидеть этот кодекс в котором есть статья «бытие хакером наказывается сроком лишения свободы в столько-то лет такого-то режима». Здесь правильно заметили что в цивилизованной стране этого программиста попытались бы взять на работу, да за приличную зарплату.
Что же касается цивилизованных стран, я хотел бы увидеть этот кодекс в котором есть статья «бытие хакером наказывается сроком лишения свободы в столько-то лет такого-то режима». Здесь правильно заметили что в цивилизованной стране этого программиста попытались бы взять на работу, да за приличную зарплату.
Hacker (programmer subculture), who combines excellence, playfulness, cleverness and exploration in performed activities.
Wikipedia
Само слово «хакер» уже сто лет в обед как не используется для обозначения «компьютерных взломщиков»
Скажем так — оно особо и не использовалось для такого обозначения кроме как в жёлтых СМИ, а потом постепенно получило такое значение.
Ну или хотя бы спасибо сказали и рекомендацию дали (или даже заплатили, зависит от жадности), если им не нужен сотрудник в штат.
В Приватбанке студенты работают по $200 в месяц (может сейчас чуть больше). Про них уже легенды ходят. Так что даже, если предложат — надо бежать.
Вы не поверите, но там платят $2000-3000
Слухи? Или можете как-то доказать?
это не мешает им вносить правки «наживую» и ломать продакшн-сайт с завидной регулярностью
ИМХО, пусть лучше так, чем как остальные украинские банки в каменном веке застряли… У кого еще из украинских банков есть приложения для смартов?
Райффайзен, к примеру. Ну а то что приветбанк — «нечист на руку», убедился на личном опыте. Хотя, есть и покруче них.
СПДшникам райфайзен предлагает клиент для Windows Mobile. Очень современно, да
Про СПД не знаю, у меня счёт в Кредобанке, там веб-банкинг. Ну а если Вам «современность банка» важнее собственного достоинства — вопросов не имею.
Плакатик из теории большого взрыва jpg
Последняя версия Windows Mobile (не Windows Phone!) выпущена в 2010 году. Устройства под нее массово прекратили выпускать и того раньше.
Последняя версия Windows Mobile (не Windows Phone!) выпущена в 2010 году. Устройства под нее массово прекратили выпускать и того раньше.
Особенно меня прикалывает как всех клиентов привет-банка обязывают быть «мартышками с кредитками» на фотографиях… так и представляю себе внутренний ресурс привата: «Наши клиенты зверята». При попытке подобного плана фотографии, послал их нахрен. Впрочем, потом вообще их послал, хотя эти дегенераты до сих пор звонят, настаивая что у меня есть карточка, открытая в 2004 году и закрытая в 2005, а у них в системе она до сих пор не закрыта… короче, банк для клиентов «с приветом»… И плевать я хотел на их сеть банкоматов по всей стране, включая их банкинг.
Мне наяривали год. Требовали денег. Я требовал письменных претензий. В конце концов сказал «а я вообще не уверен что вы — представитель банка». Следующий раз перезвонили через полгода. Предложили услуги. На требование прекратить звонки дико удивлялись. Но звонить перестали.
Не надолго… я им писал о прекращении работы с ними уже раз 50 за последние 2-3 года, как СПД закрыл, так с этим развод-банком работать и не хочу… :)
Вообще непонимаю клиентов банка… одним из последних нововведений у банка, оказалось введение комиссии за снятие денег в собственных же банкоматах О_о У меня паника была просто от этого дятлизма… нет, мне не жалко копеек тех которые оплачиваются… но студент снимающий 20 грн из стипухи на сигареты, к примеру, и вынужденный заплатить 1-2 грн комиссии… Что с вами не так, люди?!!!
Вообще непонимаю клиентов банка… одним из последних нововведений у банка, оказалось введение комиссии за снятие денег в собственных же банкоматах О_о У меня паника была просто от этого дятлизма… нет, мне не жалко копеек тех которые оплачиваются… но студент снимающий 20 грн из стипухи на сигареты, к примеру, и вынужденный заплатить 1-2 грн комиссии… Что с вами не так, люди?!!!
Подайте заявление в милицию или прокуратуру. По закону они не имеют права хранить и обрабатывать личные данные клиентов, не имея на то письменного согласия клиента. Закон ввели в 2011-м. На архив не распространяется (обратной силы не имеет).
Кроме того, срок исковой давности по хозяйственным делам — 3 года. Т.е. если они не подали в суд спустя 3 года после «расставания» — это вымогательство.
Кроме того, срок исковой давности по хозяйственным делам — 3 года. Т.е. если они не подали в суд спустя 3 года после «расставания» — это вымогательство.
Ой, поверьте, этот закон до заднего места. Пройденный этап уже… Проще посылать их во всех направлениях. А вообще если звонят с 092 — то это значит привет-бонк.
PS: я им еще и people.net простить не могу… из интересного оператора сделали г@в#о :)
PS: я им еще и people.net простить не могу… из интересного оператора сделали г@в#о :)
Ну, у меня заткнулись после тонких намёков.
люди.нет — это вообще фейерично.
люди.нет — это вообще фейерично.
Без наездов… :) People.Net первый кто начал приличное что-то предоставлять по ценам. Развязало руки, и увеличило радиус действия моих поездок сначала до 50 км за город. Потом правда перешел на Интертелеком и увеличил радиус действия до водоема на котором и рыбу половить и поработать можно… :)
А вот когда эти пинчеры выкупили пиплонет, оно окончательно здохло.
А вот когда эти пинчеры выкупили пиплонет, оно окончательно здохло.
Сдохло оно через год после покупки. Мне для поездок за город кроме них альтернативы нет, покрытие в том районе только у них и GSM. Так что ой.
А CDMA от Intertelecom не пробовали? Модем кстати перепрошить пипловый можно, если у Вас еще rev.A остался. А интер сейчас в принципе много чего покрывает, у Вас не указан регион, думал на карте глянуть: www.intertelecom.ua/ru/aboutcompany/cmap
До 2Мбит я имею практически везде. Разве что в Закарпатье в горах не везде ловит (в селах — есть).
До 2Мбит я имею практически везде. Разве что в Закарпатье в горах не везде ловит (в селах — есть).
Пробовали, правда тогда это ещё был CDMA.UA. Половина села с покрытием, половина — без. Мне надо как раз там, где покрытия нет.
www.intertelecom.ua/ua/aboutcompany/cmap/dn
Судя по карте, ситуация не изменилась.
www.intertelecom.ua/ua/aboutcompany/cmap/dn
Судя по карте, ситуация не изменилась.
CDMA UA и Интертелеком — это вооообще разные операторы, и друг с другом никогда отношений не имели. Если половина села с покрытием, вторая без, то я лично у себя ставил усилитель (чтобы к теще достало), а потом нажаловалсфя в интер… через 4 месяца — поставили новую вышку. Они как-то подозрительно, но относительно быстро реагируют на такие запросы.
Блин, все, кончаю про Интер писать, а то опять скажут что я в интертелекоме работаю :)
Блин, все, кончаю про Интер писать, а то опять скажут что я в интертелекоме работаю :)
Ко мне с городских звонили. 056 — код Днепра вроде.
Кому? У них вакансии на сеньор разработчика 500-600$, недавно смотрел.
Книга есть такая- The Lure (S. Schroeder). Там отлично изложена история про двух челябинских специалистов, которых пригласили на работу в США. Контракты, помнится, вышли лет по 5-7 с бесплатным проживанием и одеждой с едой на шару.
А Google, Facebook, Mozilla, Microsoft, которые платят за найденные баги, несомненно, находятся в каком-нибудь Сомали, да.
Ну, хакеру, который запостил что-то на стену Цукерберга через уязвимость, так и не заплатили, хотя в предыдущие полгода он несколько раз писал отчёт об этой уязвимости в их службу поддержки.
Программа «Bug Bounty» есть и у ПриватБанка, начиная с 2011 года.
Называется она «Поиск IT-уязвимостей»: privatbank.ua/safeness/
Называется она «Поиск IT-уязвимостей»: privatbank.ua/safeness/
Если Вам известны «слабые места» в банковских системах, а также любых веб-ресурсах ПриватБанка, сообщите об этом нам и получите вознаграждение до 10 000 гривен в случае подтверждения и устранения уязвимости специалистами Банка.
Ну не говорить же, что мы идиоты и запустили в паблик дырявое приложение, которое позволяет кому угодно распоряжаться деньгами наших клиентов — поэтому надо срочно свалить с больной головы на здоровую!
А к Приватбанку один вопрос: ВЫ ОХЕРЕЛИ ТАМ? Я ваш клиент уже 7 лет, и знаете, что я сейчас делаю? Я ищу другой банк!
А к Приватбанку один вопрос: ВЫ ОХЕРЕЛИ ТАМ? Я ваш клиент уже 7 лет, и знаете, что я сейчас делаю? Я ищу другой банк!
А кто их вообще за язык тянул? Заплатили бы человеку, но при этом попросили подписать NDA — и дело с концом.
А так они заяву накатали на ровном месте, и думали что огласки не будет? По сути сами же ее и создали.
А так они заяву накатали на ровном месте, и думали что огласки не будет? По сути сами же ее и создали.
Там не понимают этого, они и в перспективе ничего не видят даже — следующий раз фиг кто скажет, что нашел в них баг — быстрее продаст на черном рынки (или на крайняк использует сам). В результате банк потеряет кучу денег из-за использования уязвимости и еще больше репутации в случае поднятия шуму людьми, у которых пропадут деньги.
Вы только сейчас начали искать другой банк? Да вы сударь терпеливый.
Кстати как идентифицируют что ты хакер?
Это на лбу надпись светится? По моему любой разработчик может сделать анализ работу чужого софта, разве все программист хакеры?
Это на лбу надпись светится? По моему любой разработчик может сделать анализ работу чужого софта, разве все программист хакеры?
Очень просто: если ты нашел баг в чужой системе, ты — хакер, а это преступление!
Правильно! Ибо обычные люди пользуются сервисами, а не ищут в них уязвимости.
Обычные люди, «продвинутые пользователи» тоже вполне могут случайно натолкнуться на баг, и понять его суть. В этом случае преступлением станет любопытство и желание помочь сотрудникам банка исправить их ошибку :)
Нет. Ибо это автоматически делает обычного человека «хакером». Честный человек должен закрыть глаза и пройти мимо. Да-да. Именно так оно и должно работать по мнению закона.
Мне очень жаль, что у нас не такое общество, в котором есть только честные люди. В таком обществе и банков бы не было.
Как связаны банки и (не)честность?
Это комплексный вопрос. Но в частности, в уважаемом себя обществе не будет мысли выдавать кредиты под 56% годовых.
Если заемщик об этом уведомлен, то почему нет?
Ну так ставки напрямую от рисков и сроков зависят.
Обеспеченные недвижимостью ипотечные кредиты вот вполне себе недорогие.
А кредит-займ на неделю без проверки платежеспособности — естественно, будет дорогой (и не 56%, а вполне и все 560% может быть), иначе кредитор превратится в благотворительную организацию )
Обеспеченные недвижимостью ипотечные кредиты вот вполне себе недорогие.
А кредит-займ на неделю без проверки платежеспособности — естественно, будет дорогой (и не 56%, а вполне и все 560% может быть), иначе кредитор превратится в благотворительную организацию )
И даже 730% вполне реально :)
Он естественно дорогой, т.к. отсутствует фактор честности и самоуважения, как было отмечено выше.
С обеих сторон.
Да само понятие инфляции, которым оправдывают процент на кредит, не должно существовать.
С обеих сторон.
Да само понятие инфляции, которым оправдывают процент на кредит, не должно существовать.
Да само понятие инфляции, которым оправдывают процент на кредит, не должно существовать.
Как так не должно? Куда же она денется? )
Процент на кредит обуславливают обычно двумя вещами:
— прибылью (большей инфляции как правило) — инвестору будет неинтересно давать деньги в долг без получения прибыли
— рисками — инвестор должен учитывать риск того, что кто-то кредит не вернет и понесет убытки.
— прибылью (большей инфляции как правило) — инвестору будет неинтересно давать деньги в долг без получения прибыли
— рисками — инвестор должен учитывать риск того, что кто-то кредит не вернет и понесет убытки.
«Реверс-инженеринг — нарушение EULA;-)». Дальше от этого можно плясать куда угодно…
Что за привычка ссылаться на практику «в цивилизованных странах», обосновывая репрессивные действия. Как в хороших начинаниях брать пример с цивилизованных стран, так нет — «у нас свой путь».
Надо понимать, что у них система безопасности бьет тревогу даже когда переводишь деньги между своими картами в разных банках. Так что приведенный аргумент(со стороны привата) для меня сомнителен.
Самое страшное, что все логичные доводы (изменил для целей показа, никаких денег не заработал, уведомил сразу банк и пр.) нашим «самым гуманным судом в мире» не будут услышаны, ведь у истца есть связи и миллионы. У нас так людей за клевету на форумах штрафуют — написал, что «фирма Рога и Копыта не выполнила мне ремонт, гандоны долбаные», и получаешь потом штраф или исправительные работы.
Ну как аукнется так и откликнется.
ПриватБанк те еще неадекваты. Стоит только поискать:
habrahabr.ru/post/78599/
habrahabr.ru/post/93643/
habrahabr.ru/post/138429/
habrahabr.ru/post/104233/
habrahabr.ru/post/111853/
Кстати, вчера по всей Украине лежала куча их POST-терминалов, Приват24 не работал, мерчанты постоянно выдавали ошибки (у нас штук 50 платежей не ушло из-за бредовых ошибок вроде «Невозможно оплатить с мерчанта 0» и ошибок SSL).
habrahabr.ru/post/78599/
habrahabr.ru/post/93643/
habrahabr.ru/post/138429/
habrahabr.ru/post/104233/
habrahabr.ru/post/111853/
Кстати, вчера по всей Украине лежала куча их POST-терминалов, Приват24 не работал, мерчанты постоянно выдавали ошибки (у нас штук 50 платежей не ушло из-за бредовых ошибок вроде «Невозможно оплатить с мерчанта 0» и ошибок SSL).
Может они как Apple сейчас начнут перелопачивать всю систему безопасности и закроются на 2-3 недели. :)
действительно ПРИВАТ
Не ошибается тот, кто ничего не делает. У остальных украинских банков android-приложений вообще нет, и с клиент-банками все грустно
Неправда. ИМХО фигачить под все и вся приложение не есть правильная тактика. Достаточно одного качественного веб-интерфейса для ЛЮБОГО устройства.
Клиент-банки есть у многих банков в Украине.
У приват-банка он, имхо, самый сложный и запутанный.
Клиент-банки есть у многих банков в Украине.
У приват-банка он, имхо, самый сложный и запутанный.
Он может и сложный (хотя как по мне — не сложнее OTP'шного), но зато гораздо функциональней.
Например я узнавал у того-же OTP — их интернет-банк не позволяет проводить обмен валют, а для меня это нужная операция, хотя может их сотрудница неправильно выразилась. Не говоря уже об интерфейсе для пополнения телефона, покупки билетов, пополнения своего счета через любую карту и прочего функционала.
Например я узнавал у того-же OTP — их интернет-банк не позволяет проводить обмен валют, а для меня это нужная операция, хотя может их сотрудница неправильно выразилась. Не говоря уже об интерфейсе для пополнения телефона, покупки билетов, пополнения своего счета через любую карту и прочего функционала.
А кроме ОТР других банков нет, у меня не Приват уже много лет как отказался работать с этим дерьмобанком, есть карты нескольких других банков и там очень даже вменяемый клиент-банк, включая любые платежи, покупки и т.п. Рекламировать не буду, если нужно найдете функциональный клиент-банк за пол часа просто позвонив в службу поддержки разных банков.
Да есть другие банки, это те два — которыми я пользуюсь лично. Остальные знаю только по рассказам. Но это не только мое мнение, что ПБ по количеству услуг в онлайн-банке (к сожелению, не по качеству) заметно опережает другие банки.
Рекламировать не буду
Рекламировать не надо. Просто оставьте ссылку.
Лично мне нравится клиент Альфа Банк (Украина), как веб так и мобильное приложение. Из фишек, которых нет больше почти ни у кого — блокировка/разблокировка проверки cvv, что позволяет не напрягаться и платить со своей карты в любой точке мира онлайн, не думая, что тебя подцепят на регулярные платежу. Из негатива, по слухам, отвратительное обслуживание кредитуемых клиентов, но я кредиты не беру так что сервис устраивает.
Приходится работать с ПБ только потому, что у каждого клиента есть карта ПБ. Хоть об этом банке и известно много гадостей, нас это ниразу не коснулось.
Несмотря на всю косность службы безопасности (а именно они, судя по всему, и начали создавать видимость бурной деятельности, как это было в своё время с детектором лжи), их IT-подразделение, хочу заметить, занимается экспериментальными и передовыми (как минимум, для Украины) разработками в сфере интернет-банкинга. Это в ПБ я впервые получил возможность работать со своими счетами в терминалах и банкоматах даже без карты в кармане. Это у них есть мобильный платёжный терминал (первый и, пока, единственный в Украине). Это на тематической встрече, организованной ими, я смог увидеть одни из первых Google Glass в Украине. И, кстати, они экспериментируют с Приват24 для Google Glass.
Имея карты и счета в других банках, более удобного веб-сервиса я не знаю.
Несмотря на всю косность службы безопасности (а именно они, судя по всему, и начали создавать видимость бурной деятельности, как это было в своё время с детектором лжи), их IT-подразделение, хочу заметить, занимается экспериментальными и передовыми (как минимум, для Украины) разработками в сфере интернет-банкинга. Это в ПБ я впервые получил возможность работать со своими счетами в терминалах и банкоматах даже без карты в кармане. Это у них есть мобильный платёжный терминал (первый и, пока, единственный в Украине). Это на тематической встрече, организованной ими, я смог увидеть одни из первых Google Glass в Украине. И, кстати, они экспериментируют с Приват24 для Google Glass.
Имея карты и счета в других банках, более удобного веб-сервиса я не знаю.
Почему я отказался от работы с приватом, было 3 прецедента:
1) Находясь не в своем городе, банкомат сожрал карту, нужны были срочно деньги, в наличии был паспорт и загран-паспорт, в отделении мне отказали в выдаче денег с моего счета, т.к. внимание, у меня нет карты, перевыпуск карты занял почти месяц.
2) После попытки нелегально списать деньги с моей карты, попытался закрыть свой счет, но не смог получить деньги оставшиеся там сразу, процедура заняла 2 недели со звонками в главное отделение.
3) Через 3 года после того как перестал пользоваться их услугами (все счета закрыл, со скандалом по пункту 2) мне начали названивать представители банка и в ультимативной форме требовать погасить задолженность, так как якобы у меня остались не закрытые счета (какая-то хрень типа подарочной карты, которая выпускается без ведома клиента) и тададам они мне насчитали комиссию за ее обслуживание, естественно были посланы в жопу суд, но звонки не прекратились, хорошо у них был старый номер, который не жалко было выбросить (на заметку тем кто открывает у них счета, в информации указывать отдельный номер).
В дополнение на товарища они оформили кредит, который он не открывал, доказывал через суд, банк не смог предоставить копию договора с его подписью, та копия что была, была подписана не им, соответственно экспертиза подписи и испорченные нервы на пол года. Про их говносервис liqpay, который теряет платежи через раз еще можно рассказать. Хуже сервиса нет ни у одного банка, в плотную к ним стремится Аваль, но пока даже близко не догоняет, зато банкоматы по всему городу — это да, хотя нафига они нужны если карты принимают в любом магазине, не ясно. В кошельке обычно гривен 200 мелкими купюрами, на проезды, и всякие мелочи, остальное на картах ибо удобней.
1) Находясь не в своем городе, банкомат сожрал карту, нужны были срочно деньги, в наличии был паспорт и загран-паспорт, в отделении мне отказали в выдаче денег с моего счета, т.к. внимание, у меня нет карты, перевыпуск карты занял почти месяц.
2) После попытки нелегально списать деньги с моей карты, попытался закрыть свой счет, но не смог получить деньги оставшиеся там сразу, процедура заняла 2 недели со звонками в главное отделение.
3) Через 3 года после того как перестал пользоваться их услугами (все счета закрыл, со скандалом по пункту 2) мне начали названивать представители банка и в ультимативной форме требовать погасить задолженность, так как якобы у меня остались не закрытые счета (какая-то хрень типа подарочной карты, которая выпускается без ведома клиента) и тададам они мне насчитали комиссию за ее обслуживание, естественно были посланы в
В дополнение на товарища они оформили кредит, который он не открывал, доказывал через суд, банк не смог предоставить копию договора с его подписью, та копия что была, была подписана не им, соответственно экспертиза подписи и испорченные нервы на пол года. Про их говносервис liqpay, который теряет платежи через раз еще можно рассказать. Хуже сервиса нет ни у одного банка, в плотную к ним стремится Аваль, но пока даже близко не догоняет, зато банкоматы по всему городу — это да, хотя нафига они нужны если карты принимают в любом магазине, не ясно. В кошельке обычно гривен 200 мелкими купюрами, на проезды, и всякие мелочи, остальное на картах ибо удобней.
А личным сообщением прорекламировать тоже никак?
После того как я увидел их UI для клиентов у меня напрочь отпало желание иметь с ними дело, поскольку такой же хаос наверняка вторится и во всем остальном. Ну а о секьюрности, думаю, можно не говорить, посольку судя по UI/UX денег в back-office вложили маловато.
Из всех перечисленных операций в моембанке нет только обмена валют (не особо и надо).
Остальное все можно сделать на специальных сайтах (билеты, телефон etc).
Из всех перечисленных операций в моембанке нет только обмена валют (не особо и надо).
Остальное все можно сделать на специальных сайтах (билеты, телефон etc).
субъективно: пользовался ПБ, дельта и пумб.
В последнем у меня их клиент-банк под линуксом не запустился, саппорт заявил, что они не поддерживают ничего, кроме виндовс (при том, что это java-апплет и, по хорошему, должен одинаково работать во всех ОС). После переписки с саппортом выяснили ошибку и протестили на их дев. сервере, еще через месяц они залили обновление на прод. В это время я уже не был их клиентом.
Клиент-банк от дельты запустился без проблем, но, по сравению с тем же приват24, он куда более сложный и непонятный
В последнем у меня их клиент-банк под линуксом не запустился, саппорт заявил, что они не поддерживают ничего, кроме виндовс (при том, что это java-апплет и, по хорошему, должен одинаково работать во всех ОС). После переписки с саппортом выяснили ошибку и протестили на их дев. сервере, еще через месяц они залили обновление на прод. В это время я уже не был их клиентом.
Клиент-банк от дельты запустился без проблем, но, по сравению с тем же приват24, он куда более сложный и непонятный
Я вот как раз недавно интересовался, даже здесь в Q&A вопрос оставил. Подскажите, у кого в Украине есть работающий веб-интерфейс для СПД? Все остальные в лучшем случае используют страшненький джавовский iFOBS, в худшем случае (аваль) вообще какое-то глючное говно, написанное студентами за еду.
ну POS же… айтишный ресурс, блин :)
Надо понимать что за такую дыру в протоколе по голове гладить не будут. В первую очередь отгребут работники ПриватБанка. Какой выход? Свалить вину на кого-то еще. Это вообще прекрасный оборот:
И репутацию подмочили и о дальнейшем сотрудничестве речи быть не может. Кто из разработчиков захочет им рассказывать где у них еще прокол? Я бы не рассказывал.
Изъян в системе, который он нашел, не является страшным, не особенно угрожает клиентам банка.
И репутацию подмочили и о дальнейшем сотрудничестве речи быть не может. Кто из разработчиков захочет им рассказывать где у них еще прокол? Я бы не рассказывал.
Взаимоисключающие параграфы?
privatbank.ua/safeness/
Даже высокий уровень безопасности не означает полную неуязвимость!
Если Вам известны «слабые места» в банковских системах, а также
любых веб-ресурсах ПриватБанка, сообщите об этом нам и получите вознаграждение до 10 000 гривен в случае подтверждения и устранения уязвимости специалистами Банка.
privatbank.ua/safeness/
Подождите, ведь парень написал сотруднику ПриватБанка в Днепропетровск, написал служебку в СБ Киевского отделения, это разве не доказательства предупреждения об опасности, а не использование ситуации в корыстных целях? Единственная подстава — подмена официального приложения банка, надо было этот момент как-нибудь заверить с указанием факта именно демонстрации возможностей ошибки.
Но в целом, конечно, мрази, это очевидно.
Но в целом, конечно, мрази, это очевидно.
Эмм насколько я понял официальное приложение банка он подменил у себя на телефоне или на телефоне сотрудников безопасности банка для демонстрации, ни в коем случа не на гугл сторе. Так что не вижу тут никаких проблем.
Поаправьте если я не так понял.
Поаправьте если я не так понял.
По-совести проблем нет. Но если прочесть цитату
Я думаю, что если у него есть документальные доказательства, так сказать, раннего оповещения банка, то всё гораздо веселее, чем кажется, т.к. тут уже банку придётся доказывать, что действия Мохова в момент демонстрации уязвимости носили противоправный характер. Хотя я бы такой разговор всё равно вёл под диктофон, как минимум, или вообще начал бы общение только по предварительному подписанию документов, снимающих с меня ответственность за ситуацию с такой уязвимостью. Я не знаток УК Украины, но основопологающие моменты должны совпадать с УК РФ, как мне кажется.
Как только Мохов попытался перевести чужие деньги, наша система безопасности забила тревогуто видно, что его действия вырвали из контекста ситуации. По факту-то он действительно попытался перевести деньги и факт тревоги СБ тоже налицо. Только интерпретация действий мразотная, якобы это их заслуга в поимке «опасного хакера».
Я думаю, что если у него есть документальные доказательства, так сказать, раннего оповещения банка, то всё гораздо веселее, чем кажется, т.к. тут уже банку придётся доказывать, что действия Мохова в момент демонстрации уязвимости носили противоправный характер. Хотя я бы такой разговор всё равно вёл под диктофон, как минимум, или вообще начал бы общение только по предварительному подписанию документов, снимающих с меня ответственность за ситуацию с такой уязвимостью. Я не знаток УК Украины, но основопологающие моменты должны совпадать с УК РФ, как мне кажется.
Действия безусловно носили противоправный характер, но т.к. он связывался с СБ банка и проводил действия в их присутствии, то значит у него не было умысла. А, соответственно, нет и состава преступления. Так что, по уму, суд ему не грозит.
До того, как он демонстрировал эти действия в присутствии СБ банка, он протестил работоспособность дырки.
Чтобы доказать, что уязвимость есть, нужно убедиться в работоспособности методов. Для этого случайным образом из базы данных ПриватБанка был выбран человек (фамилия у него как то на «У» начинается, не помню уже). Ну я доказал и пошел все показывать. Опять-таки все описал в объяснительной записке.
Таких идиотов еще поискать нужно.
В таких случаях выносят благодарность и поощрение. Обычно в долларах США.
А не бочку катить и пытаться свое самолюбие поддерживать на должном уровне, закрывая глаза на калечность своего ПО.
В таких случаях выносят благодарность и поощрение. Обычно в долларах США.
А не бочку катить и пытаться свое самолюбие поддерживать на должном уровне, закрывая глаза на калечность своего ПО.
Чтобы доказать, что уязвимость есть, нужно убедиться в работоспособности методов. Для этого случайным образом из базы данных ПриватБанка был выбран человек (фамилия у него как то на «У» начинается, не помню уже). Ну я доказал и пошел все показывать. Опять-таки все описал в объяснительной записке.
ИМХО, тут он немного переборщил.
Деньги то он вернул на ту же карту, меня больше смущает фраза:
т.е. у кроме всего прочего есть еще и доступ к базе клиентов?
Для этого случайным образом из базы данных ПриватБанка был выбран человек
т.е. у кроме всего прочего есть еще и доступ к базе клиентов?
Оказалось, что банк позволял еще и переводить средства с карты на карту хоть в другой банк, хоть в другую страну (через Visa/Mastercard). Это помимо доступа к конфиденциальным данным человека (баланс, счета, кредиты, депозиты в банке)
Судя по всему, если и не было доступа к общему списку клиентов, то перебором информацию получить таки можно
)) в случае открытия уголовного дела, предлагаю всем клиентам ПриватБанка подать иск на ПриватБанк, так как дырка в безопасности их программного обеспечения позволили третьему лицу получить доступ к персональной инормации, которая, по закону, должна защищаться банком. То есть из-за халатности работы банка каждому клиенту был нанесен моральный ущерб, как минимум. Думаю, размер компенсации может заставить банк хорошо задуматься о своем иске.
П.С. Если в чем неправ, то более сведущие в юриспруденции хабравчане меня поправят.
оффтоп. вот и пригодилась незакрытая карточка ПриватБанка.
П.С. Если в чем неправ, то более сведущие в юриспруденции хабравчане меня поправят.
оффтоп. вот и пригодилась незакрытая карточка ПриватБанка.
В этом случае нужен коллективный иск + грамотно составлен грамотным юристом.
По одиночке мало кто захочет судится с ПБ
По одиночке мало кто захочет судится с ПБ
по коллективному иску как раз банк может выиграть. и обработать один коллективный иск намного проще, чем тысячи одиночных. идея как раз в том, чтобы исков было много. основная идея не в том, чтобы выиграть эти иски. нужно, чтобы они просто были. думаю, что юристы меня поймут. Да и виновнику я отписал свою идею/позицию, посмотрим, что он скажет. нужно, чтобы он сам для начала проконсультировался со своим юристом по этому поводу. ведь подобная деятельность может и повредить ему каким то образом, который я могу банально не заметить.
Скажите, я правильно понял, что он ранее работал в компании Samsung и проекте Viewdle?
Ему не нужно было переводить чужие деньги, взял бы свою карту и продемонстрировал. Я сам не однократно находил уязвимости в их сервисах, подавал заявки и получал вознагрождение. Но я использовал только свои карты.
Нужно было продавать уязвимость тем, кто сможет ей распорядиться. Заработал бы себе на лексус, а у СБ банка появилась бы возможность показать, как они бы действовали против настоящих хакеров. К сожалению, у нас в стране банки понимают только такие методы.
В ближайшие две недели руководство банка решит, возбуждать ли дело по этому факту.
Что за нелепость. Дело возбуждают правоохранительные органы.
ПриватБанк ответил неожиданно, обвинив программиста в попытке украсть средства со счетов клиентов банка.
Честно говоря, ПриватБанк ответил ожидаемо. Это далеко не первый случай такой реакции со стороны ПриватБанка на письма программистов, где указываются конкретные уязвимости.
Мой знакомый довольно долго «шел на принцип», выискивая уязвимости и заваливая банк письмами с требованиями исправить ошибки (причем письма он составлял с юристом — и на основании своего клиентского договора с банком именно требовал обеспечить безопасность в том числе собственных денег). Результат нулевой, если не считать попыток травить его собственной СБ, милицией и судами.
В общем, суть моего комментария проста. Реакция ПриватБанка — не случайность, а последовательная политика компании.
как я писал выше, требования что то делать воспринимаются широкой русской душой как надругательсвто. а есил бы требовали компенсации за преступное и халатное бездействие, то реакция была бы как нужно. правда могу ошибаться. Но, данный случай может дать всем нам шанс проверить это. если хотя бы 5000 клиентов подадут иск, то ПБ как минимум прийдется задействовать большие человеческие ресурсы для обработки и ответов на все эти иски. да, сумма компенсации (1000-5000) может оказаться для банка совсем небольшой и им проще будет откупиться, но тут уже дело принципа. можно или оставить случай без внимания, а можно уже начинать проявлять свою жизненную позицию.
Надо понимать, что "хакер" != «преступник».
Неправду пишете
К сожалению, ему нет равных по количеству банкоматов и отделений… Банкоматы есть везде. У нас в Николаеве нужно еще поискать перекресток без банкомата привата.
А в плане некомпетентности — тут согласен, бывает. Сам им пару раз объяснял как что-то у них женеработает. Если нужно сдать что-то не стандартное — лучше в отделение не идти. Пишешь им в «чатик» и через 5-40 минут проблема обычно решается. С решением уже можно идти в отделение, если это нужно.
Зато еще к достоинствам можно отнести очень функциональный клиент-банк. Далеко не во всех баках есть подобные возможности.
А в плане некомпетентности — тут согласен, бывает. Сам им пару раз объяснял как что-то у них же
Зато еще к достоинствам можно отнести очень функциональный клиент-банк. Далеко не во всех баках есть подобные возможности.
С другой стороны из пятка банков только Приват смог решить мои проблемы, пускай и долго транзакции длятся.
И это ему не мешает развиваться и быть одним из крупнейших, наиболее функциональных банков. Люди колятся, но работают с ним.
Хотя я лично зарекся когда либо возвращаться в ПБ. Нервы и деньги важнее банкоматов и интернет банка.
Хотя я лично зарекся когда либо возвращаться в ПБ. Нервы и деньги важнее банкоматов и интернет банка.
Из текста на [ kpishnik.kpi.ua/archives/1114 ] есть кое-что, что не считаю хорошей идеей:
То, что вернул — хорошо. Но для демонстрации надо было взять счет не случайного человека, а как минимум знакомого, который дал согласие.
-То есть ты перечислил деньги со счета случайного человека чисто для демонстрации? Сколько, кстати?
-Вроде 430 или 450 грн. Кстати, средства, конечно же, были возвращены назад владельцу.
То, что вернул — хорошо. Но для демонстрации надо было взять счет не случайного человека, а как минимум знакомого, который дал согласие.
Одного меня мучает вопрос закрыта ли уже дыра, ити всё пока на своих местах?
Прикол из жизни.
Я завел в аккаунт ПБ свою штатовскую карту, а через 12 часов мне позвонили из Визы за разрешением блокировать карту — ею уже пытались уплатить на украинской автозаправке.
Я завел в аккаунт ПБ свою штатовскую карту, а через 12 часов мне позвонили из Визы за разрешением блокировать карту — ею уже пытались уплатить на украинской автозаправке.
Эта история как-то противоречит этой истории про тот же банк но другие уязвимости…
Всем привет, я редактор ресурса, на который ссылается пост. Хотел сам запостить, да кармы пока не хватает.
Алексей говорил, что хочет опубликовать все технические подробности уязвимости здесь (естественно, после того, как уязвимость пофиксят). Правда, не знаю, законно ли это.
Если кому-то интересно, то вот обсуждение истории на D3 и на форуме украинских программистов Developers.org.ua.
Алексей говорил, что хочет опубликовать все технические подробности уязвимости здесь (естественно, после того, как уязвимость пофиксят). Правда, не знаю, законно ли это.
Если кому-то интересно, то вот обсуждение истории на D3 и на форуме украинских программистов Developers.org.ua.
Если пубилкация подробностей будет после фикса дырки и (в идеале) с письменным разрешением ПБ — то почему нет.
С удовольствием почитал бы!
С удовольствием почитал бы!
Публиковать такие вещи надо сразу и никого не спрашивая. Обязательно анонимно. Сейчас даже если кто-то другой самостоятельно найдет и использует уязвимость, всех собак повесят на известного им чела.
Вон, уже был случай, чел нашел уязвимость в кардиостимуляторах и умер до конференции. Публиковать надо без предупреждения, чтобы корпорациям это было как снег на голову, чтобы они ничего не успели предпринять против.
Вон, уже был случай, чел нашел уязвимость в кардиостимуляторах и умер до конференции. Публиковать надо без предупреждения, чтобы корпорациям это было как снег на голову, чтобы они ничего не успели предпринять против.
Вы считаете, что тех. подробности взлома стоит выкладывать анонимно в сеть, не уведомив при этом компанию?
В наших реалиях, да, возможно. Но в общем случае публикация уязвимостей крайне желательна только после того, как ее закрыли.
Исключение, по моему мнению, может быть только в случае длительного игнорирования сообщений.
В наших реалиях, да, возможно. Но в общем случае публикация уязвимостей крайне желательна только после того, как ее закрыли.
Исключение, по моему мнению, может быть только в случае длительного игнорирования сообщений.
Давайте задумаемся о мотивации. Исследователь тратит свое время на поиск уязвимостей, и часто вынужден потратить еще больше времени и усилий чтобы что-то доказать корпорациям и заставить их чесаться. Что он может получить взамен? Просить денег — прямая дорога в тюрьму, проверено неоднократно, даже не пытайтесь повторить. Публиковать в открытом доступе под своим именем — имеем весьма спорный профит с самопиара и неиллюзорный шанс отхватить люлей, при регулярной практике этот шанс непременно сработает.
Какая может быть еще мотивация? Самое очевидное — использовать уязвимость самому, или продать на сторону. Если эксплоит имеет ценность, чаще всего так и делается, при определенной удаче можно грести бабло, а за удобную 0day уязвимость в определенных продуктах можно сразу купить квартиру в Москве. А на паблик сливают лишь негодный для эксплуатации шлак, годные дыры становятся известны лишь после длительной эксплуатации. В случае с приватбанком, кардеры бы спокойно выложили до 50к за такую тему, а будь эта уязвимость в каком-нибудь европейском банке, можно смело просить 200к и присматривать себе недвижимость.
Продавайте уязвимости на черном рынке, исключение — те компании которые прямо предлагают деньги за поиск уязвимостей. Но тут надо сравнивать где дадут больше.
Помните, корпорации нам не друзья и не братья, а подлые и лицемерные враги, они делают красивое лицо и держат нож за спиной. Хотите сделать мир лучше — сливайте всё негодное для юзания в паблик анонимно, создавая максимум шума и паники чтобы нанести как можно больший ущерб. Корпорации косячат — значит должны страдать. Как они к нам, так и мы к ним.
З.Ы. Народ, что-за адский наивняк? Здесь одни говорят что «в цивилизованных странах» хакера на работу возьмут, другие говорят что вознаграждение дадут. Снимайте розовые очки, а то жизнь обламывает такие мечтания с крайней жестокостью. Какая к чертям работа, тут не сеть и то замечательно. А будет на работу устраиваться, никогда не признавайтесь что хоть раз в жизни что-нибудь ломали.
Какая может быть еще мотивация? Самое очевидное — использовать уязвимость самому, или продать на сторону. Если эксплоит имеет ценность, чаще всего так и делается, при определенной удаче можно грести бабло, а за удобную 0day уязвимость в определенных продуктах можно сразу купить квартиру в Москве. А на паблик сливают лишь негодный для эксплуатации шлак, годные дыры становятся известны лишь после длительной эксплуатации. В случае с приватбанком, кардеры бы спокойно выложили до 50к за такую тему, а будь эта уязвимость в каком-нибудь европейском банке, можно смело просить 200к и присматривать себе недвижимость.
Продавайте уязвимости на черном рынке, исключение — те компании которые прямо предлагают деньги за поиск уязвимостей. Но тут надо сравнивать где дадут больше.
Помните, корпорации нам не друзья и не братья, а подлые и лицемерные враги, они делают красивое лицо и держат нож за спиной. Хотите сделать мир лучше — сливайте всё негодное для юзания в паблик анонимно, создавая максимум шума и паники чтобы нанести как можно больший ущерб. Корпорации косячат — значит должны страдать. Как они к нам, так и мы к ним.
З.Ы. Народ, что-за адский наивняк? Здесь одни говорят что «в цивилизованных странах» хакера на работу возьмут, другие говорят что вознаграждение дадут. Снимайте розовые очки, а то жизнь обламывает такие мечтания с крайней жестокостью. Какая к чертям работа, тут не сеть и то замечательно. А будет на работу устраиваться, никогда не признавайтесь что хоть раз в жизни что-нибудь ломали.
Из ваших слов сделаю вывод, что в результате любое телодвижение должно упираться в квартиру в Москве?
Да не будут они особо страдать. Страдать будет баба Люба, уборщица, которую принудительно перевели на обслуживание (зарплатный проект) в ПБ и которая в какой-то момент просто не сможет получить те 800 грн…
А корпорации — ну да, минус по репутации. Ничего, найдут крайнего, перевернут все в пиар да и только.
Резюмируя: если смотреть на все это с выгодой для себя (а вы, почему-то, только эту сторону рассматриваете) — да, наиболее оптимальным будет слить инфу втихую. Но я все же надеюсь наберется немало людей, которые готовы проинформировать банк\фирму\корпорацию об уязвимости не ради собственной наживы.
Корпорации косячат — значит должны страдать.
Да не будут они особо страдать. Страдать будет баба Люба, уборщица, которую принудительно перевели на обслуживание (зарплатный проект) в ПБ и которая в какой-то момент просто не сможет получить те 800 грн…
А корпорации — ну да, минус по репутации. Ничего, найдут крайнего, перевернут все в пиар да и только.
Резюмируя: если смотреть на все это с выгодой для себя (а вы, почему-то, только эту сторону рассматриваете) — да, наиболее оптимальным будет слить инфу втихую. Но я все же надеюсь наберется немало людей, которые готовы проинформировать банк\фирму\корпорацию об уязвимости не ради собственной наживы.
А вот и сам Алексей: habrahabr.ru/users/vertuozzo/. Если у кого-нибудь есть инвайт, дайте ему, чтобы он рассказал тут все подробности и ответил на все ответы.
Вот немного подробностей ain.ua/2013/09/04/137788
>Изъян в системе, который он нашел, не является страшным
Какой хороший банк, считает что если у клиентов украли деньги-это нестрашно
Какой хороший банк, считает что если у клиентов украли деньги-это нестрашно
Алексей Мохов репостит :)
vk.com/vertuozzo?w=wall3297570_7183
vk.com/vertuozzo?w=wall3297570_7183
ПриватБанк редкостное говно, хочу я вам сказать.
«Кеш»-лимит распространяется на операции по карте, не только на наличные.
Голд карту выдать раньше одного года обслуживания не могут.
Снятие в своих банкоматах 1%, когда как перевод в другие банки 15р=)
Их эквайринг liqpay задерживает выплаты.
Жалобы остаются без ответа.
В общем попользовался месяц, с горем-пополам выводил с их счетов свои деньги в течение 3х месяцев из-за лимита.
Отказались закрывать счет, хотя по ГК РФ мое право на закрытие счета — исключительное. Так и сказали: «Можете обратиться в суд».
Никому не рекомендую.
«Кеш»-лимит распространяется на операции по карте, не только на наличные.
Голд карту выдать раньше одного года обслуживания не могут.
Снятие в своих банкоматах 1%, когда как перевод в другие банки 15р=)
Их эквайринг liqpay задерживает выплаты.
Жалобы остаются без ответа.
В общем попользовался месяц, с горем-пополам выводил с их счетов свои деньги в течение 3х месяцев из-за лимита.
Отказались закрывать счет, хотя по ГК РФ мое право на закрытие счета — исключительное. Так и сказали: «Можете обратиться в суд».
Никому не рекомендую.
Их эквайринг liqpay задерживает выплаты.
Проблема только в том, что у других банков аналога liqpay вообще нет.
Да и вообще приват плохой, если сравнивать его со сферическим банком в вакууме. А если с реальными конкурентами, то особо с привата и уйти то некуда.
К примеру, я взял недавно карту Альфабанка, ну думаю типа ж крутой российский банк должен быть на уровне. Так при пополнении счета в рабочее время 17:45 через их банкомат в отделении, деньги на счет упали только на следующий день, при пополнении перед праздниками зачислили только через 3 дня. В общем походу там вообще всё в ручном режиме работает. Что как-то диковато после привата, в котором можно через терминал хоть в 2 часа ночи пополнить и деньги через 5 минут будут на карте.
В общем да в привате много глюков проскакивает, но спасибо им за то, что они в отличии от других хоть что-то делают, ну и пожелание наладить контроль качества.
Зато, если память не изменяет, liqpay позволяет принимать платежи даже физлицами, не зарегистрированными в качестве ИП
Всем привет. Беспокоится в большей степени Q&A отдел (и меня заваливает просьбами выдать все детали по багу). Марат Шмуш (походу основной Android программист по Приват24) не может понять, где «зарыта собака», деталей не хватает. СБшники ПриватБанка (вроде как) спокойны, В. В. Максименко удивлен, почему мне никто не позвонил по результатам решения из Днепропетровска. До Пресс-службы дозвониться не выходит.
Алексей, а зачем подставились с переводом от случайного лица? Считаю, что нужно было свои деньги гонять.
Так и делал (вначале).
Свои деньги гоняются по другим схемам. Как минимум платеж не нужно подтверждать через SMS.
Поэтому перевод между своими картами непоказателен.
Поэтому перевод между своими картами непоказателен.
А кто говорит о том, чтобы на свою же карту переводить?
Главное, что деньги свои нужно использовать.
Я об этом речь веду.
Главное, что деньги свои нужно использовать.
Я об этом речь веду.
Можно поросить карту у приятеля. И делать переводы между ними
Конечно можно, а можно забить, как большинство бы и поступило. Ну серьезно — как вы это себе представляете? Я предполагаю, что нашел уязвимость, вряд ли конечно — это же банковское веб-приложение, а не школьная поделка… желание проверить так сильно, что я начинаю просить у друзей карты. У всех же есть ненужные активные карты, с небольшим количеством денег и желательно без cvv кода — я ж не хочу быть под подозрением если у него потом с этой карты в интернете деньги уведут?
Не должен человек нести ответственность за то что послал tcp пакет! Вот если бы он таким образом выявил уязвимость и использовал ее в корысных целях это другой вопрос. А после такого… вариант забить кажеться наиболее правильным.
Не должен человек нести ответственность за то что послал tcp пакет! Вот если бы он таким образом выявил уязвимость и использовал ее в корысных целях это другой вопрос. А после такого… вариант забить кажеться наиболее правильным.
Привет банк вроде как из ТОП бакнов, но качество и уровень секюрити просто зашкаливает лажами.
Реальный недавний личный пример:
у меня VIP статус клиента, по их словам это означало, что кроме куратора, никто в филиалах банка не может получать доступ к моим счетам. Даже брат сват жона и остальные.
В итоге узнаю что ктото получил к моим данным доступ, т.е. я то знаю кто, моя бывшая со своим новым. Я бегом в банк, вижу что мои личные данные были все заменены на чужие!!! бегом блокирую счета и снимаю все деньги. Тутже успеваю получить инфу, записать номер телефона который использовался для доступа… Позже удивительно нахожу этот номер телефона по ежемесячным оплатах за какоето смс информирование. Т.е. ежемесячно 60 центов снималось на данный номер, он же был использован для доступа к моим данным. Звонил на этот номер, там ребенок поднимает все время трубку, т.е. он в частных руках а не у банка.
Короче начинаю долгие походы в банк. Пишу заявления о нарушениях и взломе. Мне отписываются — мол сами виноваты, не раздавайте кому попало свои контактные данные и все. Ходил в их отдел безопасности, дал им все уже готовое, кто когда и как… в ответ тишина, все что могил сказать это «Ну бывает, просто недобросовестные сотрудники» !!!!?!?!?!7 крутой ответ от отдела безопасности банка. Короче ПРИВЕТ банк идет лесом… ему доверия в минус 1000 очков, им походу побоку даже VIP клиенты.
Как мне намекнули потом, банку не выгодно лишний шум о нарушениях безопасности, типа рейтинг. Вот и заминают все что могут. Потому ничего удивительного что там бардак и всплывают разные истории в инете.
Реальный недавний личный пример:
у меня VIP статус клиента, по их словам это означало, что кроме куратора, никто в филиалах банка не может получать доступ к моим счетам. Даже брат сват жона и остальные.
В итоге узнаю что ктото получил к моим данным доступ, т.е. я то знаю кто, моя бывшая со своим новым. Я бегом в банк, вижу что мои личные данные были все заменены на чужие!!! бегом блокирую счета и снимаю все деньги. Тутже успеваю получить инфу, записать номер телефона который использовался для доступа… Позже удивительно нахожу этот номер телефона по ежемесячным оплатах за какоето смс информирование. Т.е. ежемесячно 60 центов снималось на данный номер, он же был использован для доступа к моим данным. Звонил на этот номер, там ребенок поднимает все время трубку, т.е. он в частных руках а не у банка.
Короче начинаю долгие походы в банк. Пишу заявления о нарушениях и взломе. Мне отписываются — мол сами виноваты, не раздавайте кому попало свои контактные данные и все. Ходил в их отдел безопасности, дал им все уже готовое, кто когда и как… в ответ тишина, все что могил сказать это «Ну бывает, просто недобросовестные сотрудники» !!!!?!?!?!7 крутой ответ от отдела безопасности банка. Короче ПРИВЕТ банк идет лесом… ему доверия в минус 1000 очков, им походу побоку даже VIP клиенты.
Как мне намекнули потом, банку не выгодно лишний шум о нарушениях безопасности, типа рейтинг. Вот и заминают все что могут. Потому ничего удивительного что там бардак и всплывают разные истории в инете.
Не хочу Вас расстраивать, но тут не работники банка виновны.
Аналогичная ситуация. Дал двоюродному брату расчетную карту. О том, что расчетную карту можно активировать только имея кредитку привата — вообще отдельный разговор. Активировал на себя.
И тут в один прекрасный день я не могу войти в приват24. Мало того, моего номера вообще нет в системе.
Малый имея карту и пин к ней, прошел новую регистрацию в приват24 и этим самим все мои счета стали его счетами. Да да, и это тоже VIP статус.
Сотрудники банка сказали только «Любой кто имеет Вашу карту может сменить любые Ваши данные и получить доступ ко всем счетам».
В Вашем случае, Ваша бывшая скорее всего поступила таким же путем. У нее случайно не было одной из Ваших карт? Если была… Выводы делайте сами…
Аналогичная ситуация. Дал двоюродному брату расчетную карту. О том, что расчетную карту можно активировать только имея кредитку привата — вообще отдельный разговор. Активировал на себя.
И тут в один прекрасный день я не могу войти в приват24. Мало того, моего номера вообще нет в системе.
Малый имея карту и пин к ней, прошел новую регистрацию в приват24 и этим самим все мои счета стали его счетами. Да да, и это тоже VIP статус.
Сотрудники банка сказали только «Любой кто имеет Вашу карту может сменить любые Ваши данные и получить доступ ко всем счетам».
В Вашем случае, Ваша бывшая скорее всего поступила таким же путем. У нее случайно не было одной из Ваших карт? Если была… Выводы делайте сами…
Каждые два года выпускалась новая карта. К текущим картам доступа она не имела как и к телефону, без которого не получить по идеи доступ к приват24. старые карты может и нашла гдето, но они закрывались вроде как по времени, ведь даже я не мог получить по ним информацию в приват24.
И еще важен момент VIP статус клиента. Да допустим она могла прийти в банк с моими данными как жона, типа муж уехал или заболел и в больнице… но ведь по словам GOLD операторов, никто не может получить доступ к вашим счетам без вас. Вот и получается, что пришла в банк, уговорила сотрудника/сотрудницу, и получили доступ к счетам и заменили все данные, не имея карты и телефона на руках. По сути это уголовка, насколько я слышал. Н кто будет этим заниматься если сам банк морозится. А даже имея все доказательства, чтобы доказать нужно горы свернуть, вот и получается, и банку похрен на клиентов и страна такая что никто не отвечает и наказать нету возможности.
И еще важен момент VIP статус клиента. Да допустим она могла прийти в банк с моими данными как жона, типа муж уехал или заболел и в больнице… но ведь по словам GOLD операторов, никто не может получить доступ к вашим счетам без вас. Вот и получается, что пришла в банк, уговорила сотрудника/сотрудницу, и получили доступ к счетам и заменили все данные, не имея карты и телефона на руках. По сути это уголовка, насколько я слышал. Н кто будет этим заниматься если сам банк морозится. А даже имея все доказательства, чтобы доказать нужно горы свернуть, вот и получается, и банку похрен на клиентов и страна такая что никто не отвечает и наказать нету возможности.
Вы Gold считаете VIP? Тогда понятно… Его давно открыли всем работникам…
ведь написал «GOLD операторы» они и обслуживают сейчас VIP клиентов, в центральном банка есть отдел для VIP и GOLD. а в мелких филиалах только GOLD который и обслуживает и тех и других. Также мои слова о VIP это не самомнение, а реальность, потому как мне пришлось писать заявление чтобы сняли статус VIP и закрыли счета. Негоже вот так, с бодуна обвинять человека в тупости.
Видимо из-за того что Вас обслуживают Gold операторы Ваши данные и открыты.
У меня однажды была ситуация, сломал основную карту. Другие карты в другом городе, а нужна была срочно карта что бы рассчитаться в нескольких магазинах и снял наличные. На дворе суббота. Пошел в центральное отделение. Мне не смогли выдать даже миттеву или любую другую кредитку так как к моей информации никто не имеет доступа кроме менеджера.
При любых банковских операциях (если их делает не ваш менеджер) ему звонят, и просят доступ к вашим данным.
У меня однажды была ситуация, сломал основную карту. Другие карты в другом городе, а нужна была срочно карта что бы рассчитаться в нескольких магазинах и снял наличные. На дворе суббота. Пошел в центральное отделение. Мне не смогли выдать даже миттеву или любую другую кредитку так как к моей информации никто не имеет доступа кроме менеджера.
При любых банковских операциях (если их делает не ваш менеджер) ему звонят, и просят доступ к вашим данным.
При мне была ситуация, попросил распечатку со своего счета, сказали что мою карту не видят почемуто, попросили подождать, связались в чате толи в скайпе с кемто, только потом смогли выдать информацию. Но при этом всетаки фиксировали, кто когда и что просил. Значит при желании можно легко узнать, кто когда и как получил доступ к счетам. Вот только им это не выгодно.
Как-то ПриватБанк сам себе противоречит. «Изъян в системе, который он нашел, не является страшным» — если не страшно то он и не хакер и не такой уж крутой специалист. Чего стразу: «Он хакер. В тюрьму! », ну нашел там что-то, все равно ихняя система безопасности все словит. Таких хакеров в школах и институтах хоть пруд пруди, всех в тюрьму? А если «Нужно понимать, что он хакер. В цивилизованных странах это уже преступление» то таки наверно ссыкотно стало
Ну, версию «потерпевшей стороны» я прочел, как и все, с возмущением и сочувствием. Классика жанра, глупый большой обижает маленького, при этом последний обязательно хороший персонаж ;-) Маленький защищаясь (от чего? обвинения предъявлены? номер дела?) начал информационную войну, взяв в союзники автора статьи — бывшего тестировщика привата (уже подозрительно). Чем ответит приват? Ждем официальную версию!
Лишнее подтверждение давно известной истины — не имейте никакого дела с Приват-банком, не держите там деньги, не делайте переводы, не берите кредиты — короче не пользуйтесь их услугами. Если не хотите проблем.
Иногда особой альтернативы нет.
истина!
На мое мнение, все идут в привет изза его популярности, довольно удобно когда банкомат на каждом углу, и не придется платить больший процент за снятие через другой банк. Таже система приват24 пока лидер на рынке.
Но опыт за много лет показал что все, что связано с ПРИВЕТ банком, выводит из равновесия:
— банкоманыт везде, но большую часть времени они глючат, снимают деньги и не выдают наличку, забирают карты и не выдают. и такое происходит массово по всюду, а люди неделями бегают потом по банкам.
— их терминалы везде, но сколько сталкивался, именно терминалы превет-банк аи не работают зачастую, постоянно проводили или чрез Аваль или через другие, спрашивал, говорили что постоянно нету связи или не работают.
— самые огромные и длинные очередя это в ПРЕВЕТ банке. я уже даже не помню где еще видел очереди кроме как в превете.
— узнайте фамилии владельцев филиалов привет банка и обалдеете, когда столкнулся то был шокирован, почти все филиалы, то цигане то армяне и т.д., т.е. кто попало, стоит задуматься.
— в кризис когда все рухнуло, привет тупо вжарил и ограбил пол украины, знаю лично людей которые не могли снять деньги с депозитов, а банк им предлагал откат, типа возьмите 2т вместо 10т и радуйтесь или не получите ничего. Люди были рады и 2т взять потому как был риск потерять все. И такое было массово, т.е. в наглую кинули людей и им за это ничего не было. Ведь люди сами подписывали отказ.
На мое мнение, все идут в привет изза его популярности, довольно удобно когда банкомат на каждом углу, и не придется платить больший процент за снятие через другой банк. Таже система приват24 пока лидер на рынке.
Но опыт за много лет показал что все, что связано с ПРИВЕТ банком, выводит из равновесия:
— банкоманыт везде, но большую часть времени они глючат, снимают деньги и не выдают наличку, забирают карты и не выдают. и такое происходит массово по всюду, а люди неделями бегают потом по банкам.
— их терминалы везде, но сколько сталкивался, именно терминалы превет-банк аи не работают зачастую, постоянно проводили или чрез Аваль или через другие, спрашивал, говорили что постоянно нету связи или не работают.
— самые огромные и длинные очередя это в ПРЕВЕТ банке. я уже даже не помню где еще видел очереди кроме как в превете.
— узнайте фамилии владельцев филиалов привет банка и обалдеете, когда столкнулся то был шокирован, почти все филиалы, то цигане то армяне и т.д., т.е. кто попало, стоит задуматься.
— в кризис когда все рухнуло, привет тупо вжарил и ограбил пол украины, знаю лично людей которые не могли снять деньги с депозитов, а банк им предлагал откат, типа возьмите 2т вместо 10т и радуйтесь или не получите ничего. Люди были рады и 2т взять потому как был риск потерять все. И такое было массово, т.е. в наглую кинули людей и им за это ничего не было. Ведь люди сами подписывали отказ.
Кто такие КПИшники?
Раз Приватбанк такой УГ, надо было уязвимость продать на тематическом форуме, анк бы понес многомиллиардные убытки.
Состав статьи:
45% — лого привата
45% — копипаст в цитате
5% — копипаст прямой речи
5% — вода от автора
45% — лого привата
45% — копипаст в цитате
5% — копипаст прямой речи
5% — вода от автора
Походу, служба безопасности отводит фокус внимания от того факта, что у них осталась копия модифицированного кода (%.
Сколько уже было статей на эту тему, и все они укладываются в тезисы:
1. Кто-то нашел уязвимость, баг, дыру.
2. Сообщил об этом владельцу.
3. Этому «кто-то» потом вместо спасибо вваливают люлей.
Вывод: не надо ни о чем сообщать.
1. Кто-то нашел уязвимость, баг, дыру.
2. Сообщил об этом владельцу.
3. Этому «кто-то» потом вместо спасибо вваливают люлей.
Вывод: не надо ни о чем сообщать.
Идеальный следующий шаг для специалиста:
1. Написать полностью аналогичное письмо в Нац. Банк. С полным изложением всех деталей, скриншотами и т.п. С пометкой «комерційна таємниця».
2. Отправить его копии в СБУ, прокуратуру, ДСТЗИ.
Естественно все письма — заказные с уведомлением о вручении.
После этого:
1. Факт злого умысла «установит» разве что Печерский суд Киева (или Индустриальный Днепропетровска).
2. Нац. Банк будет вынужден дать им 10 дней на устранение уязвимости, после чего — ограничение деятельности и запрет на применение электронного банкинга.
Приват, конечно, воспользуется коррупционными схемами для ухода от ответственности, но им будет дешевле принести извинения нашедшему уязвимость специалисту, выложив текст билетами Федеральной Резервной Службы США.
1. Написать полностью аналогичное письмо в Нац. Банк. С полным изложением всех деталей, скриншотами и т.п. С пометкой «комерційна таємниця».
2. Отправить его копии в СБУ, прокуратуру, ДСТЗИ.
Естественно все письма — заказные с уведомлением о вручении.
После этого:
1. Факт злого умысла «установит» разве что Печерский суд Киева (или Индустриальный Днепропетровска).
2. Нац. Банк будет вынужден дать им 10 дней на устранение уязвимости, после чего — ограничение деятельности и запрет на применение электронного банкинга.
Приват, конечно, воспользуется коррупционными схемами для ухода от ответственности, но им будет дешевле принести извинения нашедшему уязвимость специалисту, выложив текст билетами Федеральной Резервной Службы США.
Данная ситуация еще раз доказывает что существование ПриватБанка всего лишь жалкое недоразумение.
Интересно, о чем умалчивают изложения событий в версии от банка и от программиста. Есть шанс, что там были какие-то переговоры о награждении, которые ни к чему не привели, а банк потом взял и надавил.
ПБ обещает высокооплачиваемую работу… korrespondent.net/business/career/1602734-privatbank-obeshchaet-vysokooplachivaemuyu-rabotu-studentu-vzlomavshemu-ego-mobilnoe-prilozhenie
Сегодня нашел мелкую уязвимость в сервисе Приват24, сообщил через официальную форму, посмотрим что будет :)
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
ПриватБанк обвинил украинского программиста во взломе своего Android-приложения