Comments 392
Это мне вопрос? Думаю, чтобы не замарачиваться с подменой IP при множественных переводах с разных карт на одну.
И еще, если кто-то перехватил данные карты, чтобы перевести деньги на другую карту, ему нужно с какого-то компьютера выходить в сеть, набивать намера итп. При массовых переводах скорее всего останутся следы. А если покупатель сам перевод осуществляет, то в логах платежных систем ничего нет, — IP мошенников нигде не записываются. Единственная зацепка — это веб сайт мошенников.
Один раз автоматизировал все — и пошел отдыхать.
Возможно в этом причина.
Лично я понял из того, что вы написали в статье что именно так они и делали. Автоматизированная часть воровства заключалась только в первой транзакции, которая финансировала рекламную кампанию. Все остальное — вручную.
Пока остатка хватало, списания были с интервалом ровно в 10 минут. А как точно заметил Stryker86 в одном из комментариев, суммы списания кратны изначальной сумме 5900 р (11800, 17700, 23600). Совпадение? Не думаю.
Если вы про код из смс, то он одноразовый и высылается по смс только после заполнения всех форм и нажатия кнопки «ок».
Его нельзя украсть, его можно только обманом узнать у пользователя.
Думаю, да. Там ведь куча скриптов от оригинальной страницы p2p перевода. Зачем еще тебе нужны чужие работающие скрипты?
«И у запроса можно проверить referrer.»
Вас хоть сколько-нибудь удивит если в этой истории окажется, что они НЕ проверяют referrer?
Причем здесь используется не окно iframe.
display: none
в необходимые блоки.Сори, веткой ошибся…
В данном случае, правда, суммы были разные, но технически это возможно.
а вот Amazon ( магазин), Apple (и AppStore и iTunes Store), Google Play — спокойно с привязанных карт списывают вообще без всяких вопросов относительно карты.
Хорошо хоть, по запросу в таких случаях они деньги возвращали всегда.
Алиэкспресс списывает деньги тоже без всяких смс.
Если нет желания когда-нибудь писать десятки заявлений-жалоб-требований вернуть деньги, подобные посты на хабре и в итоге все-равно остаться без денег, то да — на активной карте, которую вы светите в интернете, в кафе и магазинах в любой момент времени должна быть только сумма, потерю которой вы переживете не сильно расстроившись.
1. Выпустить вторую карту к счету и установить по ней лимиты жесткие.
2. Если банк хреновый и не позволяет такого сделать, установить лимит на операции в интернете 0р, перед покупкой ставить нужный лимит, после покупки опять устанавливать в 0р.
Лимиты не совсем удобно: всякие автоплатежи на сотовые, интернет будут блокированы.
У меня для расходов на машинку дебетовка с 5% каши — а свободных денег не так уж много, приходиться безконца бабки тусовать с одной карты на другую, по мере их появления, очень неудобно: заезжаешь на АЗС и хлопаешь себя по лбу, что на карте рублей 300, а надо на 50 литров. Запускаешь браузер в телефоне и давай туда-сюда по c2c деньги гонять, благо что бесплатно.
Можно активировать категорию покупки в интернете. Но все квазикеш операции типа пополнения яндекс-денег и киви кошелька — мимо.
Кукуруза — 3% фантиками, можно потратить в перекрёстке на 30% чека, в Евросети 99%. Раньше было ТНК — я в 15-м году в отпуск на машине ездил, слил на 8000Р бензина бонусами(больше просто не успел), ещё там же купил огнетушитель, трос и промывку инжектора(как я и предполагал — хрень оказалась, но за бонусы не жалко).
Я знаю один банк, который не морочит клиентам голову со сложными условиями — Бинбанк. Возможно есть и другие такие же. Но из тех, что на виду, таких простых условий не встречал. Кэшбек 1% на обычные покупки, 5% на одну из пяти категорий, которую сам клиент выбирает. При этом категория со временем без участия клиента не меняется. Самая интересная категория — интернет-покупки. Если ее выбрать, то при покупке в интернет-магазинах будет кэшбэк 5%.
Единственное, стоит иметь в виду, интернет-магазины принимают платежи по-разному и возможна ситуация при которой ни 1%, ни 5% ни зачислят при покупке. Для примера, один из самых крупных компьютерных интернет-магазинов принимает платежи по картам через сервис Яндекс.Деньги. При покупке в этом магазине кэшбек не зачисляют. Вероятно для банка такая покупка выглядит, как пополнение кошелька Яндекс.Денег или что-то похожее. А за пополнение кошельков итп кэшбек не начисляют. Клиент при оплате картой разницу не замечает, а для банка разница есть. Поэтому перед оплатой нужно смотреть, как интернет-магазин принимает платежи по картам. Если прием платежей организован через банки эквайеры, кэшбек 5% точно начистят, в остальных случаях, как повезет.
Лайфхак «от бывалого»
Заводится несколько допкарт для разных целей. Для постоянного ношения с собой: лимит на операции в месяц + лимит на снятие наличных в сутки. В интернете не светится. Для трат в интернете: минимальный лимит на операции в месяц, минимальный лимит на снятие. Перед оплатой лимит на операции поднимается на размер операции. Через мобильный банк это делается за 2 минуты.
При этом не важно — карта кредитная или дебетовая.
> и постоянно гонять деньги туда-сюда? Мороки слишком много.
* Держать на карте нужно ноль и непосредственно перед покупкой
переводить на карту нужную сумму. Дело пары минут.
* Выделенная карта для интернет покупок.
* Ну и покупать билеты не у посредников, а на сайте авиакомпании.
Это предотвратит дальнейшее списание, но за мошеннические «билеты» деньги все равно уведут. Тут только разбираться с банком об отмене перевода.
А зачем тогда нужна непонятная пластмассовая хрень?
не знаю, может у банков есть какие-то внутренние требования по этому поводу, но в интернет-банке этот номер не виден, и передать сотрудники банка мне его могут исключительно в виде пластмассовой хрени
Имея такую возможность каждый раз удивляюсь тем кто привязывает к разным интернет аккаунтам зарплатную карту.
Кроме того, МегаФон, например, тоже славен тем, что через полгода (или другой срок, не помню) неиспользования номера включается ежемесячное списание определенной суммы. И что? Вы не используете МегаФон? Без проблем. ;) Но я — использую уже лет 12 где-то и не планирую пока отказываться. Просто если номер мне не нужен — я убираю с него деньги и закрываю.
Мне как бы не с руки агитировать и рекламировать сервис, особенно вне рамок обсуждаемого сценария использования, но коль вы уж привели аргумент, то и я тоже приведу — я использую QIWI в качестве основного платежного средства, с виртуальными картами, с реальным пластиком (который уже перевыпускал дважды), т.е. достаточно долго, лет 5-6. И я искренне не понимаю смысла вашего аргумента, поскольку QIWI — не депозит, денег там хранить не нужно, а тем более, долгое время и не используя. Могу «сыграть на вашей стороне» и подкинуть еще аргументов — например, если вы перестали пользоваться номером, то через какое-то время, после отлеживания, оператор его продаст другому абоненту, который, таким образом, получит доступ к вашему QIWI-кошельку. Это так? Абсолютно. Это имеет какое-то значение для меня, как пользователя? Нет, если я не идиот, извините.
Понимаете, если, например, не пользоваться долго автомобилем, то у него рано или поздно спускают шины, садится аккумулятор, рассыхаются резинки в подвеске, «протухает» масло в двигателе и ржавеет кузов. Через 3-5 лет — это уже не автомобиль, а труп. Следует ли отсюда, что нам теперь не стОит покупать автомобили? ;) Да, следует — в том случае, если вы не собираетесь на них ездить, а собираетесь сгноить на стоянке.
Нельзя списать со счёта больше чем на нём есть
— могут отличаться курсы на эти моменты.
— существуют (не касается обычно Интернета) операции когда просто приходит списание и банк обязан списать, да — загоняя карту в минус если надо
— существуют операции (обычно не в России) когда и авторизация и списание приходят с задержкой. если денег нет — будет теховердрафт.
А еще существует такой банк как Сбербанк, за которым замечалось устройство теховедрафта (именно теховердрафта а не блокировки) по просьбе приставов
2. Меняйте банк.
Достаточно один раз оплатить и за продление услуг будут списывать постоянно и без подтверждения через 3D Secure/Verified by Visa.
Для себя нашел выход из подобных ситуаций при работе с подобными сервисами:
Указывать дебетовую карту с отключенными кредитными/овердрафтовыми «фишками» и пополнять карту непосредственно перед оплатой(т.е. по получению уведомления об отключении сервиса) на требующуюся для оплаты сервиса сумму и не монетой больше.
Как пример:
— Укрсиббанк https://my.ukrsibbank.com/ru/personal/questions/card_limits/
— Казахстанского Альфа-Банка http://www.alfabank.kz/ru/retail/cards/restrictions
лимиты на операции без 3D Secure — 0
вот Российских банков где есть такое — я не знаю.
Сам сегодня платил на Али, дважды. Первый раз с PC, перед этим «привязав» карту к AliPay (+месяц, год, CVV/CVC-код тоже указал).
Второй раз платил через мобильное приложение. Там ничего указывать вообще не пришлось. Даже никакого секретного кода. Тут вижу два варианта решения: либо лочить смартфон настолько, насколько веришь во все эти экраны защиты, либо через АлиПей (да и вообще любые интернет-платежи проводить) через спец-карту, перекидывая туда средства за 1-2 минуты. У Тинькова в этом плане очень удобно.
Более того, я пару раз в магазине вводил неверный пинкод, о чём мне сообщал терминал, но там была возможность продолжить. Нажимая Да, я завершал покупку не вводя повторно пинкод. Деньги снимались.
Один раз вообще дал сыну карту и попросил его так оплатить покупку и он это сделал. После чего я позвонил в Росевробанк и попросил объяснить эту ситуацию. Сказали, что до 4000 может не требоваться ввод пинкода.
Ужасно всё это.
Правда не всегда(но чаще всего ОК), обычно на небольшие суммы (большая не пройдет) и по-идее в этом случае кассир должен потребовать поставить подпись на чеке.
Но я последнее время при покупках до 1-2 тыс. руб оплачиваю и без пинкода и без подписи — все проходит и так, кассиры на подпись или забивают или вообще не соображают что нужно ее запрашивать…
А на случай подобной жести как в статье просто не держу существенных сумм на расчетной карте — только на текущие мелкие расходы. Или закидываю через ИБ непосредственно перед более крупной покупкой нужную сумму.
Мне тоже не понятно как без подтверждения смс они смогли списывать суммы.
- Злоумышленник регистрируется в любом сервисе, например, Яндекс.Деньгах, Amazon, Paypal, вводит свой номер мобильного телефона, если нужно.
- Привязывает карту человека, который ввел ее данные на фишинговом сайте, сделанным злоумышленником.
- СМС от сервиса приходит злоумышленнику, а СМС от банка о снятии и возврате средств для проверки работоспособности карты — владельцу карты.
В крупных сервисах, которые привязывают карту к себе, обычно нет 3D Secure. Amazon вообще даже CVV/CVC2 не требует, только номер карты и срок действия. Большинство сервисов не проверяют введенное имя, я всегда ввожу DICK BUTT, получал только один раз отказ.
Вообще, безопасности оплаты картами в интернете застряла где-то в каменном веке. По возможности, платите только электронными деньгами. По моему мнению, Webmoney на голову выше конкурентов по безопасности и удобству использования: для подтверждения платежей не требуется принимать СМС или иметь мобильный телефон под рукой вообще — есть приложение E-Num, которое генерирует одноразовые коды, принимая на вход кошелек, которому переводятся средства, сумму, challenge-код. Входные данные прилетают либо через Push, либо их можно считать камерой с QR-кода на экране оплаты, либо вообще вручную ввести. И приложение есть под все платформы, даже под Symbian и Java оно до сих пор работоспособное, не говоря уже о Blackberry и Bada.
СМС от сервиса приходит злоумышленнику, а СМС от банка о снятии и возврате средств для проверки работоспособности карты — владельцу карты.
Не знаю на счет всего, но чтобы подтвердить PayPal нужно ввести код из описания транзакции. Я этот код мог видеть только в клиент-банке, например.
Электронные деньги мне кажутся весьма мутной темой, но оболочка над платежами вроде PayPal — отличная вещь. Проблема только в том, что далеко не все сайты его поддерживают.
Ну и вообще небезопасность кредиток компенсируется относительной простотой возврата денег. Плюс банки научились неплохо так определять подозрительные транзакции. Да, это костыль, но всё же не стоит параноить сильно.
но оболочка над платежами вроде PayPal — отличная вещь. Проблема только в том, что далеко не все сайты его поддерживают.Он хорош для клиентов, но головная боль магазинов. По мнению Paypal, прав в большинстве случаев клиент, даже если клиент неправ. А еще Paypal берет процент с магазина за свои услуги.
Ну и вообще небезопасность кредиток компенсируется относительной простотой возврата денег.Мне не нравится, что вообще существует возможность воспользоваться моей картой, если ее данные кому-то попали в руки. В случае с электронными деньгами, я всегда заранее знаю, кому и сколько я плачу, и нет возможности снять мои деньги без подтверждения с моей стороны.
К тому же, у большинства банков уведомления об операциях с картой приходят только по СМС. Я телефоном пользуюсь редко, для меня это неважная вещь, и СМС я могу просто не увидеть, поэтому мне приходится писать скрипты для каждого банка отдельно, которые раз в 15 минут входят в интернет-банкинг, парсят страницу и отправляют уведомление по почте, если баланс изменился.
Раньше у ВТБ24 были замечательные карты одноразовых кодов — безопасные, маленькие, не требующие канал связи и электричества — но их заменили на СМС-коды, которые ни разу не безопасны и требуют наличие телефона.
Это все берут. На этом и зарабатывают.
Очень удобно. Особенно когда ты в роуминге где-нибудь в Анадыре.
В зависимости от суммы и ситуации (вид операции, ее «подозрительности/рискованности» по внутреннему анализу банка) применяются разные методы. В простых случаях и небольшие сумму можно подтвердить СМС (или одноразовым кодом с карточки — на выбор что удобнее/больше нравится).
Если сумма крупная или операция подозрительная — по СМС подтверждения приниматься не будут, можно подтвердить только более безопасным одноразовым кодом с карточки.
А в особо тяжелых случаях (например ОЧЕНЬ крупную сумму через интернет перевести если до этого таких операций не проводил, т.е. для клиента они не характерны) затребуют связку СМС с телефона + одноразовый код с карточки + подписать ЭЦП(хранящейся на выдаваемом брелке-флешке). Могут еще и из СБ перезвонить на контактный номер и переспросить — действительно ли это клиент сам переводит, по собственному желанию и нет ли ошибок.
Ну и за 500р есть полностью аппаратные генераторы одноразовых паролей. Хотя в данном случае генератор — это чип банковской карты, а устройство лишь внешний экран, клавиатура и источник энергии для работы чипа карточки.
Вообще, безопасности оплаты картами в интернете застряла где-то в каменном веке.
Неа. На данный момент это компромис между безопасностью и удобством пользования.
Хочется и чтобы не нужно было лишних манипуляций (пароли, смс-ки), и чтобы безопасно.
Каменный век был до внедрения 3D Secure. Тогда для списания денег с карточки нужно было только знать данные этой карточки. Можно сказать, что творились анархия, беспредел, и разгул кардеров. Никто никому не доверял. Карточки предпочитали никому не показывать. Банки могли спокойно отклонить любую транзакцию, как подозрительную. Клиентам было желательно постоянно проверять свои выписки. Сбербанк какое-то время вообще рубал все карточные транзакции из за рубежа. Мне кажется, такая ситуация здорово помогла в популяризации paypal — он предлагал безопасность там, где её не было.
Сейчас есть 3D secure, подтверждение по СМС, одноразовые коды и даже электронные брелки. Сейчас бронзовый век:)
для подтверждения платежей не требуется принимать СМС или иметь мобильный телефон под рукой вообще — есть приложение E-Num, которое генерирует одноразовые коды, принимая на вход кошелек, которому переводятся средства, сумму, challenge-код. <...> И приложение есть под все платформы, даже под Symbian и Java оно до сих пор работоспособное, не говоря уже о Blackberry и Bada.
Вы это приложение, наверное, на микроволновке запускаете? Раз оно у вас работает даже тогда, когда мобильного телефона нет под рукой вообще?
Вообще, безопасности оплаты картами в интернете застряла где-то в каменном веке.
ИМХО, это проблема слишком многогранна, и дело тут не всегда в отсутствии прогресса.
Боюсь, что озвучу чрезвычайно крамольную вещь, но на самом деле никому эта безопасность нафиг не упала, особенно клиентам (по крайней мере, их 99% из тех, кто не сидит регулярно на Хабре, банках.ру и прочих тематических сайтах).
Что нужно клиенту? Клиенту нужно, чтобы всё сработало здесь и сейчас, причём как можно более простым способом. Начнёшь вводить назойливые проверки, блокировки операций по геолокации, вторые-третьи факторы и прочие разумные с точки зрения безопасности фишки — налетишь на аааагроменное недовольство клиентов, плохие отзывы («совершенно несправедливые!» с точки зрения безопасников) и отток клиентов.
Банку тоже чрезмерные замуты с безопасностью не нужны — люди привыкли к концепции «всё в 1 клик» (точнее, их к этому долго и активно приучали), поэтому любые многоэтажные конструкции проверки им нафиг не сдались. Будет слишком сложная «безопасность» — будет все больше людей, которые будут оказываться от услуг банка / мерчанта в пользу «более сговорчивых» коллег, а то и попросту возвращаться в кэш / WM / другие способы платежей.
Платежная система? Щаззз, этим наоборот надо, чтобы всё было проще, клиенты были довольны, а обороты росли. Поэтому в правилах той же Visa в Штатах написано, что мерчант НЕ ВПРАВЕ отказать клиенту в проведении операции по карте, если клиент отказывается предъявить документ, удостоверяющий личность :-) Почему? Опять же, не хотят негативной волны, которая может ударить по их бизнесу много сильнее, чем редкие мошенничества.
Единственный, кто более-менее должен быть заинтересован в безопасности — это мерчант, то бишь торговая точка, но и он понимает, что введение слишком сложных мер приведет к тому, что клиенты уйдут к конкурентам. Поверьте, никто (даже я, несмотря на понимание того, почему это делается) не оценит отмены заказа через 2 дня после его размещения с причиной "слишком высокий фрод-скор", а оставит злобнейший отзыв на Yelp'e и закажет то же самое в другом магазине.
Вот и получается такой вечный поиск тонкого баланса…
никто не оценит отмены заказа через 2 дня после его размещения с причиной «слишком высокий фрод-скор»
При этом они постоянно так делают при трансграничных заказах. Пожалуй половина американских магазинов при оплате русской картой или с русского IP морозят заказы (вплоть до месяца), отменяют их и всячески трахают мозги. Особенно когда твой заказ с черной пятницы отменили «весело» становится. А пойти и купить в другом не получится, ибо накрутки и все такое.
Я, например, больше никогда и ни за какие коврижки не буду связываться с Travelocity после того, как они мне в 3 часа утра отменили билет с вылетом на следующий день, а индусы на линии поддержки *категорически* отказались вообще что-то объяснять и комментировать — плюнул, купил тот же самый билет в Expedia и спокойно улетел…
А как насчет магазина, который повесил холд на 5 дней, а потом просто тупо отменил заказ без звонка или даже e-mail'a, а потом по телефону объяснил, что, дескать, по геолокации я в момент оформления находился слишком далеко от адреса доставки, поэтому их система решила, что, возможно, это мошенничество.
И в том, и в другом случае это были «нормальные» кредитки, выпущенные американскими банками, с американскими же billing-адресами.
Думаю, лишним будет говорить, что более в этих точках никогда не отоваривался.
Т.е. проблема налицо — вроде бы точки хотели сделать как лучше, типа как обезопасить себя и деньги клиента, но вот реализация сего хорошего намерения привела к тому, что клиент теперь потерян и, скорее всего, навсегда…
Я ни разу не сталкивался с ситуацией, чтобы Сбербанк в интернете позволял что-то оплатить без проверки 3D Secure (без подтверждения через SMS)
3D Secure должен поддерживаться двумя сторонами, как банком выпустившим карту, так и тем банком чей платёжный шлюз используется для приёма платежа.
Только вчера платил за коммуналку (если точнее — электричество на сайте мосэнергосбыт) с карты сбера без ввода кода 3D Secure. Платёжный шлюз от Альфа-Банка
В обычных (не защищённых 3-D Secure) транзакциях ответственность за операции по украденным картам несёт «мерчант» — торгово-сервисное предприятие, на сайте которого была произведена покупка товара/услуги по ворованной карте, при условии, что он не поддерживает эту технологию.
В случае использования 3-D Secure происходит так называемый «Перенос ответственности» (Liability Shift), когда ответственность переносится на банк-эмитент, выпустивший карту или на самого клиента.
1. Домен в зоне EU должен был по крайней мере насторожить.
Что-то не так с EU, или подозрительно, что не RU?
так просто принято в узких коммерческих кругах
У серьёзных организаций EV-сертификат, при выдаче которого удостоверяющий центр проводит, как минимум, проверку, существует ли организация в реальности.
EV-сертификат — не панацея. Я однажды получал его на компанию, зарегистрированную неделей ранее в юрисдикции BVI.
В качестве подтверждения существования компании CA попросил предоставить счёт за телефонные переговоры за пару прошлых месяцев и счёт за услуги клининга. Эти документы оффшорный регистратор даёт нахаляву.
Этапы «убедиться, что компания зарегистрирована по адресу массовой регистрации» и «посмотреть на гугле адрес по которому предоставлялись услуги клининга и убедиться, что там во всём здании нет стольки квадратных метров, за сколько выставлен счёт», CA опускает.
<a href="view-source:https://aviapromo.eu/merch/payp2p.php" class="attribute-value">payp2p.php</a>
С первым сайтом я сильно не успел поэксперементировать, поскольку хостинг-провайдер его по заявлению отключил. Но у меня остался HTML код страницы оплаты. Также как остался HTML код страницы оплаты со второго сайта. Я бы мог их выложить, но не знаю, нужно ли и куда выкладывать. Сохранял код через браузер. Скрипты при этом не сохранились. Поэтому по HTML коду полностью картину не восстановишь. Можно строить только предположения.Второй сайт _avia-scanners.ru_ использовал http. В этот раз я уже более наглядно делал скриншоты. На картинках видно.
А самый дешёвый из настоящих доступных вариантов S7 примерно на 5% дороже самого дешёвого у перекупов.
> 1. Домен в зоне EU должен был по крайней мере насторожить.
Упс. Чем?
По этой логике должны настораживать aviasales.su, rossiya-airlines.com, pobeda.aero, vim-avia.com… да?
> 2. Кроме поиска авиабилетов на сайте было всего несколько страниц, цель которых пустить пыль в глаза.
Все сайты, на которых можно что-то купить, устроены именно так. Пыль может быть разного калибра и в разном количестве, но суть одна и та же.
> 3. Если копнуть глубже, то указанный на странице ОГРН компании принадлежал компании, которая была закрыта в 2011 году.
Здесь и далее — просто без комментариев. Да, это все информация открыта, но никто не мешает мошенникам указать настоящую информацию любой фирмы.
4. Рейтинги сайта ТиЦ и PR нулевые
Это к сожалению, ни о чем не говорит. СЕОшники могут меряться этими циферками, а для обычных людей это птичий язык.
5. Основное, что должно было насторожить. Должна была быть оплата без комиссии, как указано на сайте, 5900 за каждый авиабилет, а в смс от банка пришло назначение «Списание 5900.00 P2P PSBANK»
А начиная с этого момента — уже поздно. Данные карты введены, вуаля.
Итого — обычный человек в подобном случае ничего сделать не может к сожалению.
Остается незакрытым вопрос успешной оплаты без MCSC/VbV — как любит напоминать Сбербанк, это «невозможно»…
А начиная с этого момента — уже поздно. Данные карты введены, вуаля.
Не совсем так. Насколько я знаю — если вы не ввели код из смс от банка — то операцию опротестовать более чем реально. Если же ввели код из смс — то реально только если деньги с той стороны куда перевели получится «заморозить» (т.е. если они там ещё есть).
А зачем мошенникам ставить препятствия самим себе?
На первом сайте был https.
На втором сайте был http.
Сертификат я не проверял, но каких либо сообщений браузера или антивируса, как это иногда бывает, не выдавалось.
А я сталкивался, например в Steam (и не только там).
На соответствующий вопрос сбер мне ответил что-то в духе «На усмотрение магазина».
Собственно ответ:
Ответ Клиенту:
Уважаемый <ФИО>
ОАО «Сбербанк России», рассмотрев Ваше обращение, сообщает следующее.
Согласно Условиям использования банковских карт ОАО «Сбербанк России»:
п. 11.7. — Держатель соглашается с получением услуг через сеть Интернет,
осознавая, что сеть Интернет не является безопасным каналом связи, и
соглашается нести все риски, связанные с возможным нарушением
конфиденциальности и целостности информации при её передаче через сеть
Интернет
Дополнительно сообщаем, что способ подтверждения операции в сети интернет
определяется непосредственно разработчиком сайта.
Обращаем Ваше внимание на то, что с Условиями использования банковских карт
ОАО
«Сбербанк России» Вы можете ознакомиться в подразделениях Банка либо на
сайте
Сбербанка России по адресу (http://www.sbrf.ru/moscow/).
Благодарим Вас за Ваше обращение и надеемся, что наши разъяснения помогли
Вам
разобраться в сложившейся ситуации.
Вопрос Клиента:
При покупке к некоторых онлайн-магазинах не требуется подтверждение в виде
одноразового СМС-пароля (оплата проходит без запроса такового).
Такой подход стимулирует участников подключать как можно больше разных степеней защиты (чип на карте, вместо магнитной ленты, временные коды, 3D-secure и прочее). Поэтому если ваш банк поддерживает 3D-Secure (а судя по написанному, так и есть), а получатель платежа не поддерживает (иначе деньги не ушли бы), то на основе вашего заявления в банк начинается диспут между вашим банком и банком получателем. Платежная система присуждает вашему банку пальму победы, как более «защищенному» банку. Банк-получатель_платежа вынужден вернуть эти деньги. И получается, что потерпевшим от действий мошенников становится именно он. Это стимулирует его тщательнее проверять своих клиентов и писать на них заявления в милицию в случае необходимости.
Другое дело, что карты эти могут быть ворованными. Но это уже другая история.
Ничего себе миф. Вчера покупал билеты на delta.com. И что бы вы думали? Первая попытка закончилась "какая-то проблема при покупке, попробуйте ещё раз" — с начала поиска. Вторая — "кажется, этот рейс пользуется спросом, платите на $50 больше или попробуйте ещё раз". Стоимость билетов сначала — $208, то есть подняли на 25% внаглую. Билеты были нужны, чувствую себя последним лохом, но купить пришлось.
И конечно же, сервисы перевода денег с карты на карту должны заняться проблемой, описанной у вас. Знаю, что представители того же ТКСБ есть на Хабре и ГТ.
Но я думаю, что если провести опрос авиапасажиров, у всех, кто покупал билеты через интернет, то процент тех, кто знает, чем отличается http от https, будет сопоставим с процентом проголосовавших на прошедших выборах за непарламентские партии.
Я думаю, что если среднестатистический человек не хочет рисковать, то он покупает билеты на нескольких самых известных сайтах. К примеру, если билет покупается на рейс аэрофолота, то и искать его логично на сайте аэрофлота. А уж если человек находится на сайте аэрофлота, то смотрит ли он на значок http/https в адресной строке, — это вопрос.
По телефону у меня всю информацию под диктовку приняли и оформили в своей системе.
Из контактных данных взяли только адрес почты.
Номер обращения или что-то подобное не сообщали.
С Тиньковым собственно у моего знакомого не было инцидента). Инцидент был с другим банком. А Банк Тинькова уже позже на втором сайте засветился. Поэтому я их предупредил о мошенническом сайте, а формального повода что-то от них просить у меня нет.
2. Не все сайты спрашивают 3D-Secure. Более того, для списания денег не надо знать ни CVV (CVC), на фамилию-имя. И это никакой не эксплойт, это принцип работы платежной системы.
3. При переводе денег следует проверять, что страница работает через HTTPS.
4. Платежные системы отслеживают количество мошеннических платежей в отчетный период (и общую сумму таких платежей). Как только у банка сумма мошеннических платежей превышает определенный порог, банк попадает на обалдеть какой крупный штраф. После этого, я вас уверяю, собственная служба безопасности банка сама найдет и «накажет» владельца этих сайтов. Так что пишите заявления о мошенническом платеже «чардж бэк» в банк по каждому факту списания. Пишите их сразу, как обнаружите. Не на следующий день, не в выходные, не после отпуска, а сразу (если конечно хотите вернуть свои деньги).
5. И на последок: да, для оплаты в интернете лучше держать отдельную карту, деньги на которую переводить непосредственно перед покупкой. Сейчас многие банки предлагают выпустить виртуальную карту, дополнительную к основной или что-то похожее.
Если Банк лопухнулся и договоренным способом предупредил вас не своевременно, а только через год — то у вас есть сутки с момента оповещения.
Минус — банки эту дыру знают, и в стандартный договор прописывают, что клиент обязан ежесуточно запрашивать выписку через интернет-банк и все такое.
По пунктам даже лень идти.
Владелец мерчант аккаунта.
1) Это полная чушь.
2) Это зависит от мерчанта. Например американские мерчанты в зависимости от настроек, могут взбрыкнуть на неправильный зип код или даже адрес (да, адрес тоже в авторизации учавствует).
3) По барабану.
4) На штрафы попадает не банк, а мерчант аккаунт. В его же интересах и противодействовать фроду. С меня, например за любой чаржбек лупили сверху $40, что никак не подпадает под «обалдеть какой крупный штраф», как сказал автор выше.
Заявлять о чаржбеках, вовсе не обязательно в тот же день итп. Там срок чуть ли не полгода.
5) Ну может быть и лучше, но я предпочитаю устанавливать лимит по текущей карте и не ломать голову. Перед большим снятием или покупкой прямо с телефона увеличиваю лимит и все окей.
Ну и насчёт https — я бы рекомендовал бы всё же обращать на это внимание — иначе перехватят данные карты и оплатят яндекс-директ мошеннику. Деньги то вы в итоги вернёте — но зачем решать проблемы если можно их просто не создавать.
Это как посылать взрослого дядьку в магазин за сигаретами/пивом, когда вам ещё по возрасту не дают. Если дядька сам не скажет, продавец никогда не узнает, что заказчиком были вы.
Посредничество — это логическая дыра, которую не закрыть никак, кроме как СМС и одноразовыми паролями.
Про _avia-scanners.ru_ я заявления провайдеру не писал (хостинг другой). Этот сайт оставил для того, чтобы читатели публикации смогли его препарировать и разобрать. Сейчас этот сайт уже не работает.
Есть протокол токенизированных платежей. Сначала при первой оплате создается токен (с 3ds-запросом и кодом из смс), далее все последующие оплаты делаются через токен. При последующих списаниях окно 3ds-а не показывается.
Имел отношение к прошлой версии сайта.
Если Вам нужно оплатить за билеты 5900р+5900р, то ровно столько Вы положите на карту и столько оплатите. А, в случаях с мошенническими действиями, куда пошла оплата, сразу можно даже не понять. Потерпевший, к примеру, в первом заявлении в Сбербанк указал, что у него украли 17700р+17700р и пытались еще украсть 10800р. При этом человек был уверен, что хоть билеты у него в кармане. Когда выяснилось, что и билетов нет, пришлось писать идти в Сбербанк и писать еще одно заявление.
P.S. Где же спецы с payonline (которы заспамили рекламными постами тут) когда они так нужны.
А насчет 3D бесит еще другая «мулька», это когда ты первый раз оплатил подписку чего-то, а через время с тебя автоматом сдергивают продление, причем у некоторых сервисов нет толком кнопки Отписаться, надо её где-то искать очень глубоко в меню или через поддержку, но денежка уже ушла и вы увидели СМСку.
Опсосы тоже этим пользуются, хотя у них хоть пишут «Автоплатеж», хотя многие не смотрят остаток. У меня была абонентка 300 руб, а на счете уже 350 лежало, но нефига, пришло сообщение что с карты переведено 300 руб и на счете уже 650… отрубил потом, лучше сам в ручную переведу.
А банк получателя средств ставили в известность? В выписке наверное и частично реквизиты карты получателя указаны.
В Яндекс я писал разные письма. Но письма про то, что получатель украденных средств выводил их на карты, выпущенные банком Яндекса, я не писал. На момент переписки я Яндексом у меня не было такой информации. Её я обнаружил позже. Сейчас уже не знаю, нужно ли в Яндекс писать, или они уже прочитали статью и в курсе.
В выписке Сбербанка номеров карт получателей нет. Когда отправляешь через их личный кабинет, то они присылают подробные смс со всей информацией, включая реквизиты получателя. А когда через посредников шлешь, то информации в смс минимальное количество. В подтверждающих смс может быть даже больше информации, чем доступно на сайте. В сбербанке в личном кабинете есть просто выписка с минимальным количеством информации. В этой выписке есть короткое обозначение расходной или приходной операции. А есть еще полная банковская выписка, в которой нет даже названий контрагентов и назначений платежа. Есть только номера счетов (по большей части внутренние номера счетов сбербанка).
А банк получателя средств ставили в известность? В выписке наверное и частично реквизиты карты получателя указаны.27.09.16 я дополнительно написал в Яндекс с указанием пяти обнаруженных номеров банковских карт, на которые выводились украденные средства. Сослался на предыдущую переписку и эту статью.
Вот ответ Яндекса:
Спасибо за Ваше письмо. Необходимые меры по данным картам были приняты.
Мы также будем благодарны Вам за информацию о любых подобных письмах и случаях мошенничества.
Спасибо за запрос.
2 Если очень надо ввести данные карты непонятно в какую форму, то открваю виртуальную карту на нужную сумму — хотябы больше не спишут.
3 Ну и выберу лучше сайт авиакомпании или проверенного перепродавца, пусть на 10-20% дороже чем непонятный сервис.
Ваш банк, по Вашим словам, всегда требует сразу два кода. Но Вы точно это знаете? Может быть в аналогичной ситуации банк не запросил бы ни одного кода. Пока не попробуете, не узнаете.
Два кода тоже могут не помочь, если Вас обманут. Вас также перекинут на страницу оплаты, где Вы введете столько кодов, сколько нужно, если не заметите подвох.
И самое главное, повторно магазин может не запрашивать эти данные у вашего банка. Пример ozon (и куча других) если вы сохраняете карту в интерфейсе (бывает она сохраняется автоматически, как у ozon но ее можно удалить, правда только при новом заказе, это решение мне сказали в саппорте), первая оплата проходит с sms-подтверждением, все остальные — нет.
Мое имхо, это не защита а видимость, банк сам должен мне прислать sms о запросе средств (кто, сколько и другие подробности) и пока я не пришлю подтверждения… но это неосуществимые мечты, как я понимаю, идеологически, в алгоритме снятия с карты (в тех же ATM на кассах) нет паузы, в течении которой можно реализовать такое подтверждение.
Ну жду тогда результата через 30 дней. Хотя и так его предвижу…
Ну жду тогда результата через 30 дней. Хотя и так его предвижу…Результат оказался неожиданным.
Деньги, которые были списаны за Яндекс.Директ, вернулись 12.10.2016 (17700р+17700р). Возврат произошел через 22 дня с момента подачи заявления в банк.
Деньги, которые ушли на чью-то карту ~5900р+5900р+комиссия на данный момент не вернулись.
Дописал это в публикации. Там же есть скриншот с подтверждением.
Готовится продолжение этой статьи. Скорее всего будет опубликовано на следующей неделе. Будет интересно.
https://www.mastercard.ru/ru-ru/consumer/support/emergency-services.html
Вот ответ службы поддержки Яндекса на заявление о мошеннических операциях с использованием их сервисов. Ответ был получен пять дней назад. 21/09/2016
Здравствуйте.
По Вашему запросу мы провели расследование и приняли все необходимые меры. К сожалению, деньги уже потрачены, и вернуть их нам не удалось.
При обращении в полицию не забудьте, пожалуйста, рекомендовать лицу, принимавшему у Вас заявление, обратиться для разрешения вопросов, связанных с Вашим заявлением, в подразделения, расследующие преступления в сфере высоких информационных технологий (в России — подразделения Специальных Технических Мероприятий).
В заявлении необходимо максимально точно указать всю имеющуюся у Вас информацию: обстоятельства обмана, номера телефонов и так далее. Также обязательно приложите к заявлению копии квитанций на зачисление денежных средств. Оригиналы этих квитанций могут понадобиться нам, если нам удастся найти Ваши деньги.
Всю имеющуюся у нас информацию, касающуюся данного инцидента, мы предоставим правоохранительным органам по их запросу.
Спасибо за запрос
Яндекс пишет, что деньги потрачены. Но, я надеюсь, что итоговое слово, вернут сумму или нет, за Сбербанком.
И совет Яндекс правильный дает по поводу выбора подразделения. Какое подразделение полиции в конечном итоге будет вести расследование, я не знаю. Заявитель готов содействовать расследованию, но если всякая бумажная переписка и поездки по различным подразделениям затянется на месяцы, то неизвестно до какого момента он будет готов этим заниматься.
Судя по размаху схемы там все должно быть организовано на приличном уровне, поэтому шансы поймать мошенника по данным карт\whois и другой подобной информации минимальны. Но, возможно, мошенник мог расслабиться и спалиться на чем-то другом: например, оплатить хостинг со своей карты или зайти со своего реального IP на сервер. Если и копать, то в эту сторону.
В реальности же — они меняют карты так часто что когда выходят на их след — их уже не поймать. Или карта оформлена на бомжа. А те и рады отсидеть на казённых харчах за мошенничество, даже если их найдут. Или даже не на бомжа а на реального человека, только по поддельному паспорту.
Поймать, наверно, можно будет только если в полиции мгновенно получат информацию о совершенной операции снятия денег с банкомата и совершенно случайно рядом проезжал патруль, который мгновенно получил бы эту информацию.
Меня вот выводит, что в некоторых банках даже обычные транзакции со счета на счет в выписке идут без деталей (ни назначения, ни отправителя, ни номера счета, ни БИК).
Позабавили смски от Росбанка: Пароль 123456 для подтверждения операции на сумму 100 рублей. И потом смска: Изменение -100 рублей Остаток 200 рублей Доступно 1200 рублей. И гадай потом что это было.
_flying-avia.ru_
_scanner-ticket.ru_
_scanner-aero.ru_
Вот еще похожие сайты (и еще не заблокированные):
_flying-avia.ru_
_scanner-ticket.ru_
_scanner-aero.ru_
Спасибо за добавление. Включил упоминание и разбор этих сайтов в публикацию после подписи UDP2.
Не меньше насторожил аттрибут формы «data-cloudpayment-fake-form»
Для безопасности перевел деньги на неиспользуемую карту и заплатил ей.
Достаточно большое число компаний размещает платёжные формы на своём сайте.
И это не правильно. Максимум, что должен брать на себя сайт продавца — это первичное перенаправление клиента на сайт той или иной платёжной системы, если их у продавца поддерживается несколько. Ещё куда ни шло, если на сайте продавца расположены только поля для ввода, а обработчиком формы указан сайт эквайера, — но это всё равно вариант на грани фола, потому что, даже если вы доверяете этому сайту (например, это сайт вашего интернет-провайдера), защищён от взлома он наверняка хуже, чем сайт платёжной системы, и вы не можете быть уверены, что где-то там не подгрузился скрипт, отправляющий введённые данные заодно и на сервер мошенников.
Сейчас все конечно сделано через сайт. Их собственный разумеется, без всяких перенаправлений.
А бывают — что по https не пашут — и форма — только их собственная…
У меня была история со взломом моего PSN аккаунта и покупкой игр, с помощью привязанной к ней карты. Я доставал звонками и письмами службу поддержки более полугода, будучи уверенным, что не возможно совершить платеж, не зная ccv2/cvc2 карты, который по Соглашению не хранится на серварах PS. Именно на это я и опирался в своих рассуждениях, пока очередной разговор с оператором-юристом Сбербанка не открыл мне глаза — сервису достаточно знать номер карты, остальное дело порядочности и заинтересованности получателя средств. Возврат средств одобрил головной офис PS в Лондоне, но скорее в качестве исключения
Как я понимаю — осуществляя такой перевод в качестве оплаты за что-либо, на самом деле я просто добровольно делаю подарок, и получатель, несмотря на то, что он деньги по факту получил, мне ничем не обязан. Для правильного платежа (с указанием назначения платежа) необходимо оформление платежного поручения (причем за комиссию, я согласен), но вот этого для физ.лиц (в электронном виде через личный кабинет) в 98% банков нет.
P2P переводы нужны больше для кейсов типа «ты вчера за меня в кафе заплатил, а я тебе сегодня возвращаю на карту». Понятное дело, что у нас эту технологию приспособили, чтобы получать платежи и не платить налоги, но это незаконно.
Да, я кстати очень удивился, что запрос на _https://www.tinkoff.ru/api/v1/payment_commission/ возвращается с заголовками
Access-Control-Allow-Methods: GET, POST, PUT, DELETE, HEAD
Access-Control-Allow-Origin: *
Главной дыркой, как всегда, является невнимательность людей, когда они (не)видят на 3DSecure форме название не мерчанта, а какой-нибудь Tinkoff P2P.
P.S. А уж различать, что там будет за название, это нужно прям разбираться. Я вот, например, до сегодняшнего дня даже и не знал, что P2P в данном случае означает передачу денег с одной карты на другую. Когда уезжал из России, такой сервис еще не был распространён. А там, где я сейчас живу, он по-моему отсутствует как класс.
Я просто предположил, что Вы в теме, поэтому написал, что для использования API данной услуги с банком нужен будет договор.
Мое мнение — дырка начинается с того, что Яндекс.Директ аппрувит такие вот рекламные кампании всяких несуществующих ООО'шек. Но и их понять по идее можно, всю жизнь сегмент продажи авиабилетов считался наименее рисковым, МПС'ы даже пониженные ставки на эквайринг дают таким мерчантам, т.к. фрода нет почти. Нужна более глубокая модерация рекламодателей.
Был заинтригован тем, что: 84 минуты на прочтение
![](https://habrastorage.org/files/02a/75b/561/02a75b56147b45548ec41b63a42f1062.png)
После первого случая кражи денег и заявления потерпевшего, следователи могут позвонить, записать разговор, постараться вычислить, где находится абонент на том конце провода. И если даже он будет на каком-то далеком острове, это все равно зацепка. Если взять телефониста, то он уже будет соучастником преступления. Такой телефонист за те 100р, которые он получил, не захочет получить срок, и сдаст всю информацию, которой владеет. У телефониста тоже может не быть выходов на главного организатора схемы, но все равно это зацепка.
let's encrypt'овский сертификат, как и любой другой DV, не гарантирует ничего. Он подтверждает только владение доменом. Даже платный DV стоит 5-10 баксов в год, что для мошенников копейки.
Как минимум, для платёжных должен быть OV, от нормального вендора, который гарантирует проверку документов организации. А в идеале — EV, который требует куда большего количества проверок и даёт зелёную плашку в браузере. Жаль, что сейчас часть банков уходит от использования EV.
Мы всегда готовы к сотрудничеству с правоохранительными органами. Надеемся, что справедливость будет восстановлена, а мошенники наказаны.
Все сайты, размещенные на нашем хостинге, о которых идет речь в статье, заблокированы.
Мы всегда готовы к сотрудничеству с правоохранительными органами. Надеемся, что справедливость будет восстановлена, а мошенники наказаны.
Спасибо!
Это реакция провайдера Sprinthost на прочтение этой статьи. Еще четыре сайта заблокировано. Отдельного обращения к этому провайдеру не было. Это их инициатива. Предлагаю проголосовать положительно за предыдущее соотношение.
![](https://habrastorage.org/files/a57/92e/e56/a5792ee563b441ec978afa929b5a9f9f.jpg)
_avia.netprosolution.co_
_letofly.biz_
в коде указаны контакты, верстальщика
/* Aleksey Skubaev
askubaev@gmail.com
icq — 322253350
а так же уже закрытые, но не упомянутые ранее сайты
_kyda-letim.com_
_vsembilet.com_
Я думаю что тут есть специалисты которые могут открыть админку и посмотреть количество операций сайта.
_letofly.biz/admin.php
_travelbileti.ru/admin/login.php
_pilotavia.ru/admin.php
Используемы движки сайтов: InstantCMS и DataLife Engine
Если коротко, то ребята наваяли (и продают) целый модульный кит по поиску таких фишинговых сайтов, работают на разных этапах, начиная от регистрации домена, получения сертификата SSL, до раскрутки в баннерных сетях.
Конкретно по авиа-билетам совместно с проектом aviasales.ru они создали сайт http://настоящийбилет.рф/ на котором как раз можно пробить подозрительный ресурс.
Чтобы не быть тем рабиновичем, который изображал Карузо, я на этом остановлюсь, подробности можете узнать в указанных фирмах.
А главное, подкованные пользователи, стараются не оставлять свои адреса без необходимости. Тем более сайт малоизвестный и потенциальный пользователь может подумать, что это кто0то таким образом собирает базу данных для специализированного спама.
Таким образом бОльшая часть потенциальных пользователей настоящийбилет.рф просто не будет им пользоваться. На мой взгляд, поле email в форме нужно убрать для простых проверок. Можно его оставить, сделав не обязательным, если кто-то из пользователей сам захочет получить обратную связь через почту, при заявлении о новом сайте.
А вообще можно еще проще сделать. Форму для проверки убрать. Список заблокированных сайтов вывести на отдельную страницу, на которой сделать удобный фильтр/поиск по названию. А форму оставить только для заявления о новых сайтах.
https://www.dublikat.in/threads/kak-zhe-lovjat-moshennikov-v-realnom-mire.41169/
Автору статьи — писать заявление в полицию надо сразу же, причем настаивая, что был нанесён СУЩЕСТВЕННЫЙ имущественный, материальный ущерб, для того что бы завели УД (уголовное дело).
В противном случае будут отписки, типа, при проведении спецмероприятий, лицо или лица свершившие правонарушение НЕ выявлены )))
В данном случае, ещё не факт, что машина правосудия заработает, всё зависит от того кого кинули.
Сайт использует защищенное соединение и сертификат от Let's Encrypt. Интересная особенность, — сертификат выпущен сроком на три месяца. Это, наверное, для экономии? Реально оценивают срок жизни такого сайта.
@xbox, lets encrypt — сервис автоматизированного получения бесплатных DV-сертификатов от Internet Security Research Group, в которую входят представители Mozilla Foundation, EFF, Akamai, Cisco, CoreOS и др.
У них стандартный срок действия ограничен 3 месяцами (и планировалось дальнейшее уменьшение срока), чтобы подтолкнуть пользователей к автоматизации обновления сертификатов ибо "ban humans" — очень важная вещь для стабильной работы чего угодно.
Очередной вопрос о безопасности сертификатов, выдаваемых большими дядями кому попало…
Это не проблема сертификатов и PKI как системы. До этого тоже не составляло никакого труда получить DV-сертификат за $5.
Если вы вводите данные карты не на сайте доверенного payment gate или банка — вы, извините за выражение, идиот. И те, и другие используют, как правило, EV.
Исключениями являются всякие странные атласы типа Билайна, которые при оплате через их payment gate используют OV и в договоре-оферте заявляют, что "не гарантирует обеспечение конфиденциальности информации и данных об Держателе Банковской карты и/или Абоненте и не несет за это никакой ответственности" (цитата из пункта 6.4 договора-оферты).
Почему не является? Является проверенным именно в той мере, которая указана в сертификате при условии доверия CA.
Если в сертификате указаны только CN
и SAN
(обычное явление для DV), то это означает только то, что ваш трафик не перехватывает/подменяет третья сторона (при соблюдении владельцем сертификата соотв. правил безопасности).
Если в сертификате указаны ещё другие поля (например, O
), то вы можете быть уверены, что организацию проверили в той мере, которая указана в политике выдачи сертификатов соответствующего CA, ссылка на которую, как правило, имеется в самом сертификате.
Естественно, читаете эти 20 страниц текста убеждаетесь, что вас устраивает необходимая степень проверки и действуете в соответствии с этим.
Или опираетесь на то, что EV выдают гарантируя довольно высокий минимальный порог проверки.
Пользователь ожидает от https сайтов с зеленым замочком определенных вещей.
Вопрос вот в чем — человек нагуглил в яндексе какой-то сайт. Выглядит нормально, оплата по карточке, как обычно. Как понять что он левый? Яндекс и гугл рекламщики взяли с преступников копеечку и умыли руки. HTTPS не значит ничего. Списание с карточки -стандартное. В интернете теперь опасно что-то покупать?
Или как обычно — преступники могут, а добропорядочные — нет?
Могут-не могут — вопрос законов в отдельно взятой юрисдикции.
Регулярно такими пользуюсь.
С большим номиналом нужно вводить Фамилию-Имя, но документы не просят (что мешает ввести John Smith?)… При пополняемых картах местами требуются документы, но там зависит от лимитов, а проверка… как вы проверите документы, которые вам пришлют по электронной почте? При определенных лимитах нужно нотариальное заверение присланных бумажно документов, но я такими суммами еще не оперировал.
Про неограниченные количества я написал чуточку выше ровно обратное.
В моем случае, я так предполагаю, для штатовских банков все выглядит органично — карточку пополняет штатовское юрлицо. В свою очередь, юр.лицо получает за эту услугу деньги — уже не штатовские.
Есть подарочные карты.
Я, Васисуалий Лоханкин, оформляю такую карту, получаю ее с предъявлением своих документов — после чего передаю ее неизвестому для банка лицу, которое ее использует как хочет. После чего теряюсь в мире.
Есть карты с возможностью пополнения — то есть на нее вполне можно выводить какие-то средства.
Ессно, там есть некие ограничения по поступающим и расходуемым средствам, но в целом вопрос решаемый. Опять же — мне как Васисуалию Лоханкину никто не запрещал приобресть произвольное количество таких карт, а тому, кому я эти карты отдал — использовать целый пул таких карт (в том числе — от Никифора Ляпис-Трубецкого).
если хотя бы серые варианты рассматривать — на plati.ru можно купить предоплаченные гифт-карты (скажут номер и все что полагается), используется например в некоторых случаях для создания аккаунта в американском AppStore (если нормальной американской карты нет а хочется почему то)
Однако такого дропа ловят через некоторое время и сажают. А «вон тот Вася попросил принять платеж, я ему 70% отдал» к делу не пришьешь и в итоге их так же не могут поймать…
UDP4: Информация, для тех, кто спрашивал.
На данный момент деньги не вернули ни по платежам, которые ушли на чужие карты, ни по платежам, которые ушли в Яндекс.Директ. (Про платежи в Яндекс.Директ в банк было подано заявление менее через за 24 часа после списаний). Официального ответа от Сбербанка нет (15 дней еще не прошло). Сегодня для следователя делали бумажную выписку в отделении Сбербанка. Суммы списаны. Про получателей платежей в выписке никакой дополнительной информации нет.
Поскольку из поста не совсем ясно, куда обращался автор или знакомый автора («письма в Яндекс») — прокомментирую ситуацию со стороны Яндекс.Денег. Мы знаем об этом инциденте, служба безопасности Яндекс.Денег на основании запроса от владельца карты сразу приняла все возможные с нашей стороны меры к кошелькам и картам, которые могли быть использованы в мошеннической схеме с билетами. Поскольку в описанной истории есть все признаки преступления, обращение в полицию — правильно и совершенно необходимо. И конечно же Яндекс.Деньги отдадут имеющуюся у нас информацию представителям правоохранительных органов в рамках уголовного дела.
На основании заявления клиента банк-эмитент карты обычно начинает инцидентный цикл (проще говоря, оспаривает операции) по правилам международных платежных систем (MasterCard, Visa), и результатом этого цикла (занимает подчас несколько месяцев) может быть возврат денег, списанных без 3-Ds.
Поскольку из поста не совсем ясно, куда обращался автор или знакомый автора («письма в Яндекс») — прокомментирую ситуацию со стороны Яндекс.Денег. Мы знаем об этом инциденте, служба безопасности Яндекс.Денег на основании запроса от владельца карты сразу приняла все возможные с нашей стороны меры к кошелькам и картам, которые могли быть использованы в мошеннической схеме с билетами. Поскольку в описанной истории есть все признаки преступления, обращение в полицию — правильно и совершенно необходимо. И конечно же Яндекс.Деньги отдадут имеющуюся у нас информацию представителям правоохранительных органов в рамках уголовного дела.Спасибо за комментарий.
Обращение от потерпевшего было в службу поддержки Яндекс.Денег через сайт, в разделе сообщить о мошенничестве. Номер обращения 4410613, отправлено ночью 21.07.16. По этому обращению позже в разные дни через электронную почту было направлено четыре дополнительных письма. Вся имеющаяся информация о мошеннических операциях была передана Яндексу. На все письма были получены корректные ответы от Яндекса. Как я уже писал здесь, на все запросы ответ от Яндекса приходил очень быстро, даже в ночное время.
К Яндексу, как к компании, а также к сотрудникам Яндекса никаких претензий нет и не было. При отправке запросов была только попытка попробовать по горячим следам найти похищенные средства и, когда из ответов Яндекса выяснилось, что деньги уже были потрачены и вернуть их не удалось, последующие обращения потерпевшего были направлены на то, чтобы на основании имеющейся информации сделать всё для осложнения мошенникам возможности продолжать свою деятельность (блокировка аккаунтов Яндекс.Директа, исключение из выдачи, блокировка кошельков, блокировка указанных в статья карт, выпущенных Яндекс.Банком итп).
Также было обращение в банк потерпевшего, — в Сбербанк 20.09.16 и дополнительное 21.09.16.
21.09.16 было подано заявление в полицию. Сейчас назначен следователь и ведется расследование.
21.09.16 было подано заявление хостинг-провайдеру firstVDS, по результатам которого мошеннический сайт заблокирован.
Дополнительно было обращение в банк ТКС с целью их предупредить о том, что их сервис P2P используется на мошенническом сайте. (Деньги в описываемом в статье случае похитили через сервис P2P другого банка, а ТКС был просто поставлен в известность, чтобы предупредить похожие мошеннические операции при продаже авиабилетов).
Были еще несколько менее значимых обращений в различные интернет-сервисы с целью внести указанные в статье сайты в базы фишинговых сайтов и исключить их из поисковой выдачи и из рекламных блоков.
Предлагаю завести сайт для проверки подобных сайтов. Кто за? Заодно пополнять там список мошенников или подозрительных сайтов.
Ставится расширение в браузер и проверка происходит автоматически.
Оказалось, что в базе WOT был один (!) негативный отзыв о сайте. Отзыв вообще был один. И это даже был не отзыв, где можно было бы что-то прочитать по сути претензии, а это была просто негативная оценка. В результате все, кто использовали плагины WOT не могли попасть на нормальный сайт. С отзывом не помню, как, но разобрались. Пришлось на разбирательства и исправление тратить время. С тех пор я очень насторожено отношусь к базе WOT. Конкуренту любой компании достаточно щелкнуть в своем плагине один раз, а компании потом разбирайся, что это было.
Где бы они брали настоящие билеты по таким ценам, да еще с отсрочкой платежа на 1-2 недели?
Схема такая — человек заходит на сайт, выбирает билет, сразу его оплачивает и получает.
Мошенники продают реальный билет, который покупается у стороннего оператора.
Чтобы цены были реально ниже, они могут даже субсидировать разницу (1-3 тысячи рублей).
Потом по прошествии 2х недель начинают делать мошеннические списания по своей схеме- и клиент вряд ли догадается, что это они, ведь он за 2 недели может пользоваться картой где угодно еще.
Вопрос мошенников, которые делают переводы с карты на карту под видом оплаты за авиабилеты, гораздо сложнее. Выше тут уже детально всё обсудили, но в сухом остатке – доказать что-то банку-эмитенту будет очень сложно. Для него вы сами совершенно сознательно перевели деньги на чью-то карту (на которой уже нет денег, и которая зарегистрирована на подставное лицо), и подтвердили эту операцию одноразовым кодом. Теоретически, тут что-то могут сделать правоохранительные органы.
Мы являемся платёжным шлюзом (и даже сами сталкивались с такой проблемой), поэтому в основном тут будет описано происходящее с нашей стороны.
Бороться с мошенниками на стороне платёжных шлюзов, по сути, очень сложно; лучшая тактика тут пытаться сделать использование нашей формы сложнее, чем у других (известный анекдот – для того, чтобы выжить при встрече со львом, не надо уметь бежать быстрее льва; достаточно бежать быстрее соседа).
С учётом того, что каждый платёж достаточно большой – мошенник может позволить потратить себе достаточно много денег на организацию этого платежа. Можно действовать как-то так:
1) На каждого посетителя сайта (точнее, платёжной формы с кнопкой «оплатить») автоматически поднимаем новую виртуалку в облаке или в ботнете, в ней браузером заходим на страницу перевода с карты на карту платёжного шлюза. Для платёжного шлюза это выглядит как обычный запрос обычного пользователя;
2) Спрашиваем у посетителя номер карты, срок действия, CVV;
3) Вводим в виртуальном браузере эти данные; вводим данные карты получателя (мошенника);
4) Если, например, страница перевода с карты на карту требует разгадать капчу – показываем её посетителю и заставляем разгадать.
5) Отправляем в виртуальном браузере форму, получаем в ответ переадресацию на сайт банка-эмитента для прохождения 3-D Secure. Перехватываем эту переадресацию, и переадресуем туда реального посетителя в реальном браузере (передавая при этом TermUrl своего сайта с авиабилетами).
6) У посетителя отображается настоящая страница банка-эмитента (с соответствующим адресом и сертификатами), он вводит на ней одноразовый пароль из SMS, отправляет; банк-эмитент возвращает его на сайт с авиабилетами.
7) Информацию о подтверждении 3DS, пришедшую на сайт с авиабилетами – опять же, отправляем в виртуальный браузер. Всё, операция проведена.
По сути, для платёжного шлюза в этой ситуации всё выглядит так, что к нему пришёл реальный человек (на самом деле мошенник), который ввёл в форму переводов с карты на карту данные карты отправителя, данные карты получателя, и подтвердил операцию одноразовым паролем в банке-эмитенте. Отличить мошенника от честного человека тут не получится – нет никаких данных, которые выделяли бы мошенника.
Именно по этой причине мы приняли решение отключить форму перевода платежей с карты на карты в нашей системе.
Какая-то системная борьба (а не просто закрытие сайтов после того, как они уже успели набрать много денег) может идти только со стороны банков-эмитентов – как карт отправителей, так и карт получателей.
От эмитентов карт отправителей хотелось бы видеть на странице подтверждения платежа заметное указание на то, что осуществляется именно перевод с карты на карту. Кроме того, так как со страницей подтверждения платежа мошенник может поступить так же, как со страницей перевода – «проксировать» её для пользователя в виртуальном браузере; это потребует большей невнимательности со стороны пользователя, но хотелось бы ещё чтобы банки, отправляющие одноразовые коды в SMS-сообщениях, предупреждали о переводе и в тексте сообщения. На вашем примере – в SMS-сообщении написано «P2P», среднему пользователю это ни о чём не говорит.
От эмитентов карт получателей – запрет на получение денег для карт с не подтверждённой личностью владельца (для виртуальных карт типа яндекс.денег и киви).
А пользователям стоит внимательнее следить за тем, где они вводят данные карты. Как уже было сказано, если на странице для ввода номера карты есть сертификат EV – то, по крайней мере, это не аноним и не однодневка; в случае чего хотя бы будет понятно, на какую организацию писать заявление. Да и мошенникам постоянно регистрировать новые компании и получать сертификаты EV будет затруднительно; это может сделать такое мошенничество невыгодным.
Советы же вида «если левый ОГРН – то это мошенники», «если нет номера телефона – то это мошенники» и т.п. действуют как советы «если письмо написано с грамматическими ошибками – то это фишинг». Т.е. действует только до тех пор, пока мошенники могут себе позволить не напрягаться и писать неграмотные письма. Как только все узнают об этих советах – мошенники сразу начнут писать фишинговые письма грамотно, а на сайтах начнут указывать реальные правдоподобные ОГРН и телефоны.
Так как механизм повторных снятий не раскрыт (собственно пострадавший его и не знает) — то связь этих тоже неизвестна.
Но известно, что YM позволяет выпустить привязанную к счёту карту.
ЗЫ: Сегодня покупал на алиэкспрессе — списало с YM без каких-либо кодов и паролей, просто ОК на страничке нажал.
Другой польский банк Credit Agricole (дочка французского банка) так же не все операции в интернете проводит с подтверждением смс. В банке мне ответили что технически это изменить невозможно.
У меня 2 раза крали деньги с карт открытых в московских Сбербанке и Ситибанке. В обоих случаях деньги вернули полностью. Правда потом Сбербанк незаконно списал с моей карты 40 т.р., обращался и в полицию и в суд, и сто раз писал заявление в Сбербанк, ничего не помогло. Причина была в моей невнимательности, я подписал договор на транспортную карту в Сбербанке не читая договор, который я успешно потерял, а копию договора Сбербанк выдать мне отказался.
Вообщем не хватило юридической грамотности довести это дело до суда.
Если нужны подробности, обращайтесь к пользователю Vad_R
Пользователь read-only — т.о. написать в личку ему возможности нету. Почему не обратился в прокуратуру? Можно ещё обратится в генеральную прокуратуру.
Пользователь read-only — т.о. написать в личку ему возможности нету.Этот пользователь мне как-то пишет в личку и я ему отвечаю.
Я не хотел бы быть промежуточным звеном в переписке с Vad_R. Если есть вопросы, желательно к нему напрямую обращаться. Мы с ним через хабропочту познакомились несколько дней назад, поэтому дополнительной информации по его случаю у меня нет. По основному случаю, описываемому в публикации, готов ответить, если возникнут вопросы, — с тем человеком я хорошо знаком и общаюсь лично.
Я попробовал на одном из read-only аккаунтов, — начать диалог с такими аккаунтами можно. Запрета нет. Единственное, что может быть кнопки нет удобной или ссылки для того, чтобы им написать. Но адрес страницы для начала диалога можно легко вычислить по аналогии с остальными беседами.
https://geektimes.ru/conversations/Vad_R/
(Может это не фича, а баг, но у меня так работает. Если любое имя пользователя, включая read only, подставить в таком адресе, то начинается диалог.)
Приглашаю оценить и обсудить… Уверен, будет интересно.
Яндекс игнорирует проверку 3D Secure при оплате рекламы в Яндекс.Директ с помощью банковских карт.
Приглашаю оценить и обсудить…
Еще из той же оперы — у нас в России последнее время Юлмарт при оплате за товар тягает деньги с карты без пин кода и даже без подписи на чеке. Думал это только для мелких покупок (до 1000р как для PayPass), но не давно оплачивал заказ около 7000р — так же ни пина ни подписи.
Дешевые авиабилеты… Или сеть мошеннических сайтов, ворующих деньги с карт. Мое расследование