Фрод, Application Firewall, неудачная капча и двухфакторная авторизация: как мы нашли и устранили проблему в приложении

[czz]

Правильно. Те, кто придумывает эти программы с баллами и мобильными приложениями, должны страдать.

Как удобно было, когда за лояльность были просто скидки в %.

[RK_Kuzmin]

Не соглашусь с Вами.

Страдает не только сам продавец, но и обычный пользователь. Неприятно, когда ты пытаешься воспользоваться сервисом, а он не доступен из-за DDOS, вдвойне неприятно, когда ты копишь баллы, а их кто-то украл.

Что же касается программ со скидками в %, то многие меняют ее на бальную механику.

Выгода для магазинов вполне очевидна:

1.стоимость товара не уменьшается, а даются виртуальные баллы, которые не обязательно будут потрачены

2.бальная механика "привязывает" пользователя к магазину

[AlexGluck]

Если бы я не знал, что регулярно на одни и те же грабли наступаете, был бы классный рассказ как научились делать «хорошо». А тут опять не нашли способа заказчика дожать на затраты по безопасности. Технари, архитекторы то не пальцем деланные сидят у вас, да и менеджеры разруливают шустро, но лидам надо принудительно втюхивать безопасность, они то не каждый месяц такие проекты делают в отличии от вас.

[RK_Kuzmin]

Привет, дружище!

Как я писал в статье, многие думают, что проблема их не затронет, а когда с ней сталкиваются, начинают аврально закрывать дыры.

[Delgus]

злоумышленники перебирали сочетания логинов/паролей

КАААК??? не зная логинов и паролей просто наугад лупили миллиард запросов в день??? да даже при таком раскладе фантастика набрутить хотя бы 50-100 акков. что то вы темните ребята. не верю.

Верю в бэкдоры, слитую базу но никак в этот бред с брутом

[RK_Kuzmin]

В статье я не буду рассказывать о всех тонкостях как проверить существует ли аккаунт в системе, в интернете достаточно информации по этой теме. Имея понимание есть ли аккаунт в системе, подобрать к нему пароль - вопрос времени. Многие пользователи не заморачиваются безопасностью своих аккаунтов, устанавливая максимально простые пароли.

[Delgus]

Ага. ну значит логины все же были известны. спасибо за ответ)

[linux_art]

С большой вероятностью логином был просто номер карты, который просто число (зачастую даже по порядку) и сбрутить такой логин не сложно.